Une évaluation de vulnérabilité analyse les systèmes à la recherche de failles connues. Il ne s'agit pas d'un test d'intrusion. Un test d'intrusion vise à exploiter les failles de sécurité. Une évaluation de vulnérabilité les identifie et les répertorie. Le résultat est un rapport présentant les résultats classés par ordre de gravité. L'organisation décide des corrections à apporter et du calendrier. Les évaluations sont plus rapides et moins coûteuses que les tests d'intrusion, c'est pourquoi elles sont réalisées plus fréquemment. Les analyses trimestrielles sont courantes. L'analyse continue tend à devenir la norme.

Les outils varient. Les scanners réseau comme Nessus et OpenVAS analysent les hôtes à la recherche de ports ouverts, de logiciels obsolètes et de correctifs manquants. Les scanners d'applications web comme Burp Suite et OWASP ZAP explorent les sites à la recherche de failles d'injection, d'authentifications défaillantes et d'erreurs de configuration. Les outils d'évaluation de la sécurité du cloud comparent les configurations à des référentiels. Chaque outil présente des angles morts. Les scanners génèrent des faux positifs et passent à côté de failles logiques nécessitant une analyse humaine. Une évaluation des vulnérabilités est un point de départ. Elle indique où chercher, mais ne prédit pas le comportement d'un attaquant. Combiner cette évaluation avec un test d'intrusion permet d'obtenir une vision plus complète. L'analyse réseau identifie les failles, tandis que le test d'intrusion démontre lesquelles sont critiques.

Étapes d'évaluation de la vulnérabilité

• Définir le périmètre et les actifs d'inventaire
• Exécuter des analyses automatisées
• Valider les résultats et éliminer les faux positifs
• Prioriser en fonction de la gravité et du contexte
• Corrigez le problème et effectuez une nouvelle analyse pour confirmer.

Une analyse qui s'exécute sans jamais corriger les problèmes n'est qu'un exercice de conformité. La valeur réside dans la remédiation.