Identification et gestion des vulnérabilités dans un SI¶
1. Objectif du cours¶
Présenter une méthodologie opérationnelle pour identifier, prioriser, corriger et suivre les vulnérabilités d’un système d’information, en s’appuyant sur l’exemple concret de MediData et des outils/indicateurs pertinents.
2. Notions et définitions essentielles¶
- Vulnérabilité : faiblesse exploitable d’un SI permettant intrusion, vol de données ou interruption de service.
- Familles (5) : logicielles, configuration, humaines, matérielles, réseau.
- CVE : identifiant unique d’une vulnérabilité (format CVE-YYYY-NNNNN ; YYYY = année d’enregistrement, NNNNN = numéro séquentiel).
- CVSS : score de dangerosité 0–10 combinant facilité d’exploitation, impact potentiel et ressources requises.
- Mesures compensatoires : protections temporaires (pare-feu, isolation, surveillance) en attendant correction définitive.
3. Fonctionnement et principes¶
- Cycle de vie en 5 étapes : découverte → évaluation → priorisation → remédiation → suivi. Chaque étape transforme l’information (découverte brute) en action vérifiable (remédiation validée).
- Détection complémentaire : scans automatisés (différents profils), audits manuels, tests de pénétration, veille technologique. Ces méthodes se complètent (ex. scans détectent masse de failles ; pentest valide exploitabilité).
- Priorisation opérationnelle : dépasser le seul CVSS en intégrant exposition, criticité métier, faisabilité et coût ; utiliser une matrice multicritères pour ordonner les actions.
- Remédiation adaptée : patch management pour le logiciel, corrections de configuration pour les paramétrages, refonte/process pour les vulnérabilités organisationnelles ; mesures compensatoires si correction différée.
- Gouvernance et acteurs : rôles définis (équipe IT, direction, équipes spécialisées), procédures d’escalade et KPIs pour piloter et arbitrer selon contraintes métier et coûts.
4. Commandes et manipulations¶
Non abordé dans ce cours.
5. Sécurité et bonnes pratiques¶
- Ne pas se fier uniquement aux scans : prévoir validation manuelle pour limiter faux positifs et détecter faux négatifs.
- Tester les correctifs en environnement de qualification avant production pour éviter régressions.
- Mettre en place sauvegardes et procédures de rollback systématiques avant déploiement.
- Considérer les mesures compensatoires comme temporaires et planifier leur remplacement avec échéances.
- Formaliser gouvernance : règles d’escalade (ex. remontée automatique des critiques), rôles clairs et réunions régulières pour lever les blocages.
- Automatiser la veille et le reporting pour compenser des ressources limitées et réduire le délai d’analyse après publication d’une vulnérabilité.
6. Points essentiels à retenir pour le TSSR¶
- Connaître et distinguer les 5 familles de vulnérabilités pour adapter la détection et la remédiation.
- CVE identifie la faille ; CVSS mesure la criticité technique (0–10) mais doit être contextualisé.
- Les scans authentifiés fournissent l’analyse la plus complète ; croiser sources (scan, pentest, veille).
- Prioriser via matrice multicritères (sécurité, facilité de correction, impact opérationnel, criticité système, coût).
- Patch Management = 6 étapes : identification, évaluation, test, planification, déploiement, validation.
- Mesurer par KPIs (MTTR, taux de respect des délais, nombre de vulnérabilités ouvertes, couverture de scan, taux de récidive).
- Mesures compensatoires utiles mais non définitives ; documenter et planifier leur suppression.
- Gouvernance opérationnelle (rôles, escalade, reporting) réduit les blocages entre sécurité, technique et direction.
- Automatiser veille et reportings pour réactivité (ex. alertes CERT-FR, bulletins éditeurs).
- Prioriser corrections sur systèmes exposés et sensibles (serveur production, base patients).
7. Tableau récapitulatif¶
| Élément | Avantage principal | Limite à connaître | Usage recommandé |
|---|---|---|---|
| Scan authentifié | Analyse profonde des configurations | Nécessite comptes privilégiés | Audit complet périodique |
| Scan non authentifié | Simule attacker externe | Ne voit pas config internes | Surveillance quotidienne externe |
| Patch Management | Corrige la source logicielle | Risque de régression sans test | Processus structuré (6 étapes) |
| Mesures compensatoires | Protection rapide | Solution temporaire | Utiliser avec plan de correction |
| CVE | Identifiant unique | N’indique pas la criticité | Référence pour veille et cross-check |
| CVSS | Indique criticité technique | Doit être contextualisé | Entrée pour priorisation multicritères |
8. Vérifications pratiques¶
- Après déploiement d’un correctif : relancer le scan ciblé et vérifier que la vulnérabilité n’apparaît plus.
- Validation post-installation : contrôle du fonctionnement applicatif et absence de régression détectée en test.
- Vérifier les KPIs : MTTR, pourcentage de vulnérabilités corrigées dans les délais, évolution du nombre de vulnérabilités ouvertes et couverture de scan.
- Confirmer l’efficacité des mesures compensatoires : règles de pare-feu appliquées, isolation active, surveillance accrue en place.
- Détecter faux positifs : analyse manuelle des cas signalés par OpenVAS ou autre et corriger l’inventaire si nécessaire.
9. Flashcards Anki¶
Qu’est-ce qu’une vulnérabilité ? :: Une faiblesse exploitable d’un SI permettant intrusion, vol de données ou interruption de service.
Quelles sont les 5 familles de vulnérabilités citées ? :: Logicielles, configuration, humaines, matérielles, réseau.
Que signifie CVE-YYYY-NNNNN ? :: CVE = identifiant ; YYYY = année d’enregistrement ; NNNNN = numéro séquentiel.
Que mesure le score CVSS ? :: La dangerosité d’une vulnérabilité sur une échelle de 0 à 10 (facilité d’exploitation, impact, moyens requis).
Quelle est la séquence du cycle de vie d’une vulnérabilité ? :: Découverte → Évaluation → Priorisation → Remédiation → Suivi.
Quelle approche de scan donne l’analyse la plus complète ? :: Scan authentifié avec comptes privilégiés.
Citez les 6 étapes du Patch Management ? :: Identification, Évaluation, Test, Planification, Déploiement, Validation.
Donnez 3 KPIs essentiels pour la gestion des vulnérabilités ? :: MTTR, taux de respect des délais, nombre de vulnérabilités ouvertes.
Nommer un outil de scan mentionné et un de ses atouts ? :: OpenVAS : base 50 000+ tests et mises à jour quotidiennes.
Pourquoi les mesures compensatoires ne sont-elles pas une solution définitive ? :: Parce qu’elles masquent la vulnérabilité et doivent être remplacées par une correction planifiée.