Technique
Zero-day
Aussi appelé0-dayFaille zero-dayVulnérabilité jour zéro
En résumé
Une vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe. Le terme « zéro jour » désigne le délai dont disposent les défenseurs pour réagir : aucun.
Zero-day, en détail
On parle de zero-day tant que l’éditeur n’a pas publié de correctif, même si le défaut est déjà public ou exploité. Entre la découverte du défaut, la publication du correctif et son installation chez l’utilisateur, il existe trois fenêtres distinctes. Un attaquant qui exploite un défaut dans l’une d’elles bénéficie d’un avantage : les signatures de détection n’existent pas encore et la mise à jour ne peut pas être déployée.
Ces vulnérabilités ont une valeur marchande et sont surtout utilisées dans des attaques ciblées, à coût élevé. Pour la plupart des organisations, la compromission ne nécessite pas de zero-day : des défauts connus non corrigés, des configurations permissives ou des mots de passe faibles suffisent. L’essentiel du risque vient donc de ce qui est connu et non traité, et un programme de correction rigoureux traite une part bien plus grande du risque réel. Face à un zero-day, la défense repose sur les mesures qui ne dépendent pas de la connaissance du défaut : réduction de la surface exposée, segmentation, moindre privilège : définition, détection des comportements anormaux et capacité à appliquer rapidement les mesures de contournement publiées par l’éditeur. La rapidité de réaction à l’annonce d’un défaut sur un composant exposé est déterminante.
Qu’est-ce que cela change pour vous ?
Vous ne pouvez pas corriger un défaut que personne ne connaît, mais vous pouvez limiter ce qu’il permet : peu de services exposés, des systèmes cloisonnés et une détection active. Le délai entre l’annonce d’un défaut et la mise à jour de vos systèmes exposés est un indicateur à suivre.
Exemple illustratif (fictif)
Imaginons l’annonce d’un défaut critique sans correctif sur un équipement d’accès distant. L’entreprise applique la mesure de contournement de l’éditeur le jour même et restreint l’accès aux seules adresses de ses sites, en attendant le correctif qui sort quelques jours plus tard.
La confusion fréquente
Faire du zero-day le centre de sa stratégie de sécurité. Il retient l’attention, mais priorise mal : les défauts connus non corrigés et les erreurs de configuration restent les causes les plus fréquentes de compromission.
Comment le détecter chez vous ?
- Durcissement : la prestationAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- TechniqueSurface d’attaque : définitionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs.
- DéfenseDéfense en profondeur : définitionUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début