Gestion des vulnérabilités avec priorisation basée sur les risques

Les environnements en nuage sont dynamiques, avec des durées de vie des conteneurs courtes et un nouveau code déployé quotidiennement, voire continuellement. L’identification, l’évaluation, la hiérarchisation, la gestion et la remédiation sont différentes dans le nuage par rapport aux centres de données sur site ou aux appareils des utilisateurs finaux, ce qui nécessite des solutions adaptées.

Les solutions de gestion des vulnérabilités comprennent un ensemble de capacités permettant d’identifier, d’évaluer, de hiérarchiser, de gérer et de remédier aux vulnérabilités. Pourtant, dans les environnements en nuage dynamiques – avec des conteneurs dont la durée de vie typique est de quelques heures seulement et un nouveau code déployé quotidiennement, voire toutes les heures ou en continu – chaque composant de ce flux de travail diffère considérablement de la gestion de la vulnérabilité des centres de données sur site ou des appareils des utilisateurs finaux.

• L’identification est différente. Les balayages en réseau et authentifiés ne fonctionnent pas avec le nuage. Vous devez analyser le code tôt et souvent, au sein des flux de travail des développeurs, et également corréler et évaluer ce qui est déployé en production.
  L’évaluation est différente. La nomenclature du logiciel de votre application remplace les \”mises à niveau des packs de vulnérabilité\” et constitue votre nouvelle source de vérité.
• La définition des priorités est différente. Vous devez comprendre si les ressources sont exposées sur internet, les risques associés aux violation de compliance et les privilèges IAM trop permissifs, ou encore savoir si les paquets sont réellement actifs dans les applications.
• La gestion et la résolution des problèmes sont différentes. Étant donné que le système que vous corrigez est immuable (par exemple, les images de containers ou les Amazon Machine Images (AMI)), les informations sur les vulnérabilités doivent être facilement accessibles aux équipes de développement afin qu’elles puissent rapidement concevoir de nouvelles images avec des correctifs.

Toutes ces différences exigent une approche fondamentalement différente de la gestion des vulnérabilités dans le cloud, et vous aurez besoin d’une solution conçue spécifiquement pour le cloud pour relever ces défis.

Les outils de sécurité traditionnels ne peuvent pas faire face au volume croissant du nombre de vulnérabilités dans le cloud. Les solutions de gestion des vulnérabilités peuvent combler les lacunes en matière de visibilité en empêchant l’exploitation des vulnérabilités des logiciels qui mettent vos données en danger. Elles peuvent également découvrir de nombreuses listes de CVE (vulnérabilités et expositions communes).

Les vulnérabilités, connues ou non, se multiplient avec l’utilisation grandissante des logiciels open source. Dans les environnements cloud dynamiques, les outils de sécurité traditionnels ne peuvent pas faire face au volume croissant de vulnérabilités. Sans une solution de gestion des vulnérabilités, vous pourriez être confronté à des manques de visibilité qui laissent la porte ouverte à l’exploitation de vulnérabilités de logiciels et mettent vos données en danger.

En outre, de nombreuses solutions de gestion des vulnérabilités sont en mesure de produire de nombreuses listes de CVE, mais le manque de contexte d’exécution et de ressources compétentes peut rendre difficile le discernement des risques réels dans votre environnement.

Identifiez, évaluez les risques et corrigez en permanence les vulnérabilités à haut risque grâce à un processus en quatre étapes : analysez et identifiez vos actifs pour détecter les vulnérabilités ; évaluez l’impact et établissez des priorités ; traitez et appliquez des correctifs par le biais de la remédiation, de l’atténuation ou de la gestion des correctifs ; mesurez et établissez des rapports grâce à des évaluations régulières.

Afin d’identifier, d’évaluer les risques et de remédier aux vulnérabilités à haut risque de manière continue, le processus de gestion des vulnérabilités comporte quatre étapes.

Analyser et identifier les vulnérabilités
La première étape consiste à identifier les actifs considérés comme de grande valeur et critiques pour évaluer les vulnérabilités dans l’ensemble de votre infrastructure en nuage. Définissez chaque actif que vous souhaitez évaluer avec votre solution de gestion des vulnérabilités, choisissez la bonne méthode d’analyse pour chaque type d’actif et commencez à analyser vos actifs.

Évaluer et classer les vulnérabilités par ordre de priorité
Une fois les vulnérabilités identifiées à partir de vos analyses, l’étape suivante consiste à évaluer le niveau d’impact, l’exploitabilité et la position de risque de chaque actif, afin de pouvoir classer par ordre de priorité les vulnérabilités sur lesquelles se concentrer.

Le système CVSS (Common Vulnerability Scoring System) est un cadre permettant d’évaluer la gravité des vulnérabilités logicielles. Les scores de risque fournissent une bonne approximation de l’importance relative des vulnérabilités. Cependant, il est important de comprendre l’impact commercial potentiel du système affecté sur votre organisation elle-même. Un indicateur que vous pouvez utiliser pour évaluer le niveau d’impact est de mesurer le nombre d’images affectées par une vulnérabilité. Par exemple, une vulnérabilité de haute gravité présente sur des centaines de conteneurs en fonctionnement devrait probablement être corrigée avant une vulnérabilité critique qui n’apparaît que dans quelques conteneurs.

Avec autant de vulnérabilités à corriger, il est essentiel de prendre en compte l’exploitabilité d’une vulnérabilité. Le facteur clé de l’exploitabilité consiste à déterminer si un actif est exposé à l’Internet. Votre solution doit être capable d’évaluer si la configuration d’une charge de travail est exposée à l’Internet, puis de prendre en compte l’exposition à l’Internet dans le cadre du score de risque. Idéalement, cette valeur est également disponible comme filtre pour la hiérarchisation. En outre, lorsque vous réfléchissez à la hiérarchisation des conteneurs, vous devez cibler les images qui sont réellement déployées en production. En corrélant les données sur les risques de vulnérabilité avec les observations d’exécution, vous pouvez mieux prioriser les vulnérabilités à corriger en premier.

Traiter et patcher les vulnérabilités
La troisième étape consiste à prendre des mesures concernant les vulnérabilités identifiées. Cela peut se faire par le biais de la remédiation, de l’atténuation ou de la gestion des correctifs, ou en ne prenant aucune mesure.

Pour les vulnérabilités à haut risque, la remédiation nécessite généralement la mise à niveau du paquet vulnérable dans un référentiel de code. L’atténuation des vulnérabilités réduit l’impact potentiel d’un exploit tant que la vulnérabilité reste dans votre environnement. Cela signifie que les parties vulnérables d’un bien reçoivent des correctifs de sécurité parce qu’un correctif n’est pas encore disponible ou ne peut être pris à ce moment-là. Lorsque la vulnérabilité présente un risque faible ou nul, il est possible qu’aucune mesure ne soit prise.

Mesurer et rendre compte des vulnérabilités
Il est essentiel de procéder à des évaluations régulières pour comprendre l’efficacité de votre pratique de gestion des vulnérabilités et de votre processus de gestion des correctifs.

L’évaluation ou le rapport résume les principales conclusions concernant les actifs, les failles de sécurité et le risque global pour l’organisation. Les indicateurs clés de performance communs comprennent la mesure de la couverture de l’analyse et les délais d’exécution des correctifs. Par exemple, la couverture du balayage fait référence au pourcentage d’actifs pour lesquels des données complètes et précises sont disponibles. Les délais d’exécution des correctifs peuvent inclure la mesure du temps moyen de détection, du temps moyen de correction, du taux de récurrence des problèmes, et un regard sur l’évolution de ces chiffres dans le temps. Il est également utile de mesurer le taux de risque pondéré, qui résume les vulnérabilités identifiées et les compare à la criticité des données liées à ces vulnérabilités.