Dans le quotidien des équipes IT, la gestion des vulnérabilités est une tâche complexe et cruciale. Avec l’augmentation constante des menaces et des vulnérabilités découvertes chaque jour, il est essentiel pour les organisations de pouvoir prioriser efficacement leurs efforts de remédiation. C’est ici que l’Exploit Prediction Scoring System (EPSS) entre en jeu.
Qu’est-ce que c’est ?
L’Exploit Prediction Scoring System (EPSS) est un système de notation développé par le Forum of Incident Response and Security Teams (FIRST) qui estime la probabilité qu’une vulnérabilité soit exploitée dans la nature au cours des 30 prochains jours. Contrairement au système CVSS qui évalue la gravité théorique d’une vulnérabilité, EPSS se concentre sur la prédiction basée sur des données réelles d’exploitation.
Pourquoi est-ce si important ?
La gestion des vulnérabilités peut être écrasante en raison du nombre élevé de vulnérabilités découvertes quotidiennement. Les équipes de sécurité doivent souvent faire des choix difficiles sur quelles vulnérabilités corriger en premier. L’EPSS offre une approche basée sur les données pour prioriser ces vulnérabilités en se basant sur leur probabilité d’exploitation. Cela permet de mieux allouer les ressources et de réduire les risques de manière plus efficace.
Les avantages :
- Priorisation améliorée : En se concentrant sur les vulnérabilités avec un score EPSS élevé, les organisations peuvent mieux prioriser leurs efforts de remédiation.
- Réduction des risques : En ciblant les vulnérabilités les plus susceptibles d’être exploitées, les organisations peuvent réduire significativement leur exposition aux risques.
- Efficacité des ressources : L’EPSS permet une utilisation plus efficace des ressources en concentrant les efforts sur les vulnérabilités qui comptent le plus.
- Approche proactive : Contrairement aux méthodes réactives, l’EPSS permet une approche proactive de la gestion des vulnérabilités.
Comment ça fonctionne ?
L’EPSS fonctionne en analysant plusieurs centaines des variables, mais trois facteurs principaux sont utilisés pour définir le score :
- Le score CVSS
- L’existence d’exploits publics ou de preuves de concept (POC) exploitant la vulnérabilité
- La popularité du produit ciblé et son adoption sur le marché
Le score EPSS, mis à jour quotidiennement, s’échelonne de 0 à 1. Voici comment l’interpréter :
- 0 à 0,2 : Faible probabilité d’exploitation
- 0,2 à 0,5 : Probabilité modérée d’exploitation
- 0,5 à 0,8 : Haute probabilité d’exploitation
- 0,8 à 1 : Très haute probabilité d’exploitation
L’ensemble des informations liées au fonctionnement de ce barème sont disponible sur le site du FIRST.
L’intégrer à votre quotidien
Pour implémenter l’EPSS dans votre organisation, commencez par intégrer les scores EPSS dans vos outils de gestion des vulnérabilités existants. Utilisez ces scores pour prioriser les vulnérabilités et planifier vos efforts de remédiation en conséquence. Pondérez les scores CVSS avec l’EPSS pour mettre sur un barème commun vos vulnérabilités.
Contrairement à CVSS, le score EPSS est vivant. C’est à dire qu’il évolue au fil du temps et des actualités liés aux découvertes des chercheurs en cybersécurité. L’utilisation de ce système nécessite donc une légère adaptation des habitudes de travail en intégrant l’évolution du score aux priorités de correction.
En résumé :
- Un nombre de plus en plus important d’outil intègre le score EPSS pour le classement des vulnérabilités
- Si ce n’est pas le cas, il est possible de calculer soit même le score à l’aide du référentiel du FIRST
- Un changement des habitudes est à prévoir pour gérer l’évolution du score dans le temps
Chez Attineos
Depuis plusieurs mois, nos équipes travaillent quotidiennement avec EPSS et c’est pour cela que nous voulions vous partager cette technologie aujourd’hui. Nos solutions intègrent depuis plusieurs mois ce score pour nos pentests, nos audits et notre gestion quotidienne du SOC.
Depuis, c’est pour nos clients, moins de temps de triage, une meilleure gestion des correctifs, une couverture plus efficace de la surface d’attaque.
Si vous voulez en savoir plus : Expertise Attineos Cybersécurité
