Une gestion des vulnérabilités qui aboutit à des correctifs, pas à une liste plus longue
Une revue récurrente de vos systèmes, menée par des personnes : nous scannons, nous séparons le réel du bruit, nous classons selon la façon dont une faille pourrait réellement être exploitée, et nous la suivons jusqu'à sa fermeture.
Présentation
À quoi sert une revue de vulnérabilités
Un scanner produit des constats. La plupart des organisations en ont plus que de temps, et le rapport mensuel est lu une fois puis classé. Le vrai travail consiste à décider lesquels comptent ce mois-ci et à s'assurer qu'ils soient corrigés.
Black Fox mène des revues de vulnérabilités selon un rythme que vous choisissez, par exemple mensuel. À chaque cycle, nous scannons le périmètre convenu, confirmons et trions les résultats, les classons selon leur exploitabilité et l'exposition du système concerné, et convenons des correctifs avec les équipes qui en ont la charge.
Ce n'est pas un test d'intrusion. Une revue trouve des faiblesses connues sur un large parc, de façon répétée ; un test d'intrusion va en profondeur et montre ce qu'un attaquant pourrait enchaîner. Beaucoup de clients utilisent les deux, et la revue indique où le prochain test doit regarder.
À qui s'adresse ce service
Les organisations qui ont plus de systèmes que de personnes pour les surveiller, les équipes qui possèdent déjà un scanner mais pas le temps d'en lire les résultats, et toutes celles dont le référentiel attend une gestion régulière des vulnérabilités, comme c'est courant dans les démarches ISO/IEC 27001, SOC 2, PCI DSS et NIS2.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre et inventaire
Nous convenons de ce qui est couvert, par exemple les hôtes exposés, les réseaux internes, les comptes cloud et les applications web, et tenons l'inventaire à jour au fil des changements.
Scans récurrents
Des scans authentifiés et non authentifiés au rythme convenu, planifiés autour de vos fenêtres de maintenance et de vos gels de changements.
Tri
Nous écartons les faux positifs et les doublons, vérifions à la main les constats qui semblent sérieux et ajoutons le contexte qu'un scanner ne connaît pas.
Priorisation
Les constats sont classés selon qu'ils sont connus pour être exploités, l'accessibilité du système et ce qu'il contient, et pas seulement selon le score du scanner.
Suivi des correctifs
Nous travaillons avec les responsables de vos systèmes sur chaque correctif, convenons avec eux de dates cibles et vérifions le résultat au scan suivant.
Suivi des tendances
Une vue sur plusieurs cycles de ce qui reste ouvert, de ce qui se ferme, de ce qui revient et des causes communes qui réapparaissent.
Déroulement de la mission
Lancement
Nous convenons du périmètre, du rythme, des responsables et des règles d'engagement, et signons d'abord un accord de confidentialité si vous le souhaitez.
État initial
Un premier scan complet avec tri montre où vous en êtes et range l'existant dans un ordre que vous pouvez traiter.
Cycles récurrents
À chaque cycle, nous scannons, trions, classons et transmettons les constats nouveaux ou modifiés aux bons responsables.
Point de cycle
Un court échange avec vos équipes à chaque cycle pour fixer les priorités, accepter ou refuser des risques et débloquer les correctifs en attente.
Vérification
Nous rescannons ce qui a été corrigé et ne le fermons que lorsque les preuves l'attestent.
Bilan périodique
À intervalles convenus, nous revoyons avec vous les tendances et ajustons le périmètre, le rythme et les priorités.
Ce que vous recevez
- Périmètre convenu et inventaire des actifs
- Rapport d'état initial avec un plan de traitement priorisé
- Rapport par cycle des constats nouveaux, ouverts et fermés
- Suivi des correctifs avec responsables, dates cibles et état de vérification
- Traces d'acceptation des risques pour les constats non corrigés
- Rapport de tendances pour la direction et les auditeurs
Questions
Quelle différence avec un test d'intrusion ?
Une revue de vulnérabilités est large et récurrente : elle recherche les faiblesses connues sur tout le périmètre, à chaque cycle. Un test d'intrusion est profond et ponctuel : un testeur tente d'entrer et montre ce qui peut s'enchaîner. Les deux répondent à des questions différentes et se complètent.
Corrigez-vous les vulnérabilités vous-mêmes ?
Les systèmes appartiennent à vos équipes, ce sont donc elles qui font les changements. Nous leur disons quoi changer et pourquoi, les aidons si nécessaire et vérifions le résultat. Des travaux de durcissement peuvent être prévus à part si vous voulez nous en confier davantage.
Quels scanners utilisez-vous ?
Cela dépend de votre environnement. Nous pouvons travailler avec vos outils existants ou apporter les nôtres, et nous trions les résultats dans les deux cas. Le scanner compte moins que ce qu'on fait de ses constats.
Vous engagez-vous sur des délais de correction ?
Non. Les délais dépendent de vos équipes et de votre processus de changement. Nous convenons de dates cibles avec chaque responsable, les suivons et signalons franchement les retards.
Services associés
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
- Sécurité managéeConformité continueConformité continue avec Black Fox Security : calendrier des preuves, audits internes, tests de contrôles, revue des politiques, audits de surveillance.
Commencez par un état initial
Décrivez-nous ce que vous exploitez et comment c'est géré. Le premier cycle vous montre où vous en êtes et quoi corriger d'abord.