Identifier les failles systématiquement

Une évaluation des vulnérabilités est le processus d'identification, de quantification et de priorisation des vulnérabilités (faiblesses) dans un système.

Vulnérabilité vs Exploit

• Vulnérabilité : Une faiblesse dans le système (ex : « Le serveur web utilise un logiciel obsolète »).
• Exploit : Code ou séquence de commandes tirant parti d'une vulnérabilité pour provoquer un comportement involontaire (ex : « Le code qui fait planter le serveur web obsolète et me donne un shell »).

Notation des vulnérabilités (CVSS)

Nous devons prioriser les correctifs. Le système de notation commun des vulnérabilités (CVSS) fournit une méthode standard pour calculer la gravité des vulnérabilités informatiques (scores de 0,0 à 10,0).

• Critique (9,0-10,0) : Nécessite une attention immédiate.
• Élevé (7,0-8,9) : Nécessite une remédiation prioritaire.

Les scanners de vulnérabilités automatisent ce processus en croisant les services/versions découverts avec des bases de données de CVE (Common Vulnerabilities and Exposures) connues.