Le CVSS (Common Vulnerability Scoring System) est une norme internationale pour mesurer la gravité des vulnérabilités de sécurité dans les logiciels et les systèmes.
Table des matières
CVSS utilise des critères neutres pour les fournisseurs et une méthodologie de notation normalisée pour exprimer la gravité de la vulnérabilité de manière cohérente et quantitative.
En s'appuyant sur des indicateurs objectifs plutôt que sur des interprétations spécifiques aux fournisseurs, CVSS permet aux organisations de comparer les vulnérabilités entre les produits, les environnements et les secteurs en utilisant un langage commun.
Quel est l’objectif du CVSS ?
L'objectif de CVSS est d'aider les organisations à évaluer, comparer et hiérarchiser les vulnérabilités de manière cohérente en fonction de leur gravité. Les scores CVSS fournissent une contribution structurée à la gestion des vulnérabilités et aux décisions de remédiation basées sur les risques.
Chaque vulnérabilité se voit attribuer un score numérique allant de 0,0 à 10,0, qui est également mappé à des niveaux de gravité qualitatifs :
- Faible
- Moyenne
- Élevé
- Critique
En raison de son approche standardisée, CVSS est largement utilisé par les équipes de sécurité, les fournisseurs, les intervenants en cas d’incident et les bases de données de vulnérabilité comme référence principale pour la hiérarchisation des mesures correctives.
Qui maintient le CVSS et comment a-t-il évolué ?
CVSS est géré par le CVSS Special Interest Group (CVSS-SIG) sous FIRST (Forum of Incident Response and Security Teams). FIRST est une organisation internationale de cybersécurité axée sur l’amélioration de la réponse aux incidents et de la coordination des vulnérabilités dans le monde entier.
Depuis son introduction, CVSS a subi plusieurs révisions pour refléter les changements dans les paysages technologiques et des menaces. La mise à jour majeure la plus récente a été annoncée en juillet 2023, avec CVSS v4.0 officiellement publié en novembre 2023, marquant une évolution significative dans la manière dont la gravité des vulnérabilités est évaluée.
FIRST décrit le CVSS comme un cadre conçu pour fournir « une approche standardisée pour évaluer la gravité des vulnérabilités et aider les organisations à hiérarchiser les efforts de réponse ».
— PREMIER (Forum des équipes de réponse aux incidents et de sécurité)
Qu’est-ce que CVSS v4.0 et pourquoi est-ce important ?
CVSS v4.0 est la dernière version majeure du cadre CVSS, conçue pour traiter les limitations structurelles dans les versions antérieures. Il améliore la précision des scores, réduit l’ambiguïté et étend l’applicabilité au-delà des environnements IT traditionnels.
Plus particulièrement, CVSS v4.0 introduit une séparation des mesures plus claire, une plus grande granularité de notation et une prise en charge explicite des environnements de technologie opérationnelle (OT), de systèmes de contrôle industriel (ICS) et d’IdO, reflétant ainsi le fonctionnement réel des organisations modernes.
Quels groupes de mesures composent CVSS v4.0 ?
CVSS v4.0 est composé de quatre groupes de mesures qui évaluent la gravité de la vulnérabilité sous différentes perspectives. Ces groupes peuvent être combinés pour calculer les scores alignés sur des cas d’utilisation spécifiques.
Les quatre groupes de mesures sont :
- Indicateurs de base : mesurez la gravité intrinsèque d'une vulnérabilité
- Indicateurs de menace : Reflètent l’activité d’exploitation réelle
- Mesures environnementales : personnalisez la gravité en fonction du contexte organisationnel
- Mesures supplémentaires : Fournir un contexte supplémentaire lié à la réponse
Chaque groupe sert un objectif distinct dans les flux de travail d’évaluation et de réponse aux vulnérabilités.
Que sont les indicateurs de base CVSS ?
Les métriques de base mesurent la gravité inhérente d’une vulnérabilité, indépendamment des conditions externes. Ils évaluent à la fois la difficulté d’exploiter une vulnérabilité et l’impact potentiel en cas d’exploitation.
Les indicateurs de base sont généralement évalués par le fournisseur du produit et, une fois définis, restent stables au fil du temps. Dans CVSS v4.0, les métriques de base ont été affinées pour améliorer la clarté et la granularité, permettant un score de gravité plus précis.
Que sont les indicateurs de menace CVSS ?
Les indicateurs de menace évaluent l'efficacité de l'exploitation d'une vulnérabilité dans des conditions réelles. Ce groupe de mesures se concentre sur l'existence d'un code d'exploit et sur l'observation d'une exploitation sauvage.
Étant donné que l'activité des menaces évolue au fil du temps, les indicateurs de menace sont intrinsèquement dynamiques et sont généralement évalués par les consommateurs de vulnérabilité à l'aide de renseignements sur les menaces et du contexte opérationnel.
Les principales considérations comprennent :
- Disponibilité du code d'exploit
- Preuve d'exploitation active ou généralisée
Que sont les mesures environnementales CVSS ?
Les indicateurs environnementaux adaptent la gravité de la vulnérabilité à l’environnement spécifique d’une organisation. Ils tiennent compte de l'importance du système affecté pour la confidentialité, l'intégrité et la disponibilité au sein d'une organisation donnée.
Par conséquent, les scores des indicateurs environnementaux peuvent varier considérablement entre les organisations en fonction du rôle du système, de l’impact commercial et des contraintes opérationnelles.
Que sont les mesures supplémentaires CVSS ?
Les mesures supplémentaires fournissent des informations contextuelles supplémentaires pour soutenir les décisions de réponse aux vulnérabilités. Bien qu'elles n'influencent pas les calculs de score CVSS, elles offrent des informations précieuses pour la planification de la remédiation.
Exemples de facteurs capturés par les mesures supplémentaires :
- Niveau d'automatisation des attaques
- Complexité de la récupération
- Effort requis pour restaurer les systèmes affectés
Ces indicateurs aident les organisations à passer de l’évaluation de la gravité à la planification pratique des réponses.
Quels types de scores CVSS existent dans CVSS v4.0 ?
CVSS v4.0 prend en charge plusieurs types de score en fonction de différentes combinaisons de groupes de mesures. Cela permet aux organisations d'évaluer la gravité de la vulnérabilité du point de vue de la référence, de l'environnement et des menaces en temps réel.
Les principaux types de score CVSS comprennent :
- CVSS-B – Score de base uniquement
- CVSS-BE – Base + Environnement
- CVSS-BT – Base + Menace
- CVSS-BTE – Base + Menace + Environnement
Par exemple, les organisations qui évaluent la gravité des vulnérabilités dans leur propre environnement s'appuient généralement sur CVSS-BE, tandis que celles qui intègrent une veille active sur les menaces utilisent CVSS-BTE.
Qu’est-ce qui a changé dans CVSS v4.0 par rapport à CVSS v3.1 ?
CVSS v4.0 a été développé pour relever les défis bien documentés dans CVSS v3.1. Au fil du temps, CVSS v3.1 est devenu de plus en plus mal aligné sur les systèmes modernes et les conditions de menace.
FIRST a identifié plusieurs problèmes clés, notamment :
- Dépassement des scores de base pour l'analyse des risques
- Influence limitée des indicateurs temporels (aujourd’hui menace)
- Représentation insuffisante des menaces en temps réel
- Mauvaise applicabilité aux systèmes OT, ICS et critiques pour la sécurité
- Regroupement excessif des scores dans les plages « Élevé » et « Critique »
- Granularité de notation limitée
- Méthodologie de notation complexe et non intuitive
Défis CVSS v3.1 tels que publiés par FIRST, résumés et traduits pour plus de clarté.
Comment ces changements améliorent-ils CVSS v4.0 ?
Les mises à jour introduites dans CVSS v4.0 rendent le score de vulnérabilité plus précis, exploitable et pertinent. Chaque modification cible directement une limitation identifiée dans les versions précédentes.
Les principales améliorations comprennent :
- Granularité accrue dans les indicateurs de base
- Suppression de la logique ambiguë de notation en aval
- Métriques simplifiées des menaces avec une plus grande influence de notation
- Introduction d'indicateurs supplémentaires pour le support de réponse
- Application étendue aux environnements OT, ICS et IoT
FIRST note que le CVSS v4.0 a été conçu pour « mieux refléter les conditions d’exploitation réelles et les architectures de systèmes modernes ».
Pourquoi la couverture OT étendue est-elle le changement le plus significatif dans CVSS v4.0 ?
L’amélioration la plus significative dans CVSS v4.0 est son intégration explicite des environnements de technologie opérationnelle (OT). Il s'agit de la première version CVSS à prendre officiellement en compte les vulnérabilités qui peuvent avoir des implications physiques en matière de sécurité.
Alors que la transformation numérique continue de brouiller la ligne entre IT et OT, les vulnérabilités dans les systèmes industriels peuvent avoir un impact direct sur la production, la sécurité et la vie humaine. Le CVSS v4.0 reflète cette réalité en intégrant des mesures sensibles à la sécurité et des considérations d’impact en aval.
Comment les organisations doivent-elles se préparer à utiliser CVSS v4.0 efficacement ?
Pour utiliser efficacement CVSS v4.0, les organisations doivent adapter les pratiques de gestion des vulnérabilités pour tenir compte des réalités IT et OT. Bien que le CVSS v4.0 améliore la visibilité, les défis de réponse demeurent, en particulier dans les environnements OT.
Les principales différences comprennent :
- Les systèmes OT donnent la priorité à la disponibilité et à la sécurité plutôt qu'aux correctifs
- Les environnements de déploiement sont souvent fermés et gérés par les fournisseurs
- Les correctifs peuvent être impossibles ou explicitement évités
Sans personnel qui comprend à la fois les contextes IT et OT, les organisations peuvent avoir du mal à agir seules sur les informations sur les vulnérabilités.
Pourquoi la visibilité des actifs OT et la prévention des exploits sont-elles essentielles ?
La visibilité des actifs OT et la prévention des exploits sont essentielles lorsque les correctifs traditionnels ne sont pas pratiques. Les organisations doivent d'abord comprendre quels actifs OT elles possèdent avant de pouvoir gérer les vulnérabilités associées.
Une réduction efficace des risques de vulnérabilité OT implique généralement :
- Découverte complète des actifs OT
- Surveillance continue du trafic réseau
- Capteurs et outils de visibilité spécifiques aux technologies opérationnelles
- Application de correctifs virtuels via des systèmes de prévention des intrusions (IPS) axés sur les technologies opérationnelles
Ces contrôles aident à prévenir l’exploitation et à réduire les risques, même lorsque les vulnérabilités ne peuvent pas être corrigées par le biais de correctifs.
Où puis-je obtenir de l’aide concernant le CVSS et la hiérarchisation des risques de vulnérabilité ?
Trend Vision One™ propose une solution de gestion de l'exposition aux cyber-risques (CREM) qui va au-delà de la notation CVSS de base pour aider les organisations à comprendre, hiérarchiser et réduire les risques sur toute leur surface d'attaque. Il associe le score de gravité des vulnérabilités à une veille en temps réel sur les menaces et à une analyse contextuelle des risques, permettant aux équipes de sécurité de prendre des décisions plus rapides et plus intelligentes.
Cette approche intègre des fonctionnalités clés telles que la gestion de la surface d'attaque, la gestion des vulnérabilités et l'évaluation de la posture de sécurité dans les environnements IT, OT, cloud et hybrides. Il ne s’agit pas seulement d’identifier les vulnérabilités, mais aussi de transformer les informations en étapes exploitables qui renforcent la résilience et minimisent l’exposition.
Grâce à la gestion de l’exposition aux cyber-risques, vous pouvez :
- Bénéficiez d'une visibilité sur vos actifs et vulnérabilités les plus critiques
- Hiérarchisez la remédiation en fonction des risques réels, pas seulement des scores théoriques
- Réduisez la probabilité d'exploitation grâce à des stratégies proactives de réduction des risques
Fernando Cardoso est vice-président de la gestion des produits chez Trend Micro, et se concentre sur le monde en constante évolution de l’IA et du cloud. Sa carrière a commencé en tant qu’ingénieur réseau et commercial, où il a perfectionné ses compétences dans les centres de données, le cloud, les DevOps et la cybersécurité, des domaines qui continuent de nourrir sa passion.
Foire aux questions (FAQ)
Qu’est‑ce que le Common Vulnerability Scoring System ?
Le Common Vulnerability Scoring System est un cadre standardisé évaluant la gravité des failles, permettant classification cohérente, priorisation et gestion efficace des risques.
Qu'est-ce qu'un score CVSS ?
Un score CVSS est une valeur numérique qui représente la gravité d'une vulnérabilité. Les scores vont de 0.0 à 10.0, les scores plus élevés indiquant un risque plus grand. Ces scores sont couramment catégorisés en Faible, Moyen, Élevé ou Critique.
Qui utilise les scores CVSS ?
Les scores CVSS sont utilisés par les équipes de sécurité, les fournisseurs et les bases de données de vulnérabilités dans le monde entier. Les organisations s'appuient sur eux pour prioriser les correctifs, guider la réponse aux incidents et soutenir les décisions de gestion des vulnérabilités basées sur les risques dans divers environnements.
Quelle est la différence entre le CVSS v3.1 et le CVSS v4.0 ?
Le CVSS v4.0 améliore la précision et l'applicabilité par rapport au CVSS v3.1. Il introduit une plus grande granularité de notation, simplifie l'évaluation des menaces et étend la couverture aux environnements OT, ICS et IoT tout en réduisant les ambiguïtés de notation.
Quels sont les groupes de métriques dans le CVSS v4.0 ?
Le CVSS v4.0 comprend quatre groupes de métriques qui évaluent la gravité des vulnérabilités sous différents angles. Il s'agit des Métriques de base, des Métriques de menace, des Métriques environnementales et des Métriques supplémentaires, qui ensemble soutiennent une évaluation de la gravité plus contextuelle.