Article5 min de lecture
Comment prioriser les vulnérabilités réellement exploitables ?
Au-delà du score de criticité, les critères qui permettent de concentrer l'effort de correction.
Le score de criticité ne suffit pas
Les scores standardisés décrivent la gravité théorique d'une vulnérabilité. Appliqués seuls, ils produisent des listes trop longues pour être traitées.
Tenir compte de l'exploitation
Savoir si une vulnérabilité est activement exploitée, ou si un code d'exploitation est public, change fortement sa priorité. Des catalogues publics de vulnérabilités exploitées existent pour éclairer cette décision.
Considérer l'exposition et l'importance de l'actif
Une même vulnérabilité n'a pas le même poids sur un serveur exposé sur Internet et sur un poste isolé. La valeur métier de l'actif doit aussi être prise en compte.
Raisonner en chemins d'attaque
Les tests d'intrusion révèlent comment plusieurs faiblesses s'enchaînent. Corriger le maillon qui ouvre le chemin vers vos actifs sensibles est souvent plus efficace que traiter les vulnérabilités une par une.
Pour aller plus loin : Notre expertise cybersécurité
