Note de la rédaction : Cet article rédigé par Julia Grunewald, directrice principale de la gestion des produits chez Tanium, a été initialement publié sous le titre « » sur le site dans SC Media.
La gestion des risques s'est imposée comme une alternative efficace à la gestion traditionnelle des vulnérabilités, et ce à juste titre. Une approche de sécurité proactive et permanente, qui identifie en permanence les vulnérabilités d’une organisation et les hiérarchise en fonction des risques, nous aide à déterminer où concentrer au mieux nos ressources limitées.
Pourtant, nous sommes déjà au seuil de la prochaine étape de maturité en matière de gestion des vulnérabilités « » , portée par des mesures correctives automatisées et mises en œuvre en temps opportun. C'est là qu'intervient la gestion de l'exposition axée sur la remédiation.
Que signifie concrètement « la remédiation d'abord » ?
De nombreux programmes de gestion des risques commencent par la visibilité. Ils identifient les vulnérabilités, les erreurs de configuration et d'autres risques. Ils classent ensuite ces risques par ordre de priorité et les communiquent aux équipes chargées de les corriger. Mais ce processus présente des inconvénients : les équipes opérationnelles ne savent pas toujours comment remédier à chaque risque, et certaines anomalies peuvent déjà faire l'objet de mesures correctives programmées, ce qui allonge la durée du processus de correction et est source de frustration.
Et si nous inversions ce processus ? En commençant par les mesures correctives, telles que les correctifs ou les mises à jour d'applications, regroupées en fonction des vulnérabilités qu'elles corrigent, nous pouvons rapidement établir une liste de contrôle des étapes à suivre, que nous pouvons partager entre les équipes de sécurité et d'exploitation afin de réduire les risques de manière simple et harmonisée. En intégrant des éléments de contexte tels que les calendriers de correctifs existants et la sécurité des correctifs, nous pouvons prendre des décisions éclairées et fondées sur les risques quant aux actions à mener en priorité, ce qui évite d'avoir à passer en revue ligne par ligne un tableau récapitulatif des résultats.
Utilisation de la visibilité pour quantifier la réduction des risques
Plusieurs éléments fondamentaux sont nécessaires pour concrétiser cette vision axée sur la remédiation, à commencer par une vision unique du risque. Tenter de se faire une idée de l'exposition au risque à l'aide de plusieurs outils et en établissant des corrélations entre des données issues d'outils et de tableurs disparates est source de frustration et conduit à prendre des décisions sur la base de données incomplètes. Parmi les défis liés à cette approche, on peut citer :
- L'utilisation d'outils disparates entraîne une perte de contexte lors du passage de l'un à l'autre, et chacun dispose de sa propre méthode de hiérarchisation.
- Il n'existe pas de quantification précise de la réduction des risques résultant d'une mesure d'assainissement.
- La création de rapports à partir d'outils disparates est une tâche manuelle, chronophage et source d'erreurs.
- L'utilisation de différents outils peut entraîner l'existence de multiples sources de vérité et de lacunes potentielles.
- Difficulté à évaluer l'impact des correctifs sur le niveau global de risque.
- Prolifération des outils, dette d'intégration et fatigue liée aux alertes.
Près de 50 000 vulnérabilités (CVE) ont été signalées l'année dernière , ce qui ne fait qu'aggraver ces difficultés. Et les CVE ne sont pas les seuls risques dont les équipes doivent se préoccuper. Outre la compréhension des données relatives aux vulnérabilités, nous avons besoin d’un flux continu de renseignements externes mis à jour en permanence concernant la surface d’attaque, les certificats TLS/SSL non sécurisés, les erreurs de configuration, les conteneurs malveillants, ainsi que des informations contextuelles supplémentaires telles que le risque de mouvement latéral et le niveau de criticité des actifs, afin d’obtenir une vision complète des risques. Nous avons besoin que toutes ces informations soient regroupées en un seul et même endroit, considéré comme la source de référence, avec des liens clairs entre les risques identifiés et les mesures correctives.
Prendre des mesures grâce à une évaluation fiable des risques
Nous devons ensuite nous pencher sur la mise en place d'une évaluation précise des risques. Les systèmes de notation standardisés, tels que le Common Vulnerability Scoring System (CVSS), constituent un point de départ, mais la hiérarchisation des priorités dans la pratique exige davantage. En combinant le CVSS avec la criticité des actifs, la maturité des exploits et les renseignements, ainsi que le risque de déplacement latéral, nous nous assurons de nous concentrer sur les vulnérabilités qui revêtent actuellement la plus grande importance. Le système de notation unifié permet :
- Identification immédiate des expositions à fort impact.
- Lien direct avec les processus de correction comprenant l'application de correctifs, l'application des règles de configuration et les mises à jour des applications.
- Une hiérarchisation précise fondée sur le contexte, et non pas uniquement sur la gravité théorique.
De nombreux outils de gestion des risques se concentrent sur la définition du périmètre, l'identification et la hiérarchisation. Dans le cadre d'une gestion des vulnérabilités axée sur la correction, les risques jugés prioritaires sont directement associés à des outils de correction intégrés aux produits, notamment l'application de correctifs, les mises à jour d'applications, les corrections de certificats et les modifications de configuration. Ce lien étroit entre la notation et les mesures prises accélère la réduction des risques et garantit que les expositions identifiées sont effectivement résolues.
Comment l'IA peut vous aider
Les nouvelles fonctionnalités, telles que les recommandations basées sur l'intelligence artificielle et les workflows de correction automatisés, promettent de résoudre de nombreux défis de longue date liés à la gestion des vulnérabilités. Elles nous permettent de personnaliser nos plans de remédiation afin qu'ils s'adaptent à différents environnements, exigences de conformité et contraintes opérationnelles. Nous pouvons automatiser l'application des correctifs, les mises à jour des applications, la mise en œuvre proactive des politiques et d'autres mesures de contrôle, en fonction de ce qui convient le mieux au type de ressource et de vulnérabilité concerné.
La gestion des risques doit également prendre en compte une liste croissante d'actifs externes : les technologies opérationnelles (OT), l'Internet des objets (IoT) et les charges de travail dans le cloud. Ici aussi, les mêmes évaluations s’appliquent en ce qui concerne la criticité des actifs, le risque de propagation latérale et les renseignements sur les menaces. Face à un nombre aussi considérable de terminaux, l'automatisation basée sur l'intelligence artificielle peut nous aider à mieux maîtriser notre environnement technologique. Il permet de mettre à jour les systèmes d'exploitation et les applications, d'appliquer et/ou de mettre à jour les politiques avant de valider les mesures correctives, ainsi que de procéder à une nouvelle analyse de l'infrastructure et de générer des rapports.
Les processus de remédiation peuvent recourir à l'IA pour accompagner l'ensemble du cycle de vie de cinq manières différentes :
- Ajuster automatiquement le niveau de criticité des ressources «» et « » lorsqu'un système est exposé à des menaces externes.
- Élaborez des plans de correctifs plus pertinents en fonction du contexte d'exposition.
- Mettez à jour les systèmes d'exploitation, les applications et les stratégies dans le cadre d'une correction automatisée.
- Considérez la validation , les mesures correctives, la nouvelle analyse et la production de rapports comme des processus continus en boucle fermée.
- Réduisez les risques liés à l' dans des environnements modernes et hétérogènes, au rythme requis
La gestion de l'exposition axée sur la correction donne la priorité à la résolution immédiate des failles de sécurité dès leur identification, plutôt que de se limiter à leur évaluation ou à leur signalement. Une plateforme complète de gestion des risques de sécurité, dont le principe fondamental repose sur la correction automatisée, associe la détection continue des vulnérabilités et l'évaluation des risques à des workflows de correction intégrés et automatisés.
Cette approche nous permet de réduire en permanence la surface d'attaque, ce qui se traduit par une diminution du risque de cyberattaques coûteuses et des possibilités offertes aux pirates, ainsi que par une amélioration de la résilience. Pour ces raisons, toute personne souhaitant améliorer la gestion des risques cybernétiques et le respect des obligations réglementaires, ainsi que renforcer la sécurité globale de son organisation, devrait réorienter sa gestion des risques afin de privilégier les mesures correctives.
