Scanner de vulnérabilités
Outil qui analyse automatiquement serveurs, postes et sites web pour repérer les failles connues et les mauvaises configurations.
Définition complète
Un scanner de vulnérabilités interroge automatiquement les équipements du système d'information (serveurs, postes, équipements réseau, sites web) pour identifier les logiciels obsolètes, les failles connues (référencées par un identifiant CVE) et certaines erreurs de configuration, comme un service d'administration exposé sur internet.
Il produit un rapport qui classe les failles par gravité, souvent à l'aide du score CVSS. Un scan peut être externe (ce qu'un attaquant voit depuis internet) ou interne (depuis le réseau de l'entreprise), et authentifié ou non, les scans authentifiés étant plus précis.
Le scan ne remplace pas un test d'intrusion : il détecte des failles connues de manière automatique, sans chercher à les exploiter ni à enchaîner plusieurs faiblesses comme le ferait un auditeur. Son intérêt est d'être régulier, car de nouvelles failles sont publiées chaque jour.
Source : NIST SP 800-115, Technical Guide to Information Security Testing and Assessment
Exemple concret
Un fabricant de meubles de 70 salariés dans les Vosges fait réaliser un scan externe mensuel. Le rapport signale que le boîtier VPN utilisé pour le télétravail fonctionne avec une version affectée par une faille critique, activement exploitée par des groupes de rançongiciels. Le prestataire applique la mise à jour dans la journée, avant que l'équipement ne soit ciblé.
Comment se protéger
- Tenir un inventaire à jour de tout ce qui est exposé sur internet, puis le scanner en priorité
- Planifier des scans réguliers (au moins mensuels) plutôt qu'un contrôle ponctuel
- Traiter d'abord les failles critiques sur les équipements exposés et celles connues comme exploitées
- Relancer un scan après correction pour vérifier que la faille a disparu
- Prévenir l'hébergeur et les équipes avant un scan pour éviter les fausses alertes d'attaque
- Compléter par un test d'intrusion pour les applications et systèmes critiques
Questions fréquentes
Les deux se complètent. Le scan, automatique et fréquent, repère les failles connues. Le test d'intrusion, mené par un expert, vérifie ce qu'un attaquant peut réellement obtenir en exploitant et combinant les faiblesses.
C'est rare mais possible sur des équipements anciens ou industriels. On limite le risque en planifiant les scans hors heures critiques et en excluant ou ménageant les systèmes fragiles.
Termes liés
CSPM
Outil qui vérifie en continu la configuration de vos environnements cloud et signale les réglages dangereux.
CVE et CVSS
CVE identifie chaque faille publique par un numéro unique ; CVSS note sa gravité de 0 à 10 pour prioriser les correctifs.
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Vous avez besoin d'un expert en Scanner de vulnérabilités ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.