Faille critique : comment savoir en quelques minutes quels serveurs sont touchés
Une CVE critique est publiée : six questions, six outils. Voici la méthode pour lister les serveurs touchés en minutes plutôt qu’en jours.
Lundi, 8 h. Une faille critique est publiée et la direction pose la seule question qui compte : sommes-nous concernés ? Dans beaucoup d’organisations, la réponse arrive deux jours plus tard. Le problème ne vient pas d’un manque de données. Il vient de leur dispersion.
Six questions, six outils
Répondre correctement suppose d’enchaîner six vérifications, chacune dans une console différente.
- Combien de serveurs sont concernés ? Le scanner de vulnérabilités, croisé avec l’inventaire.
- Lesquels portent des applications critiques ? La CMDB.
- Qui en est responsable ? La CMDB ou l’annuaire.
- Le correctif est-il déjà déployé ? Red Hat Satellite ou WSUS.
- Sont-ils protégés par l’EDR ? La console de l’EDR.
- Peut-on les restaurer ? L’outil de sauvegarde.
Chaque outil répond bien à sa question. Aucun ne répond aux six. Le recoupement finit dans un tableur, refait à la main à chaque alerte.
Ce que les grandes crises ont en commun
WannaCry, en mai 2017, exploitait une faille Windows dont le correctif était disponible depuis deux mois. Log4Shell, en décembre 2021, touchait une bibliothèque Java présente dans d’innombrables applications. Dans les deux cas, la première difficulté n’était pas de corriger. Elle était de savoir où chercher.
La méthode : préparer le croisement avant la crise
Le jour de l’alerte, il est trop tard pour construire les jointures. Trois préparatifs changent tout.
- Une clé commune. Le nom d’hôte normalisé relie le scanner, l’inventaire et l’outil de patch. Sans lui, un même serveur porte quatre identités.
- Une criticité par application. Tous les serveurs exposés ne se valent pas. La criticité métier fixe l’ordre de traitement.
- Un propriétaire par actif. Une faille sans responsable identifié reste ouverte.
À quoi ressemble la bonne réponse
Une seule page : la liste des actifs exposés, leur application, leur criticité, leur propriétaire, l’état du correctif, la présence de l’EDR et le plan de correction. C’est exactement ce qu’affiche la vue d’exposition d’Univizio Security.
Le gain se mesure simplement : chronométrez votre prochaine alerte, de la publication de la CVE à la liste validée des serveurs touchés. C’est l’un des critères que nous mesurons pendant un POC de trois semaines.