La Cybersecurity and Infrastructure Security Agency (CISA) abandonne la publication de récapitulatifs hebdomadaires des vulnérabilités, reflétant une volonté plus large d’aider les organisations à se concentrer sur les failles les plus susceptibles de créer un risque opérationnel significatif.
Ce changement s’inscrit dans la continuité des recommandations de longue date de la CISA et d’autres autorités de sécurité : la gestion des vulnérabilités ne doit pas être guidée uniquement par le volume de nouvelles failles divulguées ou par les scores de gravité considérés isolément. Les défenseurs sont plutôt encouragés à évaluer des facteurs tels que l’exploitation active, l’exposition des systèmes concernés, la disponibilité de mesures d’atténuation et l’impact potentiel d’une compromission sur l’activité.
Prioriser les vulnérabilités qui comptent
Les équipes de sécurité sont régulièrement confrontées à un grand nombre de divulgations concernant des systèmes d’exploitation, des applications, des équipements réseau, des services cloud et des produits tiers. Traiter chaque avis comme étant aussi urgent peut mobiliser des ressources limitées de correction et d’ingénierie, tout en laissant les systèmes présentant les risques les plus élevés insuffisamment protégés.
Une approche fondée sur les risques peut aider les organisations à identifier les problèmes qui nécessitent une action immédiate. Les vulnérabilités dont l’exploitation est connue, qui affectent des actifs exposés à Internet, qui permettent à un attaquant d’obtenir des privilèges élevés ou qui pourraient perturber des services critiques méritent généralement une attention prioritaire par rapport aux problèmes moins exposés ou ayant un impact plus faible.
- Identifier les actifs accessibles depuis Internet ou prenant en charge des fonctions critiques.
- Suivre si une vulnérabilité est exploitée ou si un code d’exploitation public fiable existe.
- Prendre en compte les conséquences opérationnelles et commerciales d’une attaque réussie.
- Appliquer les correctifs ou les mesures d’atténuation des fournisseurs en fonction des risques priorisés.
- Utiliser des contrôles compensatoires lorsqu’une application immédiate des correctifs n’est pas possible.
Conséquences pour les défenseurs
La fin des synthèses hebdomadaires régulières ne réduit pas la nécessité, pour les organisations, de surveiller les informations sur les vulnérabilités. Elle met plutôt davantage l’accent sur l’intégration du renseignement sur les menaces, des données d’inventaire des actifs et de la gestion de l’exposition dans les décisions de correction.
Les organisations peuvent également tirer profit du maintien de procédures d’escalade claires pour les vulnérabilités hautement prioritaires et de la vérification régulière que les mesures de remédiation ont été menées à bien. En se concentrant sur les vulnérabilités les plus susceptibles d’être utilisées dans des attaques réelles, les équipes de sécurité peuvent orienter leurs efforts vers la réduction du risque concret plutôt que vers la simple diminution du nombre de constats non résolus.