Les 8 meilleures pratiques en matière de gestion de la vulnérabilité

Meilleures pratiques en matière de gestion de la vulnérabilité

Plus les systèmes d'une organisation sont vulnérables, plus un pirate a la possibilité d'y accéder et de nuire à l'entreprise, à ses employés et à ses clients.

Lors de la conception et de la mise en œuvre d'un processus de gestion de la vulnérabilité, tenez compte des meilleures pratiques suivantes.

#1. Effectuez régulièrement des analyses de vulnérabilité

Les scanners de vulnérabilité sont des outils automatisés utilisés pour identifier les vulnérabilités potentielles et autres risques de sécurité au sein d'un site application. Les analyses étant automatisées et pouvant être programmées, elles n'entraînent qu'une charge supplémentaire minime pour l'équipe chargée de la sécurité.

Les organisations devraient procéder à des analyses de vulnérabilité :

• À intervalles réguliers : Les équipes de sécurité devraient programmer des analyses de vulnérabilité à un rythme fixe (quotidien, hebdomadaire, etc.). Cela permet d'identifier toute nouvelle vulnérabilité découverte ou introduite dans leur environnement.
• Pour les nouveaux logiciels : avant et après le déploiement d'un nouveau logiciel application, il convient d'analyser la vulnérabilité du logiciel. Cela permet de s'assurer qu'aucun nouveau risque de sécurité n'est introduit dans l'environnement d'une organisation.
• Lorsque de nouvelles vulnérabilités sont annoncées : Certaines vulnérabilités - comme Log4J - nécessitent une action immédiate. Lorsqu'une nouvelle vulnérabilité majeure est annoncée, une organisation devrait procéder à une analyse ad hoc de la vulnérabilité afin de déterminer son exposition au risque.

Lors de la conception d'un programme d' évaluation de la vulnérabilité, il est également important de prendre en compte la visibilité des différentes vulnérabilités. Idéalement, les analyses de vulnérabilité seront effectuées à la fois depuis l'extérieur et l'intérieur du réseau de l'entreprise et avec différents niveaux de privilèges (utilisateur non authentifié, utilisateur authentifié, administrateur).

#2. Appliquez rapidement les correctifs

Lorsqu'un fabricant de logiciels a connaissance d'une nouvelle vulnérabilité dans l'un de ses produits, il développe et publie un correctif pour y remédier. Dès qu'un correctif est annoncé et publié, les cybercriminels peuvent commencer à le rechercher et à l'exploiter en l'espace de quelques heures.

Les organisations doivent prévoir d'appliquer les correctifs dès que possible. Voici quelques éléments clés d'une stratégie de correctifs :

• Priorité aux correctifs : Certains correctifs concernent des vulnérabilités critiques, tandis que d'autres peuvent affecter des actifs informatiques de grande valeur. Les correctifs doivent être classés par ordre de priorité afin de maximiser l'impact potentiel sur l'exposition d'une organisation aux cyber-risques.
• Test des correctifs : Idéalement, les administrateurs testent un correctif dans un environnement réaliste avant de le déployer sur les systèmes de production. Cela permet de valider l'efficacité du correctif et de s'assurer qu'il n'introduit pas de nouveaux problèmes de sécurité.
• Déploiements automatisés : Les organisations ont souvent de nombreux correctifs à appliquer, et certains d'entre eux peuvent affecter de nombreux systèmes. L'automatisation des flux de correctifs est essentielle pour appliquer rapidement et efficacement des correctifs à grande échelle.
• Validation de la mise à jour : Après l'application d'une mise à jour, le système corrigé doit être évalué à nouveau à l'aide d'un scanner de vulnérabilité. Cela permet de valider que le correctif a été appliqué avec succès et qu'aucun nouveau risque de sécurité n'a été introduit.

#3. Établir un ordre de priorité des risques

Presque toutes les applications contiennent au moins une vulnérabilité, ce qui signifie que les organisations ont souvent plus de systèmes vulnérables qu'elles ne peuvent en corriger efficacement. Lorsqu'elles décident de l'affectation de leurs ressources et de leurs efforts, les équipes de sécurité doivent classer les correctifs par ordre de priorité.

Lorsqu'une équipe de sécurité se demande quand et si elle doit appliquer un correctif, il convient de garder à l'esprit les éléments suivants :

• Notes de gravité : De nombreuses vulnérabilités sont associées à des scores CVSS (Common Vulnérabilité Scoring System) qui décrivent le degré de gravité du problème. Toutes choses égales par ailleurs, une vulnérabilité critique doit être corrigée avant une vulnérabilité élevée, moyenne ou faible.
• Criticité du système : Les correctifs peuvent remédier à la vulnérabilité de systèmes ayant différents niveaux d'importance pour l'organisation. Par exemple, une vulnérabilité dans la base de données "joyau de la couronne" de l'organisation peut avoir beaucoup plus d'impact si elle est exploitée qu'une vulnérabilité de gravité plus élevée dans un système moins important.
• L'étendue de l'impact : Certaines vulnérabilités peuvent exister dans un seul système, tandis que d'autres peuvent avoir un impact sur l'ensemble de l'organisation. Les vulnérabilités qui touchent un grand nombre de systèmes peuvent nécessiter des correctifs avant celles qui n'affectent qu'un petit nombre d'appareils.
• Ressources nécessaires : Certains correctifs, tels que les mises à jour du système d'exploitation Windows, sont conçus pour être automatisés, tandis que d'autres nécessitent des opérations manuelles. L'impact d'un correctif doit également être évalué par rapport à l'effort nécessaire pour l'appliquer.

En fin de compte, une organisation ne va pas (et ne devrait probablement pas) patcher chaque vulnérabilité, car chacune d'entre elles consomme des ressources qui pourraient être utilisées de manière plus rentable ailleurs. La décision de savoir quand et quoi patcher doit être basée sur la menace posée par la maladie :

• Une vulnérabilité particulière
• La tolérance au risque de l'organisation

#4. Gérer les configurations du système

Certaines vulnérabilités sont créées par des erreurs dans le code application. Par exemple, les vulnérabilités liées aux injections SQL et aux débordements de mémoire tampon sont dues au non-respect des meilleures pratiques en matière de codage sécurisé. Cependant, d'autres vulnérabilités sont introduites lors du déploiement et de la configuration de application.

De nouvelles vulnérabilités de sécurité peuvent être introduites par :

• Mots de passe faibles
• L'utilisation des paramètres par défaut

Les organisations peuvent gérer ce problème en définissant et en appliquant l'utilisation d'une configuration de base sécurisée pour toutes les applications et tous les systèmes de l'entreprise. L'utilisation de ce référentiel doit être renforcée par des audits réguliers et des systèmes de gestion de la configuration.

#5. Exploiter les renseignements sur les menaces

renseignements sur les menaces donne un aperçu des menaces et des campagnes de cyberattaques auxquelles une organisation est le plus susceptible d'être confrontée. Si d'autres organisations du même secteur, de la même juridiction ou de la même taille sont la cible d'une menace particulière, il est probable que votre entreprise le sera aussi.

Les renseignements sur les menaces peuvent s'avérer très utiles pour hiérarchiser les efforts de remédiation et d'atténuation de la vulnérabilité. vulnérabilité qui font l'objet d'une exploitation active doivent être corrigés immédiatement si possible.

Si aucun correctif ne peut être appliqué, l'organisation doit mettre en place une surveillance et toutes les mesures préventives disponibles pour réduire le risque d'exploitation.

#6. Intégrer la réponse aux incidents

la gestion de la vulnérabilité et la réponse aux incidents sont des efforts liés et complémentaires.

Idéalement, la gestion de la vulnérabilité supprime le besoin de réponse aux incidents en éliminant les risques de sécurité avant qu'ils ne puissent être exploités. Mais ce n'est pas toujours le cas.

Si une organisation subit une cyberattaque, l'accès aux données de gestion de la vulnérabilité peut accélérer le processus de réponse à l'incident. Si l' équipe de réponse aux incidents (IRT) sait qu'une vulnérabilité particulière existe dans les systèmes d'une organisation, cela peut accélérer l'analyse des causes profondes et les efforts de remédiation.

D'un autre côté, les informations issues de la réponse aux incidents peuvent également éclairer les efforts de remédiation de la vulnérabilité.

Les intervenants peuvent identifier des vulnérabilités inconnues ou découvrir qu'une vulnérabilité non gérée fait l'objet d'une exploitation active. Ces données peuvent aider l'équipe de sécurité à traiter les vulnérabilités à haut risque et à mettre à jour son classement des risques par ordre de priorité afin d'éviter que des incidents similaires ne se produisent à l'avenir.

#7. Adoptez l'amélioration continue

La gestion de la vulnérabilité est un processus continu pour la plupart des organisations. De nouvelles vulnérabilités sont découvertes et divulguées chaque jour, de sorte que la plupart des équipes de sécurité ont un arriéré constant de vulnérabilités à évaluer et de correctifs à appliquer.

Comme il n'est probablement pas possible d'éliminer complètement la vulnérabilité, les équipes de sécurité devraient s'efforcer d'améliorer leurs programmes de gestion de la vulnérabilité au fil du temps.

Voici quelques indicateurs à prendre en compte :

• Nombre de vulnérabilités qui atteignent les systèmes de production.
• Temps moyen pour identifier une nouvelle vulnérabilité.
• Temps moyen pour corriger une vulnérabilité.
• Délai moyen de correction d'une vulnérabilité critique ou de haute gravité.
• Nombre total de vulnérabilités dans les systèmes de production.

#8. Tenir compte des exigences de conformité

Les entreprises doivent tenir compte d'une série de réglementations et de normes lorsqu'elles élaborent leurs programmes de gestion de la sécurité et de la vulnérabilité. L'exploitation des vulnérabilités est un moyen courant de violation des données sensibles, et les entreprises doivent gérer ces risques.

Lors de la définition des plans et des processus de gestion des correctifs, les équipes de sécurité doivent tenir compte des types de données traitées par les différents systèmes et de leurs implications réglementaires.

Par exemple, certains systèmes peuvent avoir besoin d'être priorisés dans le processus de correction en raison des exigences de conformité.