Le Common Vulnerability Scoring System (CVSS) est une norme utilisée pour évaluer la gravité des vulnérabilités logicielles. Il aide les professionnels de la cybersécurité et les responsables informatiques à prioriser les interventions de remédiation. Le CVSS est divisé en trois groupes de métriques : Base (Base Metrics), Temporelles (Temporal Metrics) et Environnementales (Environmental Metrics). Cet article explore en détail les Métriques de Base, qui constituent le cœur de l’évaluation d’une vulnérabilité.

Que sont les Métriques de Base (Base Metrics) ?

Les Métriques de Base décrivent les caractéristiques intrinsèques d’une vulnérabilité, indépendamment du moment où elle est découverte ou de l’environnement spécifique dans lequel elle se trouve. Ce groupe de métriques fournit une évaluation standardisée de la gravité d’une vulnérabilité et se subdivise en plusieurs catégories :

• Vecteur d’Attaque (Attack Vector – AV) : Indique la distance à partir de laquelle un attaquant peut exploiter la vulnérabilité, par exemple via le réseau, localement ou physiquement.
• Complexité de l’Attaque (Attack Complexity – AC) : Représente le niveau de difficulté pour mener une attaque en exploitant la vulnérabilité.
• Privilèges Requis (Privileges Required – PR) : Détermine le niveau d’accès nécessaire à l’attaquant pour exploiter la vulnérabilité.
• Interaction de l’Utilisateur (User Interaction – UI) : Spécifie si l’attaque nécessite une interaction de l’utilisateur pour être exécutée.
• Impact sur la Confidentialité (Confidentiality Impact – C) : Mesure le degré d’exposition des données sensibles en cas d’attaque réussie.
• Impact sur l’Intégrité (Integrity Impact – I) : Indique si la vulnérabilité permet d’altérer ou de compromettre la fiabilité des informations.
• Impact sur la Disponibilité (Availability Impact – A) : Évalue le degré d’interruption des services ou des ressources causé par la vulnérabilité.

Importance des Métriques de Base (Base Metrics)

Les Métriques de Base fournissent une évaluation initiale du risque associé à une vulnérabilité, indépendamment du contexte spécifique dans lequel elle se trouve. Comprendre ces valeurs permet aux organisations d’établir une priorité dans la gestion des vulnérabilités et dans les décisions de remédiation.

Vecteur d’Attaque (Attack Vector – AV)

Le vecteur d’attaque indique le mode d’accès de l’attaquant à la vulnérabilité :

• Réseau (Network) : La vulnérabilité peut être exploitée à distance.
• Réseau Adjacent (Adjacent Network) : L’attaque ne peut se produire qu’au sein du même réseau.
• Local : Nécessite un accès local au système.
• Physique (Physical) : Nécessite un accès physique au dispositif vulnérable.

Complexité de l’Attaque (Attack Complexity – AC)

Ce paramètre mesure la difficulté d’exécution de l’attaque :

• Faible (Low) : L’attaque ne nécessite aucune condition particulière.
• Élevée (High) : Des prérequis techniques ou des configurations spécifiques sont nécessaires.

Privilèges Requis (Privileges Required – PR)

Définit le niveau d’accès nécessaire pour exploiter la vulnérabilité :

• Aucun (None) : L’attaquant n’a besoin d’aucun privilège.
• Faible (Low) : Des privilèges limités sont requis.
• Élevé (High) : Des privilèges élevés ou administratifs sont nécessaires.

Impact des Métriques de Base (Base Metrics) sur le Score CVSS

Un score CVSS élevé basé sur les Métriques de Base indique une vulnérabilité particulièrement critique, quel que soit le contexte. Cependant, l’intégration avec les Métriques Temporelles et Environnementales permet d’affiner davantage l’évaluation et de déterminer l’impact réel sur la sécurité de l’entreprise.

Intégration des Métriques de Base dans la Gestion des Vulnérabilités (Vulnerability Management)

Les Métriques de Base représentent le point de départ pour la priorisation des vulnérabilités au sein d’une organisation. Toutefois, pour obtenir une évaluation plus précise, il est essentiel de prendre également en compte les métriques temporelles et environnementales.

Étapes recommandées :

• Surveiller et mettre à jour régulièrement les scores CVSS (Regularly Monitor CVSS Scores) pour identifier les vulnérabilités critiques.
• Utiliser des outils d’évaluation comme le calculateur CVSS du NIST (Use Tools like the NIST CVSS Calculator) pour obtenir une analyse précise des métriques de base.
• Mettre en œuvre des stratégies de remédiation (Implement Mitigation Strategies) en fonction de la gravité de la vulnérabilité.

Foire aux questions (FAQ)

Pourquoi les Métriques de Base (Base Metrics) sont-elles fondamentales dans l’évaluation des vulnérabilités ?

Les Métriques de Base représentent le premier niveau d’analyse d’une vulnérabilité, fournissant un score standardisé qui permet de comparer les différentes menaces de manière objective.

Comment les Métriques de Base se différencient-elles des autres groupes de métriques CVSS ?

Les Métriques de Base évaluent exclusivement les caractéristiques techniques de la vulnérabilité, sans tenir compte de l’évolution dans le temps (Métriques Temporelles) ou du contexte spécifique de l’organisation (Métriques Environnementales).

Comment les Métriques de Base influencent-elles la priorisation des vulnérabilités ?

Un score élevé dans les Métriques de Base indique un risque potentiel élevé, aidant les organisations à déterminer quelles vulnérabilités doivent être traitées en priorité.