Vulnérabilité
Faiblesse d'un logiciel, d'un équipement, d'une configuration ou d'une procédure qu'un attaquant peut exploiter.
Définition complète
Une vulnérabilité est, selon le NIST, une faiblesse d'un système d'information, de procédures de sécurité, de contrôles internes ou de leur mise en œuvre, qui peut être exploitée ou déclenchée par une source de menace.
Elle peut être logicielle (défaut de programmation dans un logiciel, un VPN, un site web), liée à une configuration (mot de passe par défaut, service inutile exposé sur Internet) ou organisationnelle (compte d'un ancien salarié jamais désactivé). Les vulnérabilités logicielles publiques reçoivent un identifiant CVE et une note de gravité ; le CERT-FR publie des avis et des alertes sur les plus importantes.
L'ANSSI rappelle que de nouvelles failles sont découvertes régulièrement et constituent autant de portes d'entrée : il faut s'informer de leur apparition et appliquer les correctifs dans le mois qui suit leur publication par l'éditeur. Une vulnérabilité ne devient un risque que si elle est exploitable et touche un actif important : c'est ce qui permet de prioriser.
Sources : NIST, glossaire CSRC : Vulnerability ; ANSSI, Guide d'hygiène informatique
Exemple concret
Un cabinet d'architectes de 18 personnes utilise un boîtier VPN pour le télétravail. Le CERT-FR publie une alerte sur une vulnérabilité critique activement exploitée sur ce modèle. Le prestataire informatique, qui suit ces alertes, applique le correctif le soir même. Deux semaines plus tard, un confrère qui n'avait pas mis à jour le même équipement est victime d'un rançongiciel.
Comment se protéger
- Tenir un inventaire à jour des logiciels et équipements, en particulier ceux exposés sur Internet
- Suivre les alertes du CERT-FR et des éditeurs utilisés
- Appliquer les correctifs critiques en priorité, surtout sur les équipements exposés
- Faire scanner régulièrement les systèmes exposés pour détecter les failles connues
- Remplacer ou isoler les logiciels et matériels qui ne sont plus maintenus
- Supprimer les comptes inutiles et les mots de passe par défaut
Questions fréquentes
CVE (Common Vulnerabilities and Exposures) est un identifiant public attribué à une vulnérabilité connue, par exemple CVE-2024-12345. Il permet à tous de parler de la même faille.
La vulnérabilité est la faiblesse, la menace est ce qui peut l'exploiter (un attaquant, un rançongiciel), le risque est la combinaison des deux avec l'impact possible sur l'entreprise.
Une vulnérabilité exploitée par des attaquants avant que l'éditeur n'ait publié de correctif. Les mesures de défense en profondeur limitent alors les dégâts.
Termes liés
CERT et CSIRT
Équipes spécialisées dans la prévention, la détection et le traitement des incidents de cybersécurité ; en France, le CERT-FR et les CSIRT régionaux.
Durcissement (hardening)
Configuration d'un système pour supprimer tout ce qui est inutile et activer les protections, afin de réduire les possibilités d'attaque.
Gestion des correctifs (patch management)
Processus qui identifie, priorise, installe et vérifie les mises à jour de sécurité sur tous les logiciels et équipements.
Surface d'attaque
Ensemble des points par lesquels un attaquant peut tenter d'entrer dans le système d'information ou d'en extraire des données.
Vous avez besoin d'un expert en Vulnérabilité ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.