Le Common Vulnerability Scoring System (CVSS) est une norme largement utilisée pour évaluer la gravité des vulnérabilités logicielles. Ce système aide les organisations à établir la priorité des correctifs de sécurité et à atténuer les risques informatiques. Le CVSS se divise en trois catégories de métriques : de Base (Base Metrics), Temporelles (Temporal Metrics) et Environnementales (Environmental Metrics). Dans cet article, nous analyserons le rôle et l’importance des métriques temporelles.

Que sont les métriques temporelles (Temporal Metrics) ?

Les métriques temporelles évaluent l’évolution d’une vulnérabilité dans le temps, en tenant compte de facteurs externes tels que la disponibilité d’exploits, la mise en œuvre de correctifs et le niveau de confiance dans les informations sur la vulnérabilité. Ces métriques permettent de mettre à jour le score CVSS en fonction des développements susceptibles d’influencer le risque réel d’une vulnérabilité.

Les métriques temporelles se divisent en trois catégories principales :

• Exploitabilité (Exploitability – E) : Indique la facilité avec laquelle la vulnérabilité peut être exploitée activement.
• Niveau de correction (Remediation Level – RL) : Mesure la disponibilité de solutions pour atténuer la vulnérabilité.
• Niveau de confiance dans le rapport (Report Confidence – RC) : Évalue la fiabilité des informations disponibles sur la vulnérabilité.

Importance des métriques temporelles (Temporal Metrics)

Les métriques temporelles affinent le score CVSS attribué par les métriques de base, fournissant une vision plus réaliste du risque actuel. Étant donné que la cybersécurité est un domaine en constante évolution, ces métriques sont cruciales pour adapter les stratégies d’atténuation et de réponse aux attaques.

Exploitabilité (Exploitability – E)

Mesure la probabilité qu’une vulnérabilité soit exploitée activement :

• Non prouvée (Unproven – U) : Aucun exploit connu ou vérifié.
• Théorique (Proof-of-Concept – POC) : Exploits démonstratifs ou testés en laboratoire disponibles.
• Fonctionnelle (Functional – F) : Exploit efficace confirmé dans des environnements réels.
• Élevée (High – H) : Exploit facilement disponible et utilisable.

Niveau de correction (Remediation Level – RL)

Définit les mesures disponibles pour atténuer la vulnérabilité :

• Non disponible (Unavailable – U) : Aucun correctif disponible.
• Solution temporaire (Workaround – W) : Des atténuations partielles existent.
• Mise à jour partielle (Temporary Fix – T) : Correctif provisoire publié.
• Correction officielle (Official Fix – O) : Correctif définitif disponible.

Niveau de confiance dans le rapport (Report Confidence – RC)

Indique le niveau de fiabilité des informations sur la vulnérabilité :

• Inconnu (Unknown – U) : Données insuffisantes pour valider la vulnérabilité.
• Raisonnablement confirmé (Reasonable – R) : Il existe des preuves fiables de la vulnérabilité.
• Confirmé (Confirmed – C) : La vulnérabilité a été vérifiée par des sources faisant autorité.

Impact des métriques temporelles sur le score CVSS

Un score CVSS basé exclusivement sur les métriques de base fournit une évaluation statique de la vulnérabilité. Cependant, les métriques temporelles mettent à jour cette évaluation pour refléter la situation actuelle, réduisant ou augmentant le risque perçu.

Par exemple :

• Une vulnérabilité avec un score de base élevé pourrait avoir un risque réel réduit si un correctif officiel est disponible et rapidement mis en œuvre.
• À l’inverse, une vulnérabilité théoriquement faible pourrait devenir plus critique si des exploits publics faciles à utiliser apparaissent.

Intégration des métriques temporelles dans la gestion des vulnérabilités (Vulnerability Management)

L’intégration des métriques temporelles dans la gestion des vulnérabilités permet aux organisations de réagir de manière dynamique aux menaces. Un suivi constant du niveau d’exploitabilité et des correctifs disponibles permet une réponse rapide et ciblée.

Étapes recommandées :

• Surveiller les sources d’informations sur les vulnérabilités (Monitor Exploit Feeds) pour rester informé de la présence d’exploits actifs.
• Mettre à jour les scores CVSS (Update CVSS Scores) périodiquement en fonction de la disponibilité des correctifs.
• Mettre en œuvre des solutions d’atténuation (Apply Mitigation Strategies) même en l’absence de correctifs officiels.

FAQ : Métriques temporelles et leur application

• Pourquoi les métriques temporelles (Temporal Metrics) sont-elles fondamentales dans l’évaluation des vulnérabilités ?
• Les métriques temporelles permettent de mettre à jour l’évaluation d’une vulnérabilité en fonction des développements dans le temps, améliorant la précision des analyses de risque et soutenant des décisions de sécurité plus éclairées.
• Comment les métriques temporelles se distinguent-elles des autres catégories de métriques CVSS ?
• Les métriques temporelles prennent en compte l’évolution de la vulnérabilité dans le temps, tandis que les métriques de base évaluent exclusivement ses caractéristiques techniques et les métriques environnementales considèrent le contexte spécifique de l’organisation.
• Comment les métriques temporelles influencent-elles la gestion des vulnérabilités ?
• Surveiller et mettre à jour les scores CVSS en fonction des métriques temporelles aide à prioriser les vulnérabilités les plus dangereuses à un moment donné, optimisant ainsi les ressources et les stratégies de réponse aux attaques.