Corrigez d'abord ce qui ouvre la porte
Vos outils vous remontent des centaines d'alertes critiques. Aucun ne vous dit par laquelle commencer.
Un attaquant n'exploite pas une faille isolée. Il en enchaîne plusieurs pour atteindre ce qui compte chez vous. Nous reconstituons ces enchaînements, les chaînes d'attaque, et nous repérons les quelques failles qui se trouvent au croisement de plusieurs d'entre elles. Vous corrigez celles-là en premier, et vous fermez plusieurs chemins d'un seul geste.
Des centaines d'alertes, aucune priorité
Le score d'une faille vous dit qu'elle est grave. Il ne vous dit ni si un attaquant peut l'atteindre, ni ce qu'elle lui ouvre une fois exploitée. Vous corrigez donc au volume, sans pouvoir démontrer que vous avez traité le bon problème en premier. Le jour où l'incident arrive, « j'ai suivi les scores » n'explique pas grand-chose devant une direction qui doit rendre des comptes.
Comment nous trouvons le bon ordre
Les chemins qu'un attaquant emprunte
Nous reconstituons les enchaînements réels qui mènent de l'extérieur à vos données sensibles, au lieu d'une liste de failles à plat.
Ce qui est vraiment attaquable, pas la note théorique
Chaque chemin est pesé par sa difficulté réelle d'exploitation et par ce qu'il permet d'atteindre chez vous.
La faille qui ouvre plusieurs chemins
Certaines failles se trouvent au croisement de plusieurs chaînes d'attaque. Nous les appelons des vulnérabilités-pivots. Les corriger désamorce plusieurs menaces à la fois. C'est votre meilleur point d'appui.
Un ordre que vous pouvez expliquer
Vous obtenez une liste ordonnée : quoi corriger en premier, et ce que chaque correction referme.
Corriger au bon endroit
Une seule correction peut refermer plusieurs chemins d'attaque. Nous appelons cela une vulnérabilité-pivot. Trois d'entre elles referment onze chemins, pour environ 15 000 euros de correction contre 4,2 millions d'euros de risque écarté. Ce ratio, vous le posez sur la table pour justifier vos priorités.
Chiffres donnés à titre d'illustration, observés en démonstration.
Savoir par où commencer
Vous montrez à votre direction pourquoi cette priorité passe avant les autres.
« Pour la première fois, je peux vérifier le travail de notre prestataire et présenter nos priorités au conseil d'administration sans traduire. La direction comprend où va le budget, et pourquoi. »
Patrick Da FonsecaDirecteur Infrastructure et Sécurité, GaranceQuestions fréquentes
Pourquoi ne pas corriger d'abord les failles au score le plus élevé ?
Parce qu'un score élevé sur une faille qu'aucun attaquant ne peut atteindre ne menace pas votre activité, tandis qu'une faille moyenne bien placée peut ouvrir tout un chemin. Nous priorisons ce qui est réellement atteignable et ce que ça permet d'atteindre.
Qu'est-ce qu'une vulnérabilité-pivot ?
Une faille située au croisement de plusieurs chemins d'attaque. La corriger en referme plusieurs d'un coup. C'est le point où un même effort réduit le plus de risque.
En quoi est-ce différent d'une priorisation fondée sur le risque ?
Une priorisation fondée sur le risque reste souvent une pondération de scores. Nous partons du chemin d'attaque réel : ce n'est pas la gravité théorique d'une faille qui décide, c'est ce qu'elle ouvre concrètement chez vous.
Faut-il installer un scanner de plus ?
Non. Nous partons de ce qui est déjà mesuré chez vous et nous reconstituons les chemins. La valeur n'est pas une mesure de plus, c'est la mise en relation qui révèle les failles-clés.
Voyez par où commencer
Parlons de votre environnement et des chemins d'attaque qui le traversent.