[Cóññ~áíss~éz lé~ scór~é : éxp~lícá~tíóñ~ dé l'~éxpó~sítí~óñ áú~x vúl~ñéráb~ílít~és]

[Dáñs cét ártíclé, j'éxplíqúé lés dífféréñts fáctéúrs qúí éñtréñt éñ jéú dáñs lé cálcúl dú scóré d'éxpósítíóñ áúx vúlñérábílítés (VÉS) d'Íllúmíó, qúí pérmét áúx órgáñísátíóñs dé cómbíñéz dés mésúrés dé ñótátíóñ dé vúlñérábílíté cóñfórmés áúx ñórmés dú séctéúr ávéc lé cóñtéxté dé léúr éñvíróññéméñt úñíqúé. Lé VÉS áídé égáléméñt lés próféssíóññéls dé lá sécúríté à híérárchísér lés cóñtrôlés dé sécúríté áfíñ dé míñímísér l'éxpósítíóñ dé lá súrfácé d'áttáqúé ét l'ímpáct pótéñtíél dés vúlñérábílítés.]

[Qú'é~st-cé~ qúé l~'éxp~ósít~íóñ ¿~]

[L'éx~pósí~tíóñ~ dáñs~ lé có~ñtéx~té dé~ lá cý~bérs~écúrí~té ést~ géñérá~lémé~ñt déf~íñíé~ pár l~á « súr~fácé~ d'át~táqú~é ». Vóí~cí úñ~é défí~ñítí~óñ qú~í GÚÊP~É Útí~lísá~tíóñ~s :]

[Lá sú~rfác~é d'á~ttáq~úé déc~rít l~és dí~fféré~ñts p~óíñt~s pár~ lésq~úéls~ úñ át~táqú~áñt p~éút p~éñétré~r dáñ~s úñ s~ýstèm~é ét ó~ù íl pé~út éñ~ éxtr~áíré~ dés d~óññéé~s.]

[L'Íllúmíó VÉS s'íñscrít díréctéméñt dáñs cétté défíñítíóñ. Éñ térmés símplés, l'éxpósítíóñ ést úñé téñtátívé dé qúáñtífíér lá sómmé dés « tróús » óú dés dífféréñts póíñts à pártír désqúéls úñ áttáqúáñt péút téñtér dé péñétrér dáñs úñ sýstèmé víá lé réséáú.]

[Súppósóñs, pár éxémplé, qúé vóús díspósíéz d'úñ pórtáíl pártéñáíré, úñé chárgé dé tráváíl éxécútáñt úñé ápplícátíóñ Wéb súr lé pórt 443. À lá súíté dé príñcípé dú móíñdré prívílègé, íl sé péút qúé l'áccès à cétté ápplícátíóñ Wéb sóít límíté à tróís pártéñáírés éxtérñés úñíqúéméñt. Dáñs cét éxémplé, lé scóré d'éxpósítíóñ póúr cétté ápplícátíóñ ést dé 3. Bíéñ qúé célá sémblé évídéñt, très sóúvéñt lés órgáñísátíóñs ñ'óñt pás cé ñívéáú dé séñsíbílísátíóñ óú vísíbílíté dáñs léúr éxpósítíóñ ést-óúést, ápplícátíóñ pár ápplícátíóñ, sáñs párlér dés rámífícátíóñs dé l'éñsémblé dé cés éxpósítíóñs dáñs léúr éñvíróññéméñt.]

[Qú'é~st-cé~ qú'ú~ñ scó~ré dé~ vúlñ~érábí~líté ¿~]

[L'Íllúmíó VÉS útílísé lé sýstèmé CVSS (Cómmóñ Vúlñérábílítý Scóríñg Sýstém), stáñdárd íñdústríél óúvért ét áccépté pár lá cómmúñáúté, íñítíáléméñt mís áú póíñt pár Cóñséíl cóñsúltátíf ñátíóñál súr lés íñfrástrúctúrés (ÑÍÁQÚÉ). L'ádóptíóñ d'úñé ñórmé íñdústríéllé ñóús pérmét d'íñtérágír ávéc dé ñómbréúsés sólútíóñs dé sécúríté éxístáñtés, ñótámméñt géstíóñ dés vúlñérábílítés fóúrñísséúrs, ét fóúrñísséñt úñ scóré áccépté pár lé plús lárgé évéñtáíl dé próféssíóññéls dé lá sécúríté.]

[Lés scórés dé vúlñérábílíté sóñt cóúráñts dáñs lá plúpárt dés sólútíóñs dé géstíóñ dés vúlñérábílítés ét sóñt géñéráléméñt éválúés ét áttríbúés éñ fóñctíóñ dé lá chárgé dé tráváíl. Pár éxémplé, lá chárgé dé tráváíl Á préséñté cíñq vúlñérábílítés. Lé scóré dé vúlñérábílíté póúrráít êtré lá móýéññé cómbíñéé dés scórés CVSS dé cés cíñq. Bíéñ qú'íl s'ágíssé d'úñ íñdícátéúr précíéúx póúr cómpréñdré lá vúlñérábílíté pótéñtíéllé d'úñé chárgé dé tráváíl ísóléé, íl ómét cértáíñs détáíls ímpórtáñts pérméttáñt dé cómpréñdré à qúél póíñt cétté chárgé dé tráváíl ést réélléméñt vúlñéráblé dáñs úñ éñvíróññéméñt réél.]

[Mísé~ éñ œúv~ré dé~ lá mí~crós~égmé~ñtát~íóñ p~óúr á~ttéñú~ér lé~ rísq~úé ás~sócí~é áúx v~úlñér~ábíl~ítés]

[Póúr~ cómp~réñd~ré à qú~él pó~íñt ú~ñé ch~ósé é~st vú~lñérá~blé, v~óús d~évéz~ préñ~dré é~ñ cóm~pté p~lúsí~éúrs~ fáct~éúrs~. Úñé v~úlñér~ábíl~íté ñé~ cóñs~títú~é úñ v~érítá~blé r~ísqú~é qúé~ sí él~lé és~t éxp~óséé d~áñs v~ótré~ éñví~róññ~éméñ~t ét p~éút êt~ré éx~plóí~téé.]

[À títré d'éxémplé símplé, cóñsídéróñs úñé chárgé dé tráváíl úñíqúé préséñtáñt úñé vúlñérábílíté crítíqúé úñíqúé. Párcé qú'íl ést clássé cómmé « crítíqúé », íl péút êtré très éxplóítáblé. Lá récómmáñdátíóñ týpíqúé d'úñé éqúípé dé sécúríté péút êtré lá súíváñté : « Íl fáút lé córrígér ¡ ». Máís vóýóñs cómbíéñ d'áútrés chárgés dé tráváíl péúvéñt sé cóññéctér à cétté chárgé dé tráváíl ét éxplóítér pótéñtíélléméñt cétté vúlñérábílíté. Éxámíñóñs égáléméñt lés pórts réséáú éxpósés dáñs lé cádré dé cétté vúlñérábílíté. Cómmé c'ést sóúvéñt lé cás dáñs lés réséáúx pláts, lá chárgé dé tráváíl sérá bíéñ cóññéctéé à dé ñómbréúsés áútrés chárgés dé tráváíl.]

[Íl ñ'ést péút-êtré pás póssíblé dé córrígér cétté vúlñérábílíté pártícúlíèré, sóít párcé qú'áúcúñ córréctíf ñ'éxísté éñcóré, sóít éñ ráísóñ d'éxígéñcés ét dé réstríctíóñs cóñcérñáñt lá díspóñíbílíté dé lá pródúctíóñ, lés féñêtrés dé módífícátíóñ ét lés SLÁ. Dáñs dé téls cás, ñóús póúvóñs útílísér lá mícróségméñtátíóñ póúr rédúíré lé ñómbré dé chárgés dé tráváíl póúváñt sé cóññéctér à cétté chárgé dé tráváíl vúlñéráblé ét áú pórt vúlñéráblé spécífíqúé.]

[Mícr~óség~méñt~átíó~ñ dév~íéñt~ úñ có~ñtrôl~é d'á~ttéñú~átíó~ñ dés~ rísq~úés é~ñ :]

• [Rédúí~ré lé~s véc~téúr~s d'á~ttáq~úé ás~sócí~és à lá c~hárg~é dé t~rává~íl.]
• [Rédúí~ré « l'~éxpó~sítí~óñ » dé~ lá ch~árgé~ dé tr~áváí~l.]
• [Rédúí~ré lé~ rísq~úé qú~é lá v~úlñér~ábíl~íté dé~ cétt~é chá~rgé d~é trá~váíl~ sóít~ rééll~éméñ~t éxp~lóít~éé, mêmé~ sí él~lé és~t à lá f~óís « c~rítí~qúé » é~t ñé p~éút p~ás êtr~é cór~rígéé~ áctú~éllé~méñt~.]
  

[Qú'é~st-cé~ qúé l~á vúl~ñéráb~ílít~é Éxpó~sítí~óñ Úñ~ scór~é ¿]

[L'Íllúmíó VÉS pérmét dé détérmíñér à lá fóís « l'éxplóítábílíté » d'úñé vúlñérábílíté (géñéráléméñt répréséñtéé pár lé scóré CVSS) ét l' « áccéssíbílíté » rééllé dé lá chárgé dé tráváíl vúlñéráblé víá dés véctéúrs d'áttáqúé dáñs vótré éñvíróññéméñt, cé qúé ñóús ávóñs áppélé « éxpósítíóñ ».]

[Pássóñs máíñtéñáñt áúx cálcúls. Lé VÉS ést cálcúlé éñ múltíplíáñt úñ scóré dé vúlñérábílíté échélóññé (CVSS) pár úñé mésúré d'éxpósítíóñ échélóññéé póúr úñ sérvícé dóññé, óù s ét p sóñt dés fáctéúrs d'échéllé qúí áídéñt à rédíméñsíóññér cés mésúrés áú lógáríthmé. Íl s'ágít d'úñé téchñíqúé máthémátíqúé cóúráñté lórsqú'íl éxísté úñé lárgé plágé dé váléúrs :]

[VÉS = s~ (CVSS~) * p (més~úré d~é l'é~xpós~ítíó~ñ)]

[Cómmé jé l'áí méñtíóññé dáñs móñ Ártíclé dé Fórbés súr lés léçóñs dé sécúríté d'éñtréprísé tíréés dé Stéph Cúrrý, MVP dé lá ÑBÁ, cétté mésúré pérmét áúx próféssíóññéls dé lá sécúríté dé cómpréñdré lés íñfórmátíóñs rélátívés áúx vúlñérábílítés ét áúx méñácés ássócíéés dáñs lé cóñtéxté d'éñvíróññéméñts ségméñtés.]

[Plús précíséméñt, lés sólútíóñs trádítíóññéllés dé géstíóñ dés vúlñérábílítés útílíséñt dés ñótátíóñs Crítíqúé, Élévéé, Móýéññé, Fáíblé ét Íñfó póúr clássér lés vúlñérábílítés ét áídér à híérárchísér lés éffórts d'áttéñúátíóñ. Lés crítíqúés ét lés hígh réçóívéñt úñé áttéñtíóñ ímmédíáté, cómmé íl sé dóít. Cépéñdáñt, íl éxísté úñ gráñd ñómbré dé vúlñérábílítés dé táíllé móýéññé qúí ñé sóñt pás cóñsídéréés cómmé príórítáírés ét fíñísséñt pár s'áccúmúlér dáñs úñ ímpórtáñt árríéré qúí ñ'ést pás pássé íñápérçú áúprès dés áútéúrs dé málwárés.]

[Lés vúlñérábílítés crítíqúés sóñt sóúvéñt très éxplóítáblés (péú cóûtéúsés póúr l'áttáqúáñt), máís póúr úñé cóúrté péríódé séúléméñt, cár lés éqúípés dé sécúríté ágísséñt rápídéméñt póúr ápplíqúér dés córréctífs óú tróúvér d'áútrés móýéñs dé súpprímér l'éxpósítíóñ. Lés áttáqúáñts, tóújóúrs à lá réchérché d'úñé ñóúvéllé áppróché, cíbléñt dé plús éñ plús dés vúlñérábílítés dé táíllé móýéññé qúí sóñt sóúvéñt pérdúés dáñs lé brúít ét ñé sóñt pás córrígéés péñdáñt dé lóñgúés péríódés. Íl s'ágít dóñc d'úñé cíblé bíéñ plús éffícácé à pírátér. Éllés péúvéñt êtré cóñsídéréés cómmé úñ péú plús « cóûtéúsés » à éxplóítér (bárríèré à l'éñtréé plús élévéé, sí vóús vóúléz), máís lé fáít qú'éllés sóíéñt díspóñíblés plús lóñgtémps qúé lés vúlñérábílítés crítíqúés ét élévéés lés réñd béáúcóúp plús áttráýáñtés à cíblér lórsqúé l'áttáqúáñt cálcúlé lé rétóúr súr íñvéstísséméñt dé sóñ íñvéstísséméñt.]

[L'ób~jéct~íf ét~ lés á~váñt~ágés~]

[Lé VÉS pérmét à úñé órgáñísátíóñ dé cómbíñér plús fácíléméñt lá ñótátíóñ CVSS dés méílléúrés prátíqúés dú séctéúr ávéc dés fáctéúrs próprés à l'éñvíróññéméñt dé cháqúé clíéñt. Lés éqúípés dé sécúríté péúvéñt míéúx híérárchísér léúr strátégíé d'áttéñúátíóñ éñ fóñctíóñ dé l'éxpósítíóñ à lá vúlñérábílíté dáñs léúr éñvíróññéméñt úñíqúé. Pár éxémplé, úñé vúlñérábílíté dé grávíté élévéé póúrráít êtré dépríóríséé párcé qúé l'éxpósítíóñ á été ímpórtáñté rédúít pár lés cóñtrôlés dé mícróségméñtátíóñ. Íl péút égáléméñt s'ágír d'úñé vúlñérábílíté móýéññé qúí dévráít fígúrér éñ têté dé lísté cómpté téñú dé l'éxpósítíóñ à úñ gráñd ñómbré dé vóíés d'áttáqúé pótéñtíéllés vérs cé sérvícé vúlñéráblé.]

[Lé VÉS ést póssíblé párcé qúé ñóús sómmés úñíqúés cómpréñdré lá cárté — cómméñt vótré éñvíróññéméñt ést cóññécté ét cómmúñíqúé — ét súpérpósér lés íñfórmátíóñs súr lés vúlñérábílítés éñ háút dé lá cárté póúr áídér lés éqúípés dé sécúríté à vísúálísér ét à príórísér l'áttéñúátíóñ dú rísqúé dé vúlñérábílítés dáñs léúr éñvíróññéméñt. Célá dévíéñt úñ óútíl éxtrêméméñt púíssáñt, ñóñ séúléméñt póúr lés éqúípés dé sécúríté, máís áússí póúr d'áútrés, cómmé lés própríétáírés d'ápplícátíóñs ét lés dírígéáñts, qúí dóívéñt cómpréñdré cé rísqúé ét l'áttéñúér óú l'áccéptér dáñs lé cóñtéxté d'úñ rísqúé cómmércíál plús lárgé.]