De la CVE à la défense validé en heures la nouvelle ère de la cybersécurité

La fenêtre entre identifier une vulnérabilité et son exploitation a été considérablement fermée. Pendant des décennies, la gestion de la vulnérabilité a travaillé avec un matelas temporaire qui a permis d'évaluer, de programmer des patchs et de valider en semaines ou en mois; aujourd'hui, grâce à des capacités d'intelligence artificielle pour identifier, chaîner et adapter des techniques offensives, ce matelas a été réduit à des heures. Les outils qui analysent les avertissements, génèrent des chaînes de TTP (techniques, tactiques et procédures) et des variantes de test, combinés à des modèles capables d'activer des exploits, ont accéléré la conversion d'un CVE en menace réelle.

Les indices publics le montrent avec brut: des indicateurs tels que Horloge de jour zéro enregistrer une baisse marquée dans le temps moyen entre la divulgation et l'exploitation déclarées et les rapports mondiaux tels que Verizon DBIR souligner que le temps moyen d'assainissement pour les vulnérabilités exploitées est encore de plusieurs semaines, tandis que la fraction des environnements qui appliquent les patchs tombe. Cette asymétrie - une offensive mesurée en heures et défensive en semaines - change les règles du jeu et nous force à repenser les priorités.

Plot plus rapide n'est pas la seule solution. Les organisations ne peuvent pas simplement « activer» un patch : il y a des tests de régression, des fenêtres de changement, des exigences réglementaires et des systèmes critiques qui ne peuvent pas être redémarrés à la discrétion. En outre, le volume des CVE publiés chaque année rend impossible une réponse uniforme: la priorisation traditionnelle basée sur un score statique (CVSS / EPSS) ne garantit plus que le risque qui compte vraiment pour une infrastructure spécifique est concentré.

Nous avons une autre difficulté : de nombreux CVE ne génèrent jamais d'explosion publique ou de "sûre" à lancer dans la production, et une partie pertinente de l'infrastructure est hors du champ des attaques contrôlées pour des raisons de criticité ou d'isolement. Parallèlement, les modèles d'IA avancés ont démontré leur capacité à découvrir des défaillances dans des projets d'entretien de haute qualité et de longue durée, ce qui signifie que la ligne de base de 2025 devrait être prise comme un plancher, et non comme un toit.

L'alternative opérationnelle est d'évaluer l'exploitabilité par rapport à vos contrôles réels, pas une étiquette. Au lieu de se demander « quelles vulnérabilités existent ? » la question opérationnelle doit être « quelles vulnérabilités peuvent être exploitées, aujourd'hui, contre les contrôles que j'ai déployés ? » Cette approche exige que chaque CVE soit ventilé dans la séquence des techniques requises par un attaquant et que chaque maillon de la chaîne soit validé par rapport à l'EDR, les politiques de durcissement, l'autorisation d'inscription, les protections mémoire et les configurations réseau. Si un lien est rompu par un contrôle actif, la menace n'atteint pas la cible.

Valable par inférence - c'est-à-dire pour tester chaque technique sans avoir à faire exploser une explosion dans la production - permet d'évaluer les actifs trop sensibles pour un essai de fonctionnement réel, ainsi que les CVE de zéro jour qui n'ont pas encore d'explosion publique. Cette méthode produit un résultat pouvant donner lieu à une action et des preuves reproductibles qui peuvent être apportées à la Commission pour justifier des correctifs, des atténuations temporaires ou l'acceptation des risques.

Ce que les équipes et les responsables devraient faire aujourd'hui. Premièrement, intégrer le contexte et les contrôles des actifs dans la hiérarchisation : tous les actifs ne sont pas égaux et toutes les vulnérabilités ne sont pas exploitables dans tous les environnements. Deuxièmement, déployer des capacités de validation continue des contrôles qui permettent de réévaluer les décisions antérieures à mesure que la configuration change. Troisièmement, intégrer les sources de renseignement sur les techniques et les chaînes d'attaque pour cartographier les CVE au TTP. Quatrièmement, améliorer les processus de changement et de mise à l'essai afin de réduire le temps de déploiement d'atténuation critique lorsque les preuves montrent une exploitation réelle ou une forte probabilité de succès.

En outre, il est essentiel de renforcer les défenses complémentaires: règles de listage de permis, détection et réponse robustes (EDR / XDR), segmentation du réseau pour limiter la portée et le contrôle spécifique des pouvoirs et de la protection de la mémoire. Dans le même temps, il est nécessaire de développer des mesures visant à une exploitation vérifiable: pourcentage d'expositions validées comme exploitables, durée moyenne de la divulgation au verdict (exploitable/non exploitable) et couverture des contrôles critiques par rapport aux techniques cartographiques.

Gouvernance et communication. Les décisions concernant les risques liés aux vulnérabilités devraient être fondées sur des preuves reproductibles. Les comités et les conseils de gestion des risques doivent vérifier les paramètres qui ne sont pas seulement en attente de comptages de l'ECV, mais qui se rétractent en fonction des tests de contrôle et de portée. Ce changement indique clairement aux entreprises pourquoi certaines vulnérabilités sont immédiatement garées, d'autres sont atténuées et d'autres sont temporairement acceptées avec compensation.

Enfin, il ne faut pas sous-estimer la préparation à un environnement où l'automatisation offensive est la norme. La formation, les exercices de table, les jeux d'information et les ententes claires avec les équipes et les opérations de changement sont essentiels pour réduire les frictions entre la détection, la vérification et la médiation. L'investissement dans des processus et des outils qui permettent à un CVE d'être transformé en une décision défendable en heures, et non en semaines, est maintenant aussi stratégique que l'investissement dans la technologie défensive.

Pour ceux qui veulent approfondir la cartographie des CVE aux chaînes de techniques et valider les contrôles sans détoner les exploits, il y a des ressources techniques publiques et des études de cas qui montrent des approches et des outils qui mettent en œuvre ce paradigme. La transition nécessite de repenser les mesures, les processus et la technologie pour la défense afin de récupérer l'avantage à une époque où l'IA accélère l'offensive.