Une faille zero-day est une vulnérabilité exploitée par des attaquants avant même que le fournisseur n'en ait connaissance ou qu'un correctif ne soit disponible. Son nom provient du nombre de jours dont dispose le fournisseur pour la corriger : zéro. Les systèmes de défense ne reçoivent aucune signature, aucun correctif et aucun avertissement. L'attaquant conserve l'avantage jusqu'à ce que la faille soit découverte et corrigée. Les failles zero-day sont précieuses. Gouvernements et organisations criminelles déboursent des millions pour s'en procurer. Le marché des courtiers en exploits est une réalité lucrative.

Les failles zero-day sont rares comparées aux vulnérabilités connues. La plupart des violations exploitent des failles corrigées il y a des mois, voire des années. Le correctif était disponible, mais personne ne l'a appliqué. C'est pourquoi les correctifs sont plus importants que la protection contre les zero-day. Lorsqu'une faille zero-day apparaît, la réaction est urgente. Les fournisseurs travaillent sans relâche pour trouver une solution. Les équipes de défense mettent en place des mesures d'atténuation, renforcent la surveillance et restent attentives aux signes de compromission. Certaines failles zero-day sont exploitées lors d'attaques ciblées contre des victimes spécifiques. D'autres sont utilisées dans le cadre de campagnes de grande envergure. Stuxnet a utilisé plusieurs failles zero-day pour saboter le programme nucléaire iranien. Il s'agissait d'une opération étatique ayant nécessité des années de préparation. La plupart des failles zero-day sont moins spectaculaires. Elles sont utilisées discrètement, contre des cibles qui ne se rendent même pas compte qu'elles ont été touchées. La meilleure défense est multicouche : correctifs, segmentation, surveillance et réponse aux incidents. Aucun contrôle isolé ne peut stopper une faille zero-day. Ensemble, ils permettent de gagner du temps jusqu'à la disponibilité d'un correctif.

faits sur les zombies zero-day

• Aucun correctif n'existe au moment de l'exploitation
• Très précieux sur les marchés de l'exploitation
• Rare comparé aux exploitations de vulnérabilités connues
• Utilisé dans les attaques ciblées et généralisées
• Les mesures d'atténuation et la surveillance constituent la défense provisoire

Une faille zero-day est une course contre la montre. Le fournisseur se dépêche de corriger la faille. L'attaquant se dépêche de l'exploiter. Le défenseur se dépêche de la détecter.