La visibilité n’est pas le problème.
La gestion des vulnérabilités n’échoue pas parce que les équipes de sécurité manquent de visibilité. La plupart des organisations disposent déjà de plus de résultats qu’elles ne peuvent raisonnablement en traiter. Pourtant, malgré toutes ces découvertes, de nombreux RSSI ont encore du mal à répondre à une question trompeusement simple : sommes-nous réellement de plus en plus difficiles à attaquer ?
Cette question est au centre d’un problème croissant. Les programmes de sécurité sont devenus très efficaces pour détecter les problèmes, mais détecter les problèmes et réduire les risques ne sont pas la même chose. Dans de nombreuses organisations, ces deux concepts sont devenus interchangeables, ce qui explique précisément pourquoi la gestion traditionnelle des vulnérabilités commence à s’effondrer.
L’hypothèse sous-jacente à la gestion des vulnérabilités est simple. Si vous parvenez à identifier les vulnérabilités, à les hiérarchiser et à les corriger, le risque devrait diminuer. Cette logique fonctionnait raisonnablement bien lorsque les environnements étaient plus petits, que les infrastructures évoluaient plus lentement et que les vulnérabilités étaient traitées comme le principal indicateur de risque.
Les environnements d’aujourd’hui fonctionnent différemment. Les vulnérabilités sont rarement rencontrées isolément et ne constituent souvent qu’un élément d’un problème de sécurité plus vaste. Le défi n’est plus de trouver les vulnérabilités. Le défi consiste à comprendre l’exposition.
Ce changement est l’une des raisons pour lesquelles le Gartner® Le cadre de gestion continue de l’exposition aux menaces (CTEM) a gagné du terrain. Fondamentalement, le cadre reconnaît que la compréhension du risque nécessite de regarder au-delà des vulnérabilités individuelles et d’évaluer les expositions plus larges que les attaquants peuvent réellement exploiter.
Pourquoi la priorisation continue d’être insuffisante
Le défi devient évident lorsque les organisations tentent de hiérarchiser les risques. La gestion traditionnelle des vulnérabilités évalue les résultats individuellement, en utilisant souvent les scores de gravité comme indicateur du risque. Les attaquants adoptent une approche différente. Ils évaluent comment les faiblesses se connectent, quel accès elles offrent et comment elles peuvent être combinées pour atteindre un objectif significatif.
Cette distinction est importante car la gravité et le risque ne sont pas la même chose. Une vulnérabilité critique qui ne peut pas être atteinte ou exploitée peut représenter très peu de risque pratique. Parallèlement, un problème de moindre gravité combiné à des informations d’identification faibles, des autorisations excessives ou une relation d’identité mal configurée peut créer un chemin direct vers des systèmes et des données sensibles.
Les attaquants le comprennent instinctivement. Ils n’attaquent pas les vulnérabilités une par une. Ils enchaînent les faiblesses, se déplacent latéralement à travers les environnements, augmentent leurs privilèges et poursuivent le chemin qui les rapproche le plus de leur objectif.
La gravité n’est pas un risque
L’une des principales raisons pour lesquelles les efforts de gestion des vulnérabilités rencontrent aujourd’hui des difficultés est que la gravité est devenue un substitut au risque. Il est facile de comprendre pourquoi. Les scores de gravité fournissent un moyen standardisé de comparer les résultats, aidant ainsi les équipes à trier de grands volumes de vulnérabilités et à établir des priorités de remédiation.
Une vulnérabilité n’a d’importance que si elle contribue à la capacité d’un attaquant à atteindre un objectif, que cet objectif consiste à accéder à des données sensibles, à élever ses privilèges ou à se déplacer latéralement dans un environnement. Dans tous les cas, la question n’est pas : « Quelle est la gravité de cette vulnérabilité ? » mais plutôt : « Cette faiblesse peut-elle être utilisée dans le cadre d’un chemin vers quelque chose de précieux ?
Ce sont des questions fondamentalement différentes. On mesure les caractéristiques d’un résultat. L’autre évalue l’opportunité qu’elle crée pour un attaquant. À mesure que les environnements deviennent de plus en plus interconnectés, l’écart entre ces perspectives continue de se creuser.
L’exposition est plus grande que les vulnérabilités
La visibilité vous indique quelles vulnérabilités existent. L’exposition vous indique comment les attaquants peuvent les utiliser.
Cette distinction devient de plus en plus importante car l’exposition est plus large qu’une vulnérabilité. Cela inclut les relations entre les faiblesses, les identités, les autorisations, les actifs, les relations de confiance et les systèmes d’entreprise qui créent des opportunités pour les attaquants.
Une vulnérabilité peut contribuer à l’exposition, mais elle représente rarement toute l’histoire. Considérez une vulnérabilité de moindre gravité qui existe sur un système avec des autorisations excessives. En soi, aucune de ces questions ne peut paraître urgente. Ensemble, ils peuvent fournir un chemin direct vers des données sensibles ou une infrastructure critique.
Imaginons maintenant un attaquant qui compromet un système de faible valeur. Dans un modèle traditionnel de gestion des vulnérabilités, l’accent reste mis sur la vulnérabilité qui a permis l’accès. Dans un modèle de gestion de l’exposition, l’accent est mis sur ce qui se passe ensuite :
- Que peut atteindre l’attaquant ?
- Quelles identités peuvent être abusées ?
- Quelles autorisations peuvent être exploitées ?
- Quels systèmes deviennent accessibles ?
La vulnérabilité a peut-être permis l’intrusion, mais l’exposition détermine l’impact. C’est pourquoi comprendre l’exposition nécessite de regarder au-delà des constatations individuelles et d’évaluer la manière dont les faiblesses interagissent dans l’environnement.
Le même principe s’applique aux environnements cloud, aux systèmes d’identité, à Active Directory, aux accès tiers et aux environnements hybrides. Les attaquants ne compromettent pas les organisations car une vulnérabilité existe. Ils compromettent les organisations car de multiples conditions créent une opportunité d’atteindre quelque chose de précieux.
C’est la définition de l’exposition.
Pourquoi la gestion de l’exposition remplace la gestion des vulnérabilités
Les attaquants ont déjà pris ce virage. L’industrie rattrape enfin son retard.
La gestion des vulnérabilités a aidé les organisations à comprendre ce qui ne fonctionnait pas. La gestion de l’exposition aide les organisations à comprendre ce que les attaquants peuvent réellement faire.
À mesure que les environnements deviennent de plus en plus interconnectés, l’objectif n’est plus d’identifier toutes les vulnérabilités. L’objectif est de comprendre quelles combinaisons de faiblesses créent un risque significatif et où les mesures permettront de réduire ce risque le plus efficacement possible.
Pour les RSSI, cela change la conversation.
Au lieu de demander :
- Combien de vulnérabilités avons-nous ?
- À quelle vitesse les corrigeons-nous ?
Les questions les plus importantes deviennent :
- Que peut réellement atteindre un attaquant ?
- Quelles expositions créent un risque commercial significatif ?
- Que devrions-nous réparer en premier ?
- Sommes-nous de plus en plus difficiles à attaquer ?
Ce sont des questions de gestion de l’exposition. Et à mesure que les attaquants découvrent de nouvelles façons d’identifier et d’exploiter les opportunités à la vitesse de la machine, ces questions deviennent de plus en plus importantes.
Découvrez comment les organisations opérationnalisent la gestion de l’exposition via CTEM en téléchargeant le document « Vous découvrirez comment les équipes dirigeantes vont au-delà de la visibilité et élaborent des programmes axés sur une réduction mesurable de l’exposition.
