Conformité
CVSS
Aussi appeléCommon Vulnerability Scoring SystemScore CVSS
En résumé
Un système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact. Il mesure la gravité technique du défaut, pas le risque propre à votre organisation.
CVSS, en détail
CVSS signifie Common Vulnerability Scoring System. Le score de base se calcule à partir de métriques d’exploitabilité (accès réseau ou local, complexité, privilèges et interaction de l’utilisateur nécessaires) et d’impact (confidentialité, intégrité, disponibilité). Les niveaux de sévérité se lisent ainsi : faible de 0,1 à 3,9, moyen de 4,0 à 6,9, élevé de 7,0 à 8,9 et critique de 9,0 à 10,0. La version 4.0 affine ces métriques par rapport à la 3.1.
Le score de base est calculé une fois par l’éditeur ou par un organisme, sans connaître votre environnement. Les groupes de métriques temporelle et environnementale permettent d’ajuster : existence d’un code d’exploitation public, présence de mesures compensatoires, importance de l’actif concerné. Dans la pratique, ces ajustements sont peu renseignés, et les outils affichent le plus souvent le seul score de base.
Pour prioriser, on croise donc le CVSS avec d’autres éléments : l’exposition réelle du système (accessible depuis Internet ou non), la valeur des données qu’il porte, l’existence d’une exploitation constatée (catalogue KEV : définition de la CISA) et la probabilité d’exploitation estimée (score EPSS). Un score élevé sur un système isolé peut être moins urgent qu’un score moyen sur un service exposé qui porte des données sensibles.
Qu’est-ce que cela change pour vous ?
Le CVSS aide à comparer et à trier, mais il ne décide pas à votre place. Une politique de correction fondée sur le seul score crée à la fois des urgences inutiles et des angles morts ; il faut l’adosser à l’exposition et à la criticité métier.
Exemple illustratif (fictif)
Imaginons deux vulnérabilités : l’une notée 9,8 sur un serveur de test sans accès depuis Internet, l’autre notée 6,5 sur un portail client exposé qui traite des données personnelles. Il est raisonnable de traiter le portail en premier, puis le serveur de test dans le cycle normal.
La confusion fréquente
Croire qu’un CVSS élevé implique un risque élevé dans votre contexte, et inversement. Le score décrit le défaut en général ; l’exposition, les protections en place et la valeur de l’actif décident de l’urgence réelle.
Qui peut vous accompagner ?
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- Durcissement : la prestationAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleQue doit contenir un rapport de test d’intrusion ?Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- TechniqueSurface d’attaque : définitionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
- MéthodeRapport de test d’intrusion : définitionLe document livré à l’issue d’un test d’intrusion : synthèse de direction, périmètre et méthode, et pour chaque constat une description, une preuve reproductible, l’impact démontré, une gravité justifiée et une recommandation.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début