Technique
EPSS et catalogue KEV
Aussi appeléEPSSKEVExploit Prediction Scoring SystemKnown Exploited Vulnerabilities
En résumé
Deux sources pour décider quelles vulnérabilités corriger en premier. L’EPSS, publié par le FIRST, estime la probabilité qu’une vulnérabilité soit exploitée dans les trente jours ; le catalogue KEV de la CISA liste celles dont l’exploitation réelle est avérée. Ils complètent le score de gravité CVSS sans le remplacer.
EPSS et catalogue KEV, en détail
L’EPSS (Exploit Prediction Scoring System) attribue à chaque vulnérabilité répertoriée par un identifiant CVE : définition un score entre 0 et 1, recalculé régulièrement par le FIRST à partir de caractéristiques du défaut (type, produit concerné, présence de code d’exploitation publié) et de l’activité d’exploitation observée. Un score de 0,9 signifie une probabilité élevée d’exploitation dans les trente jours, pas une gravité élevée : une vulnérabilité de gravité modérée peut avoir un EPSS élevé, et l’inverse.
Le catalogue KEV (Known Exploited Vulnerabilities) est tenu par la CISA, l’agence américaine de cybersécurité. Il liste les vulnérabilités pour lesquelles une exploitation réelle est confirmée, avec une échéance de correction imposée aux agences fédérales américaines. Hors des États-Unis, il sert de signal : une entrée KEV sur un produit que vous exposez justifie d’agir tout de suite. Il a ses limites : il reflète les sources observées par l’agence, et l’absence d’un défaut du catalogue ne prouve pas qu’il n’est pas exploité.
Qu’est-ce que cela change pour vous ?
Un parc compte vite des milliers de vulnérabilités ouvertes, et une équipe ne peut pas toutes les corriger. Croiser exploitation avérée, probabilité d’exploitation et exposition de l’actif permet de traiter en premier les quelques-unes qui menacent réellement l’entreprise.
Exemple illustratif (fictif)
Imaginons qu’un scan remonte deux mille constats « critiques » ou « élevés » sur un parc. Après croisement avec le catalogue KEV et l’exposition à Internet, une poignée concerne des produits accessibles de l’extérieur et déjà exploités : elles sont traitées dans la semaine, le reste entre dans le cycle mensuel.
La confusion fréquente
Traiter l’EPSS ou le KEV comme un verdict. Un score faible n’exclut pas une exploitation ciblée contre vous, et ni l’un ni l’autre ne couvre les défauts sans identifiant CVE, comme une mauvaise configuration ou une faille de logique métier.
Comment le détecter chez vous ?
- Gestion des vulnérabilités : la prestationCorriger d’abord ce qu’un attaquant utilise vraiment, pas ce qui affiche le plus gros score.
- Veille et CTI : la prestationApprendre que vos identifiants circulent ou que votre marque est copiée avant vos clients.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début