Prioriser les cibles et les pistes d'un audit
Une mission de test dure quelques jours, alors que la liste de pistes en compte souvent des dizaines. Quelles failles examiner en premier ? Lesquelles mériteraient d'être confirmées avant de passer à autre chose ? Savoir prioriser est ce qui sépare un travail efficace d'une dispersion. Voici une méthode simple et défendable.
Dans les leçons précédentes, vous avez constitué un inventaire, consulté les bases de vulnérabilités et distingué automatisation et travail manuel. Vous voilà devant un tableau de pistes. Il ne s'agit plus de trouver davantage, mais de choisir. Cette décision se prend avec des critères explicites, que vous pourrez justifier devant un client.
Pourquoi le CVSS seul ne suffit pas
La tentation est grande de trier simplement par note CVSS décroissante. Or cette note est une gravité théorique, sans connaissance de votre contexte. Deux exemples :
- Une faille de gravité 9,8 sur une machine isolée, sans donnée sensible, derrière un pare-feu qui bloque l'accès, est moins urgente que…
- …une faille de gravité 6,5 sur le portail exposé à Internet qui donne accès à des données personnelles de clients.
La bonne approche consiste donc à combiner la gravité intrinsèque avec le contexte, ce qu'on appelle la priorisation fondée sur le risque.
Les cinq critères de priorisation
| Critère | Question à se poser |
|---|---|
| Exposition | La cible est-elle accessible depuis Internet, depuis un réseau interne large, ou depuis un segment isolé ? |
| Criticité du bien | Que protège ce système ? Données personnelles, finances, continuité d'activité ? |
| Gravité technique | Quelle est la note de la faille et quel impact (confidentialité, intégrité, disponibilité) ? |
| Facilité d'exploitation | Faut-il un compte ? Des conditions particulières ? L'attaque est-elle documentée et répandue ? |
| Intérêt pour la progression | Cette piste donne-t-elle un accès qui ouvre d'autres portes dans le réseau ? |
Certains organismes publient des indications sur les failles effectivement exploitées dans la nature ; c'est un excellent signal. Une faille connue pour être utilisée par des attaquants passe devant une faille purement théorique, à gravité égale. Les cadres du NIST (nist.gov) et les recommandations de l'ANSSI (cyber.gouv.fr) abordent cette approche par le risque.
Une méthode de notation simple
Pour rendre la décision explicite, vous pouvez noter chaque piste de 1 à 3 sur les cinq critères, puis additionner. Ce n'est pas une science exacte : c'est un outil de discussion. Exemple pour la mission Verdelune :
| Piste | Expo. | Criticité | Gravité | Facilité | Progression | Total |
|---|---|---|---|---|---|---|
| Base de données joignable depuis tout le réseau | 3 | 3 | 2 | 2 | 3 | 13 |
| Serveur web, version ancienne annoncée | 3 | 2 | 3 | 2 | 3 | 13 |
| Partage de fichiers avec accès anonyme possible | 2 | 3 | 2 | 3 | 2 | 12 |
| En-tête de bannière trop bavard | 3 | 1 | 1 | 3 | 1 | 9 |
Ce tableau ne dit pas « la vérité » : il dit pourquoi vous avez décidé de commencer par telle piste. Si le client conteste, vous discutez des notes, pas d'une intuition.
Chercher les chemins d'attaque plutôt que les failles isolées
Un attaquant ne s'intéresse pas à une faille isolée : il construit un chemin. Une faiblesse modeste sur un serveur peu important peut fournir un premier accès, qui conduit à un second, puis à la ressource convoitée. Quand vous priorisez, posez-vous donc :
- Quel est l'objectif le plus critique pour le client (une base de données, un compte d'administration, un partage sensible) ?
- Quels chemins plausibles y mènent, depuis ma position de départ ?
- Quelles pistes sont des « maillons » de ces chemins, même si leur gravité individuelle est faible ?
Les techniques du référentiel MITRE ATT&CK (attack.mitre.org) sont organisées en tactiques qui s'enchaînent, ce qui correspond à cette vision par chemins. Nous la mettrons en pratique dans les chapitres sur l'exploitation et la post-exploitation.
Gérer le temps et le risque
Quelques règles pratiques pour ne pas s'éparpiller :
- Limite de temps par piste : si, après un créneau fixé, la piste ne donne rien, notez ce qui a été tenté et passez à la suivante ;
- Commencez par ce qui est simple et sûr : les vérifications peu risquées (configurations, accès anonymes) avant les tests plus intrusifs ;
- Évitez de faire tomber un service critique : prévoyez les tests délicats sur les créneaux convenus ;
- Réévaluez régulièrement : une piste obtenue change les priorités des autres ;
- Prévenez immédiatement le client en cas de découverte critique : on ne garde pas une faille grave pour la fin de la mission.
Le point de vue défensif : prioriser ses correctifs
Ces critères servent aussi aux défenseurs. Une équipe qui reçoit un rapport de plusieurs centaines de constats ne peut pas tout corriger en même temps. En classant par exposition, criticité et exploitabilité, elle traite d'abord les risques réels. Les bonnes pratiques consistent à définir des délais cibles selon la gravité, à suivre leur respect et à vérifier par un nouveau scan que les corrections ont porté leurs fruits.
À vous de jouer : classer vos pistes
Reprenez les pistes de votre carnet de mission (au moins six). Pour chacune, attribuez une note de 1 à 3 aux cinq critères, calculez le total et classez-les. Choisissez ensuite les trois pistes que vous tenterez de confirmer en premier dans le chapitre suivant, en rédigeant une phrase de justification pour chacune. Ajoutez enfin un « chemin d'attaque plausible » : quelle suite de trois étapes pourrait relier votre point de départ (le poste d'attaque) à la machine la plus critique du labo ?
Voir une solution
Un chemin plausible dans le labo Verdelune : (1) le serveur web, exposé et d'une version ancienne, constitue le point d'entrée ; (2) à partir de lui, la base de données, joignable depuis tout le réseau, est atteinte ; (3) la base contient des identifiants réutilisés ailleurs, qui ouvrent l'accès au serveur de fichiers. La justification de priorité est donc l'enchaînement : le serveur web est un maillon d'entrée, la base une cible de progression, le partage de fichiers l'objectif.
Peu importe que votre classement diffère : l'essentiel est qu'il soit explicite et justifiable.
Avant de passer à l'exploitation. Le chapitre suivant aborde l'exploitation de failles. Elle ne se pratique que dans votre laboratoire isolé ou sur une plateforme d'entraînement légale, après avoir relu votre autorisation et votre périmètre. Aucune charge utile fonctionnelle n'est fournie dans ce cours : l'objectif est de comprendre la démarche professionnelle.
À retenir
- Le CVSS mesure une gravité théorique ; la priorisation doit aussi tenir compte du contexte : exposition, criticité du bien, facilité d'exploitation, intérêt pour la progression.
- Une grille de notation explicite rend la décision justifiable devant le client.
- Un attaquant construit des chemins : une faille modeste peut être un maillon essentiel.
- Gérez votre temps : limites par piste, tests peu risqués d'abord, réévaluation régulière, alerte immédiate sur une faille critique.
- La même logique permet à un défenseur de prioriser ses correctifs.
Vous disposez d'une liste de pistes priorisées. Dans le chapitre suivant, nous verrons comment, uniquement dans un cadre d'entraînement légal, on vérifie qu'une piste est réellement exploitable.