Trois questions, vendues comme une seule

Une équipe sécurité peut se retrouver avec trois devis rédigés presque dans les mêmes termes. Chacun dit continu. Chacun dit exposition. Chacun montre un tableau de bord dont le compteur descend. Achetés ensemble, ils se recouvrent par endroits et laissent des trous ailleurs, et le trou se voit quand un auditeur pose une question précise, pas pendant la démonstration. Les distinguer relève moins de la technique que de l'achat, et cela doit se faire avant la liste restreinte.

Trois questions d'achat sous un même vocabulaire

La gestion de la surface d'attaque, la gestion des vulnérabilités et la validation des contrôles de sécurité se vendent avec les mêmes noms, et sous ces noms se tiennent trois questions d'achat différentes. Ce que l'internet atteint en ce moment, sans que personne à l'intérieur n'ouvre le moindre accès. Quelle vulnérabilité déjà présente dans une console passe cette semaine, et qui la clôt. Si le contrôle acheté pour la clore tourne sur la machine pour laquelle il a été licencié.

Aucune des trois n'est une étape des deux autres, et les classer en niveaux de maturité est l'endroit où un budget se perd. La position d'un outil décide de la question à laquelle il peut répondre. Dehors, sans aucun identifiant, il voit ce que voit un inconnu, et pas si un serveur interne a été corrigé. En collectant depuis les postes, il voit si l'agent tourne, et pas le sous-domaine que personne n'a noté. Au-dessus des scanners, il voit la sortie de tous les scanners à la fois, ne produit aucune vulnérabilité par lui-même, et en sait exactement autant qu'on lui en donne.

Ce que l'internet atteint déjà

La réponse est dehors, et c'est donc de là que le regard part. La reconnaissance part d'un nom de domaine, pas d'un inventaire. Quels noms d'hôtes résolvent, et lesquels pointent vers une instance cloud créée pour une campagne terminée en mars. Si l'enregistrement DMARC a été commencé et jamais fini, si bien que le domaine de messagerie peut être usurpé par quiconque le lit. L'actif qui provoque l'incident est celui que personne n'a inscrit à l'inventaire, et un outil qui travaille à partir de cette liste ne le cherche pas.

L'écart se creuse aussi tout seul. Le code et l'infrastructure sont générés plus vite que les processus de changement n'enregistrent ce qui a été déployé, si bien que ce qu'une organisation possède devance ce qu'elle a écrit. C'est un problème de découverte, pas de classement.

Une autorité publique a écrit cette cadence en jours. La directive opérationnelle contraignante 23-01 de la CISA demande aux agences civiles fédérales américaines de réaliser une découverte automatisée des actifs tous les 7 jours et de lancer un recensement des vulnérabilités sur les actifs découverts tous les 14 jours. Elle engage ces agences et aucun acheteur de cette région. La CISA décrit la découverte d'actifs comme non intrusive et n'exigeant en général aucun privilège d'accès logique particulier, tandis que le recensement détecte les attributs des hôtes et repère les mises à jour manquantes. Deux activités, deux besoins d'accès, et un produit qui fait l'une ne fait pas l'autre en silence.

Quelle vulnérabilité passe en premier

Celle-ci commence une fois les vulnérabilités connues. C'est un problème d'ordre, pas de détection. Un scanner réseau, un scanner applicatif et un outil de posture cloud écrivent chacun leur propre champ de gravité. La même faiblesse apparaît trois fois sous trois noms avec trois gravités, et la console ouverte le matin devient l'ordre de travail. Personne n'a choisi cet ordre. Il vient d'un champ dans un export.

La gravité est aussi un mauvais substitut de l'urgence, et l'organisme qui publie les données d'exploitation le dit lui-même. FIRST, qui maintient l'Exploit Prediction Scoring System, indique dans sa documentation EPSS que CVSS et EPSS mesurent des choses différentes et ne sont pas corrélés empiriquement, et que des scores de gravité élevés prédisent l'activité d'exploitation à peine mieux que le hasard. La même page donne le taux de base. Environ 0,5 pour cent des CVE publiées figurent au catalogue CISA des vulnérabilités activement exploitées, et une activité d'exploitation est observée sur environ 2,5 à 3 pour cent d'entre elles dans une fenêtre de 30 jours.

Ce que l'IA a changé ici est une entrée, pas le vocabulaire. Un score de gravité dit à quel point une faille serait grave si quelqu'un l'exploitait, et ne dit rien de l'effort nécessaire pour construire cet exploit, travail que les outils de génération de code assistent désormais. Un signal de probabilité d'exploitation se place donc à côté de la gravité et non dedans, et FIRST définit EPSS comme la probabilité qu'une CVE publiée soit exploitée dans les 30 jours qui viennent. La probabilité ne fait toujours que la moitié de l'ordre, car la criticité de l'actif dit ce qui arrive si la tentative réussit, et une file a besoin des deux.

Si le contrôle tourne vraiment sur la machine

C'est la question que pose un auditeur et à laquelle un bon de commande ne répond pas. Une organisation achète un agent pour chaque machine et garde un nombre de licences comme preuve. Le nombre de licences et le nombre d'installations sont deux chiffres différents, et ils s'écartent un acte d'administration à la fois.

• Une machine est entrée dans le parc après le gel de la liste de déploiement, et aucun agent ne lui a été poussé.
• Une exception a été écrite pour laisser finir une migration, et est restée après la fin de la migration.
• Un agent n'a plus rien remonté depuis un redémarrage, si bien que la console l'affiche et que la machine ne l'exécute pas.
• Une détection a été assouplie pour taire une alerte que personne ne lisait, et l'assouplissement a emporté plus que le bruit.

Rien de tout cela n'exige de négligence. En octobre 2023, la NSA et la CISA ont publié un avis commun sur dix erreurs de configuration de cybersécurité relevées par leurs propres équipes rouges et bleues. Les deux agences écrivent que ces erreurs montrent une tendance de faiblesses systémiques dans beaucoup de grandes organisations, y compris celles dont la posture cyber est mature. Ces organisations avaient acheté les contrôles. Personne ne les avait mesurés sur le terrain.

Un prestataire rencontre la même question de l'autre côté. Un auditeur ne demande pas si le client possède un produit de protection des postes, il demande la preuve qu'il était installé, configuré selon une politique nommée et en marche sur une machine nommée à une date nommée. Cette preuve se collecte depuis l'intérieur du parc, et ni un scan vu de l'extérieur ni une file de vulnérabilités fusionnée ne la détient. Avec plusieurs clients, le même trou se répète une fois par locataire.

Où se situe le CTEM par rapport à la gestion des vulnérabilités

Le CTEM est employé comme synonyme de gestion des vulnérabilités et il n'en est pas un. Gartner a défini la gestion continue de l'exposition aux menaces comme un programme en cinq étapes, exposé dans son propre article. Cadrer la surface d'attaque, y compris les parties qui ne sont pas des équipements, découvrir les actifs et leurs profils de risque, prioriser ce qui risque d'être exploité, valider qu'un attaquant pourrait emprunter le chemin et que la réponse serait assez rapide, et mobiliser les équipes pour que les constats deviennent du travail approuvé.

Lue contre cette liste, la gestion des vulnérabilités qu'une équipe mène déjà couvre l'étape de découverte et une partie de la priorisation. Elle est un composant du programme, pas un nom plus court pour lui. Gartner avertit aussi que le cadrage et la découverte se confondent, et que le volume d'actifs découverts n'est pas un succès en soi.

Le CTEM nomme un programme, donc aucun produit ne le complète. Une fiche produit qui porte l'étiquette vous dit dans quelle catégorie elle concourt, pas laquelle des cinq étapes elle exécute, alors demandez laquelle, et à qui restent les quatre autres. C'est un modèle d'analyste, pas une obligation à laquelle quiconque doit se plier.

Les produits derrière ces trois questions

Nous portons les trois dans ce domaine, parce qu'aucun ne répond à la question d'un autre. S4E part d'un nom de domaine, ne demande ni agent ni accès à quoi que ce soit à l'intérieur, et rapporte ce que l'internet public atteint déjà. Vultage lit les résultats exportés des scanners que vous faites déjà tourner, fusionne les doublons et transforme le reste en une file classée unique qui peut être assignée et close, et il ne scanne rien lui-même. CyberCyte collecte depuis les machines et depuis les outils de sécurité qui y sont installés, et rapporte si chaque contrôle est installé, configuré et en marche. Deux d'entre eux portent une étiquette CTEM de leur éditeur, à deux étapes différentes du programme.