CVSS

Définition du CVSS

Le Common Vulnerability Scoring System (CVSS) est un cadre standardisé utilisé pour évaluer et communiquer la gravité des vulnérabilités logicielles. Il fournit aux organisations et aux professionnels de la sécurité un langage commun pour hiérarchiser la remédiation des vulnérabilités en fonction de leur impact potentiel.

Le CVSS utilise un système de notation de 0,0 à 10,0 pour évaluer les vulnérabilités, un score plus élevé indiquant une menace plus grave. Ce système de notation prend en compte l'impact de la vulnérabilité sur la confidentialité, l'intégrité et la disponibilité, ainsi que d'autres facteurs tels que l'exploitabilité et la complexité de l'attaque. En attribuant des scores aux vulnérabilités, le CVSS aide les organisations à prioriser les mesures de sécurité et à allouer efficacement les ressources.

Comment fonctionne le CVSS

Le CVSS utilise trois groupes de métriques : Base, Temporaire et Environnemental. Chaque groupe offre des perspectives uniques sur la vulnérabilité évaluée.

Métriques de base

Les métriques de base sont des indicateurs fondamentaux des caractéristiques d'une vulnérabilité. Ces métriques incluent :

• Vecteur d'attaque : Définit comment la vulnérabilité peut être exploitée, par exemple via un réseau local ou un réseau adjacent.
• Complexité de l'attaque : Indique le niveau d'expertise requis pour exploiter la vulnérabilité.
• Privilèges requis : Spécifie le niveau de privilèges qu'un attaquant doit posséder pour exploiter la vulnérabilité.
• Interaction de l'utilisateur : Indique si une interaction utilisateur est nécessaire pour exploiter la vulnérabilité.
• Périmètre : Détermine si la vulnérabilité n'affecte que le composant vulnérable ou si elle a un impact plus large.
• Impact sur la Confidentialité, l'Intégrité et la Disponibilité (CIA) : Mesure l'impact sur ces trois aspects de la sécurité de l'information.

Sur la base de ces métriques, chaque vulnérabilité reçoit un score de 0,0 à 10,0, 10,0 étant le plus grave. Le score reflète l'évaluation globale du risque de la vulnérabilité.

Métriques temporelles

Les métriques temporelles capturent les caractéristiques temporelles d'une vulnérabilité. Ces métriques incluent :

• Maturité du code d'exploitation : Représente la probabilité qu'un exploit soit développé et rendu disponible.
• Niveau de remédiation : Indique la disponibilité d'une remédiation ou d'une solution de contournement pour la vulnérabilité.
• Confiance du rapport : Reflète le niveau de confiance dans l'existence de la vulnérabilité et l'exactitude des informations disponibles.

Ces métriques permettent d'ajuster le score de base pour refléter la nature évolutive des vulnérabilités et la disponibilité des contre-mesures.

Métriques environnementales

Les métriques environnementales permettent aux organisations de personnaliser le score CVSS en fonction des caractéristiques uniques de leur environnement. Les facteurs pris en compte incluent :

• Potentiel de dommages collatéraux : Évalue l'impact potentiel sur les systèmes ou les données au-delà du périmètre immédiat de la vulnérabilité.
• Distribution de la cible : Considère la prévalence du composant vulnérable dans l'environnement.
• Exigence de confidentialité : Reflète l'importance de la confidentialité pour le système ou les données impactés.
• Exigence d'intégrité : Reflète l'importance de l'intégrité pour le système ou les données impactés.
• Exigence de disponibilité : Reflète l'importance de la disponibilité pour le système ou les données impactés.

En tenant compte de ces facteurs, les organisations peuvent ajuster le score CVSS à leurs circonstances spécifiques et prioriser les efforts de remédiation en conséquence.

Conseils de prévention

Pour utiliser efficacement le CVSS au sein de votre organisation, considérez les conseils de prévention suivants :

1. Évaluer et noter régulièrement les vulnérabilités : Effectuez des évaluations de vulnérabilités en utilisant le cadre CVSS pour identifier, classifier et noter les vulnérabilités dans vos systèmes. Ce processus continu garantit une compréhension à jour des vulnérabilités présentes dans votre environnement.

2. Se concentrer sur les vulnérabilités les mieux notées : Priorisez la remédiation des vulnérabilités avec des scores plus élevés car elles représentent un risque plus grand pour vos systèmes. En vous concentrant sur ces vulnérabilités, vous pouvez allouer les ressources de manière efficace et atténuer les menaces potentielles plus rapidement.

3. Restez à jour avec la dernière version du CVSS : Le CVSS évolue continuellement pour répondre à de nouveaux défis et améliorer la précision. Il est crucial de rester informé sur la dernière version du CVSS pour s'assurer que vos évaluations de vulnérabilités sont conformes aux normes et meilleures pratiques les plus récentes.

En suivant ces conseils de prévention, vous pouvez utiliser efficacement le cadre CVSS pour évaluer et prioriser les vulnérabilités au sein des systèmes de votre organisation, renforçant ainsi votre posture de sécurité globale.

Termes associés

• Vulnerability Assessment : Le processus d'identification, de classification et de hiérarchisation des vulnérabilités dans les systèmes informatiques.
• Exploitability : La probabilité qu'une vulnérabilité soit exploitée et la facilité avec laquelle cela peut être accompli.