L'âge de la légitime défense Temps à exploiter n'est plus suffisant

Les données récentes sur la médiation fondée sur la vulnérabilité exigent de repenser la stratégie de défense : il ne suffit pas d'accélérer les processus ou d'augmenter les modèles. Une étude approfondie de l'Unité de recherche sur les menaces de Qualys, qui analyse plus d'un milliard de dossiers d'assainissement et des dizaines de milliers d'organisations pendant quatre ans, montre que la réalité opérationnelle a dépassé la capacité humaine de réagir dans le temps. L'architecture de défense doit changer Si nous voulons maintenir l'avantage contre les attaquants en utilisant l'automatisation et les agents basés sur l'IA.

Selon cette analyse, l'intervalle entre la publication d'une vulnérabilité et son exploitation active s'est déjà effondré en moyenne à des valeurs négatives, ce qui signifie que de nombreux échecs sont exploités avant même qu'un patch existe. Cette conclusion n'est pas isolée: Tendances Google M Ils documentent également une accélération dans les fenêtres de fonctionnement. Lorsque l'avantage de l'attaquant est mesuré en jours et la réponse des organisations en mois, le modèle réactif traditionnel est obsolète.

L'étude Qualys met des chiffres à l'échelle de ce sentiment. Bien que le volume de vulnérabilités traitées par les équipes ait augmenté à plusieurs reprises en quelques années, le pourcentage de vulnérabilités critiques encore ouvertes à sept jours a augmenté : plus d'efforts ne se traduit pas en moins de risques dans la longue queue d'exposition. Les chercheurs parlent d'un « toit humain » : il y a une limite structurale qui ne corrige pas des processus plus personnels ou plus manuels.

Deux concepts aident à comprendre pourquoi les mesures habituelles trompent. Le premier, que les auteurs appellent "Manuel fiscal", décrit comment les actifs moins visibles ou hors de la portée des flux humains entraînent l'exposition de l'ensemble de semaines à mois. La deuxième est la proposition de modifier l'objectif de comptage CVE pour mesurer l'exposition accumulée : combien d'actifs vulnérables sont multipliés par les jours qui restent exposés, ce qui est mentionné dans le rapport. Masse des risques. A côté de ça, Fenêtre d'exposition moyenne capte toute la durée de l'armement initial jusqu'à l'assainissement effectif de l'organisation.

Ces indicateurs montrent une autre vérité inconfortable: ce qui brille dans les tableaux de bord - la course à appliquer des patchs bientôt - représente généralement moins de 20% de la fenêtre d'exposition réelle. Le reste vient de la fenêtre aveugle avant la publication du patch et de la longue queue de systèmes qui ne peuvent jamais être garés rapidement. Des cas bien documentés comme Follina et Spring4Shell illustrent la distance entre le premier et le temps moyen nécessaire aux entreprises pour corriger l'échec. En ce qui concerne les consultations techniques et la traçabilité, les apports publics de VAN sont des ressources utiles, par exemple CVE-2022-30190 (Follina) et CVE-2022-22965 (Shell).

Une autre conclusion forte de l'étude est qu'une proportion écrasante de vulnérabilités réellement militarisées ont été arrachées plus lentement que le temps où elles ont été exploitées; dans certains groupes d'incidents, l'exploitation a précédé l'existence d'un patch valide. Cela souligne que le problème n'est pas seulement la vitesse : c'est l'ensemble du modèle opérationnel qui continue de dépendre des séquences humaines pour découvrir, prioriser, ouvrir des tickets et exécuter des restaurations.

L'avancée et la démocratisation des outils IA marquent un tournant : l'automatisation offensive peut déjà découvrir, concevoir exploite et exécuter des attaques à une vitesse que les équipes humaines n'atteignent pas. Pendant la phase de transition dans laquelle les agresseurs utilisent l'IA à un rythme autonome et les défenseurs continuent d'opérer à l'époque humaine, une fenêtre particulièrement dangereuse s'ouvre. Ce n'est pas seulement un nouveau périmètre à protéger, mais une transformation des capacités de l'adversaire.

Face à cette réalité, le changement proposé n'est pas d'éliminer les gens du processus, mais de éliminer la latence humaine de la voie critique et accroître le rôle humain dans la gouvernance des systèmes autonomes. L'alternative au modèle du manuel de numérisation-dactylographie est un centre d'opérations de risque - un centre d'opérations de risque - où l'intelligence prend la forme d'une logique lisible par machine, où l'on vérifie activement si une vulnérabilité est exploitable dans un environnement spécifique et où l'action peut être exécutée de manière fermée et automatique lorsque les politiques le permettent.

Dans cette architecture, l'intervention humaine se concentre sur la définition et la réglementation de règles qui priorisent les risques réels, valident les exceptions et vérifient le comportement des agents automatisés. Ainsi, les équipes passent de tâches opérationnelles répétitives à des rôles de contrôle stratégique et de conception des politiques, ce qui est plus évolutif face à l'augmentation continue des surfaces d'attaque et à la prolifération des identités et des services cloud.

Une mauvaise nouvelle est que le nombre de vulnérabilités publiées continuera de croître et que le temps à exploiter ne reviendra pas seul à de longues périodes. La bonne nouvelle est qu'il existe déjà des principes et des technologies pour combler l'écart : corrélation en temps réel entre l'intelligence des menaces et la télémétrie des actifs, évaluations de l'exploitation propre à l'environnement, et flux automatisés d'assainissement qui peuvent bloquer ou atténuer les vecteurs tout en préparant une réparation finale.

Cette approche exige également de modifier les paramètres de réussite. Arrêtez de ne célébrer que la vitesse du stationnement vu en moyenne et adoptez des mesures qui reflètent l'exposition accumulée et les fenêtres à risque réelles permettent de mieux décider où investir l'automatisation, la segmentation et les mesures compensatoires. La masse de risque moyen et l'AWE reviennent se concentrer sur ce qui réduit réellement la probabilité d'écarts, plutôt que d'alimenter des cycles de travail qui réduisent seulement le nombre de billets.

Il ne s'agit pas d'une transformation insignifiante : il s'agit d'intégrer le renseignement de menace, les capacités d'orchestration de sécurité, la validation active dans l'environnement et les mécanismes d'auto-exécution avec des contrôles de gouvernance. Dans la pratique, certaines organisations font déjà l'expérience de l'automatisation des tâches critiques - confirmation de l'exploitation, atténuation temporaire, déploiement de correctifs sur des canaux contrôlés - et réservent l'intervention humaine pour des décisions plus importantes. Pour ceux qui cherchent à approfondir ces constatations et recommandations spécifiques, le rapport complet de Qualys développe la méthodologie et les données qui sous-tendent ces conclusions: La physique brisée de la réparation.

Il est également utile d'examiner les sources publiques qui documentent les vulnérabilités exploitées activement et les priorités qui devraient guider les opérations : le catalogue des vulnérabilités exploitées dont dispose la CISA est une référence pratique pour la hiérarchisation des interventions dans les infrastructures essentielles ( CISA KEV).

Bref, la leçon est claire : garder plus de personnes et les processus d'empilement n'arrêtera pas l'érosion de l'avantage contre les attaquants automatisés. La réponse passe par une architecture de risque qui ferme la voie humaine critique avec une autonomie responsable, une intelligence intégrable et métrique qui montre une exposition réelle. Si cette transformation n'est pas adoptée à grande échelle, la fenêtre entre la défense humaine et une offensive autonome continuera d'être fermée - et sera en faveur de ceux qui planifient déjà des attaques auxquelles ils ne s'attendent pas.

Pour les équipes qui veulent explorer des solutions pratiques et des cas de mise en œuvre, il y a des événements et des ressources où sont discutées des stratégies d'automatisation de la médiation et de l'exploitation des risques; par exemple, Qualys organise des conférences et des documents sur ces sujets qui peuvent servir de point de départ: ROCON EMEA et la page propre Qualys avec des guides et des outils ( Qualys).