Priorisation des correctifs : Pourquoi CVSS seul freine votre SOC

Un SOC qui traite de la même façon chaque faille CVSS critique corrige en priorité les mauvaises. Plus de 40 000 nouvelles vulnérabilités par an ne peuvent pas toutes être comblées en 24 heures, et le score CVSS seul ne dit rien sur celles qu’un attaquant exploitera réellement demain. Celui qui priorise a besoin de deux signaux supplémentaires au-delà de la gravité : la probabilité d’exploitation et la question de savoir si elle est déjà en cours.

Connexe :La vérification statique des bibliothèques tierces ne suffit plus  /  Le noyau partagé est la faille

Pourquoi le score CVSS seul induit en erreur

Qu’est-ce qu’EPSS ? L’Exploit Prediction Scoring System attribue à chaque vulnérabilité une probabilité comprise entre 0 et 1 qu’elle soit exploitée dans les 30 prochains jours. Il répond à une question différente de celle du CVSS : non pas la gravité des dégâts, mais la probabilité qu’ils surviennent.

Cette distinction est déterminante au quotidien. CVSS évalue la gravité dans le pire des cas, et c’est précisément pour cette raison que chaque analyse de vulnérabilités accumule des dizaines d’entrées classées comme critiques. Une équipe qui traite cette liste de haut en bas passe des jours sur des failles que personne n’exploitera jamais, tandis qu’une vulnérabilité de gravité moyenne avec un exploit actif attend en bas de la liste. La gravité reste pertinente, mais ne constitue pas un ordre de traitement valable.

C’est là que naît le soulagement opérationnel. Celui qui reporte délibérément les failles à faible probabilité d’exploitation gagne du temps pour les vulnérabilités avec un exploit actif ou probable. La condition est que la priorisation repose sur plus d’un seul chiffre.

Trois signaux définissent l’ordre de correction

CVSS, EPSS et le catalogue KEV ne sont pas en concurrence – ils répondent à des questions différentes. C’est seulement combinés qu’ils donnent un ordre de priorité fiable.

Une vulnérabilité avec un score CVSS moyen mais une probabilité EPSS élevée mérite souvent une action plus rapide qu’une vulnérabilité cotée critique avec peu de chances d’exploitation. Si elle figure en outre dans le catalogue KEV, l’urgence est sans équivoque.

Les niveaux ordonnent ce que le CVSS laisse ouvert

Les trois signaux donnent un ordre de priorité gérable lorsque le SOC les traduit en niveaux. La logique suivante peut être adaptée à l’appétit au risque de chaque organisation, mais reste identique dans sa structure.

Le niveau inférieur représente le principal allègement de la charge. Lorsque les scores EPSS faibles migrent de façon fiable vers les opérations normales, du temps d’analyse et de correction reste disponible pour les niveaux 0 et 1. Il est important de noter qu’un système critique accessible fait monter le niveau : une faille activement exploitée sur un serveur de test isolé ne constitue pas un niveau 0.

Ce qui soutient la logique par niveaux et ce qui la fait vaciller

La méthode dépend entièrement de sa maintenance. Trois conditions déterminent si le modèle devient un véritable allègement de la charge de travail.

La colonne de droite décrit le cas habituel dans lequel un bon modèle se dégrade progressivement. Une priorisation que personne ne maintient redevient, au bout de quelques semaines, une simple liste classée par CVSS, avec davantage d’étapes intermédiaires.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.