🔎 Veille vulnérabilités et correctifs

🎯 Objectifs

• Comprendre le système de nomenclature CVE et le score CVSS
• Utiliser les bases de données de vulnérabilités (NVD, CERT-FR)
• Mettre en place une veille de sécurité efficace
• Déployer et utiliser des scanners de vulnérabilités (OpenVAS, Nessus)
• Concevoir et mettre en œuvre un processus de patch management
• Prioriser les correctifs selon le risque

📖 CVE — Common Vulnerabilities and Exposures

Qu'est-ce qu'un CVE ?

Un CVE (Common Vulnerabilities and Exposures) est un identifiant unique attribué à une vulnérabilité de sécurité connue. Géré par le MITRE Corporation et financé par le Department of Homeland Security (DHS) américain, le système CVE constitue le référentiel mondial des vulnérabilités.

Format : CVE-AAAA-NNNNN (ex : CVE-2021-44228 — Log4Shell)

Cycle de vie d'un CVE

1. Découverte : par un chercheur, un éditeur ou automatiquement
2. Signalement responsable (Responsible Disclosure) : notification à l'éditeur avant publication
3. Attribution d'un ID CVE par un CNA (CVE Numbering Authority)
4. Développement du correctif par l'éditeur
5. Publication : CVE divulgué avec détails techniques et correctif disponible
6. Intégration dans les bases de données (NVD) et les scanners

📖 CVSS — Common Vulnerability Scoring System

Le CVSS v3.1 est un système standardisé de notation de la sévérité des vulnérabilités, de 0 à 10 :

Métriques CVSS v3.1

Le score CVSS est calculé à partir de métriques de base :

• Attack Vector (AV) : Network, Adjacent, Local, Physical
• Attack Complexity (AC) : Low, High
• Privileges Required (PR) : None, Low, High
• User Interaction (UI) : None, Required
• Scope (S) : Unchanged, Changed
• Confidentiality/Integrity/Availability Impact : None, Low, High

📖 Sources de veille cybersécurité

📖 Scan de vulnérabilités

OpenVAS / Greenbone

OpenVAS (Open Vulnerability Assessment Scanner) est le scanner de vulnérabilités open source le plus utilisé. Il dispose d'une base de données de plus de 60 000 tests (NVTs — Network Vulnerability Tests) :

# Installation Greenbone Community Edition (Docker)
git clone https://github.com/greenbone/openvas-scanner.git
docker-compose -f openvas-scanner/docker-compose.yml up -d

# Commandes CLI avec gvm-cli
gvm-cli socket --gmp-username admin --gmp-password admin \
  --xml "<create_task><name>Scan IRIS</name><config id='daba56c8-73ec-11df-a475-002264764cea'/><target id='TARGET_ID'/></create_task>"

Nmap — Découverte et scan de ports

# Scan de découverte du réseau
nmap -sn 10.0.0.0/24

# Scan de vulnérabilités avec scripts NSE
nmap -sV --script vuln 10.0.0.10

# Scan complet avec détection de version et OS
nmap -A -T4 10.0.0.10

# Scan des ports UDP courants
nmap -sU --top-ports 20 10.0.0.10

# Export des résultats
nmap -oA /tmp/scan_iris 10.0.0.0/24

📖 Processus de Patch Management

Les étapes du patch management

1. Inventaire : connaître exactement quels logiciels/versions tournent sur le parc
2. Surveillance : veille continue sur les nouvelles vulnérabilités
3. Évaluation : analyser l'impact (CVSS + contexte + exploitabilité)
4. Test : valider le correctif en environnement de test avant déploiement
5. Déploiement : appliquer le correctif selon la priorité et les fenêtres de maintenance
6. Vérification : s'assurer que le correctif a bien été appliqué
7. Reporting : documenter et tracer les actions

Outils de déploiement des mises à jour

# Windows — WSUS (Windows Server Update Services)
# Configurer via GPO :
# Configuration ordinateur > Modèles d'administration > Composants Windows
# > Windows Update > Spécifier l'emplacement du service WSUS intranet

# Windows 10/11 — Forcer la mise à jour
UsoClient StartScan
UsoClient StartDownload
UsoClient StartInstall

# Linux — Mise à jour automatique (Debian/Ubuntu)
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades

# Configuration /etc/apt/apt.conf.d/50unattended-upgrades
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};
Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "false";  # Gérer les redémarrages manuellement
Unattended-Upgrade::Mail "admin@iris.fr";

Politiques de déploiement selon la criticité

🛠️ Outils / Ressources

• OpenVAS / Greenbone : scanner de vulnérabilités open source
• Nessus Essentials : version gratuite pour 16 IPs
• Qualys VMDR, Rapid7 InsightVM : solutions de VM enterprise
• WSUS / SCCM (Windows) : gestion des mises à jour Microsoft
• Ansible : automatisation du déploiement de patches multi-OS
• CERT-FR : veille et alertes de sécurité française (cert.ssi.gouv.fr)

📝 QCM — Testez vos connaissances