Évaluation des vulnérabilités · Analyse
Famille de services: CybersécuritéRepérez les faiblesses connues de vos systèmes avant que quelqu’un d’autre ne le fasse
Nous analysons vos systèmes exposés à Internet et vos systèmes internes à la recherche de vulnérabilités connues et d’erreurs de configuration, distinguons l’urgent du bruit et vous remettons un plan de correction classé selon le risque réel.
En bref
- Service
- Analyse des vulnérabilités authentifiée et non authentifiée, priorisée selon le risque, offerte ponctuellement ou de façon récurrente
- Idéal pour
- Organisations d’environ 5 à 200 employés qui ont des serveurs, des services exposés à Internet ou des clients qui exigent une analyse des vulnérabilités
- Principaux éléments inclus
- Analyses externes et internes, analyse authentifiée des appareils, revue des faux positifs, constats priorisés et nouvelle analyse après correction
- Ce que ce n’est pas
- Un test d’intrusion : nous ne tentons aucune exploitation, à moins qu’un test d’intrusion fasse l’objet d’une portée distincte et d’une autorisation écrite
- Base de tarification
- Prix fixe par mandat ou tarif mensuel pour l’analyse récurrente, selon le nombre d’adresses IP et d’appareils, confirmé dans une soumission écrite
- Autorisation
- L’analyse ne commence qu’après une autorisation écrite précisant les cibles, les plages horaires et les personnes-ressources
- Pour commencer
- Réservez une consultation pour dresser la liste de vos cibles et convenir des plages d’analyse
Ce que fait une évaluation des vulnérabilités
Une évaluation des vulnérabilités utilise des outils d’analyse pour comparer vos systèmes à des bases de données de faiblesses connues : CVE publiées, correctifs manquants, logiciels périmés, paramètres de chiffrement faibles, et services par défaut ou exposés. Elle répond à une question précise et concrète : quelles faiblesses connues existent sur les systèmes visés, et lesquelles faut-il corriger en premier ?
Les analyses non authentifiées examinent un système de l’extérieur, comme le verrait un attaquant sur Internet ou sur votre réseau. Les analyses authentifiées se connectent avec un compte en lecture seule et inspectent directement les logiciels installés et la configuration, ce qui permet de trouver beaucoup plus de problèmes avec moins de faux positifs. Nous utilisons l’une ou l’autre selon la cible.
Une évaluation des vulnérabilités n’est pas un test d’intrusion. Nous repérons et vérifions les constats, mais nous ne tentons pas de les exploiter, de les enchaîner ni de nous déplacer dans votre réseau. Si vous avez besoin de ce niveau d’assurance, un test d’intrusion peut faire l’objet d’une portée distincte, habituellement avec une firme spécialisée.
Les problèmes que ce service règle
Une exposition à Internet méconnue
Le Bureau à distance, d’anciens appareils RPV, des pages d’administration ou des serveurs oubliés sont accessibles depuis Internet sans que personne ne le sache.
Des correctifs qui laissent passer des choses
Les mises à jour du système d’exploitation s’installent, mais les applications tierces, les micrologiciels et les composants de serveur prennent du retard sans que personne ne s’en aperçoive.
Des rapports d’analyse inexploitables
Une analyse précédente a produit des centaines de pages de constats sans indiquer lesquels comptent vraiment.
Exigences des clients et des assureurs
Des contrats ou des demandes d’assurance exigent la preuve d’analyses de vulnérabilités régulières et de leur correction.
Ce que comprend le mandat
Analyse externe
Analyse non authentifiée de vos adresses IP publiques et de vos domaines pour repérer les services exposés, les logiciels périmés et les configurations TLS faibles.
Analyse du réseau interne
Découverte et analyse des appareils de vos réseaux de bureau, y compris les serveurs, imprimantes, équipements réseau et appareils non gérés.
Analyse authentifiée des appareils
Analyses avec identifiants ou évaluation par agent des appareils et serveurs Windows et macOS pour trouver les correctifs manquants et les applications vulnérables.
Vérification
Une personne examine les constats pour éliminer les faux positifs évidents et confirmer la version ou le paramètre touché.
Priorisation selon le risque
Constats classés selon la cote de gravité, la présence de la vulnérabilité dans le catalogue Known Exploited Vulnerabilities de la CISA, l’exposition à Internet et l’importance du système pour l’entreprise.
Plan de correction et nouvelle analyse
Des mesures correctives précises regroupées par responsable, suivies d’une nouvelle analyse pour confirmer ce qui a été réglé.
Ce qui est compris ou non dans la portée
Les cibles, les plages d’analyse et les personnes-ressources sont convenues dans une autorisation écrite avant le début de toute analyse.
Inclus
- Analyse externe non authentifiée des adresses IP publiques et des noms d’hôte convenus
- Découverte et analyse internes des plages réseau convenues
- Analyse authentifiée des systèmes Windows, macOS et serveurs convenus
- Revue manuelle des constats pour réduire les faux positifs
- Rapport de constats priorisés avec recommandations de correction
- Une nouvelle analyse de vérification après la correction
Non inclus, sauf portée distincte
- Tests d’intrusion, exploitation ou déplacement latéral
- Tests d’applications Web au-delà des vérifications automatisées
- Tests d’ingénierie sociale, d’hameçonnage ou de sécurité physique
- Analyse de systèmes qui ne vous appartiennent pas ou que vous n’avez pas le pouvoir d’autoriser
- Travaux de correction, soumissionnés séparément ou réalisés par votre équipe
Outils et référentiels
- Outils commerciaux et libres d’analyse des vulnérabilités réseau
- Microsoft Defender Vulnerability Management, selon les licences
- Cotes de gravité du Common Vulnerability Scoring System (CVSS)
- Catalogue Known Exploited Vulnerabilities de la CISA
- Alertes et avis du Centre canadien pour la cybersécurité
- Recommandations des contrôles CIS sur la gestion continue des vulnérabilités
À qui il convient
Organisations avec des serveurs sur place
Entreprises qui exploitent des serveurs de fichiers, de bases de données ou de logiciels métier difficiles à maintenir entièrement à jour.
Équipes avec des services exposés à Internet
Organisations qui hébergent des RPV, des accès à distance, des portails Web ou des passerelles de courriel.
Exigences contractuelles
Entreprises dont les clients, les assureurs ou les organismes sectoriels attendent des preuves d’analyses périodiques.
Avantages
- Une liste vérifiée des faiblesses connues plutôt que des suppositions
- Des efforts de correction axés sur ce que les attaquants exploitent réellement
- Une visibilité sur une exposition à Internet dont vous ignorez peut-être l’existence
- Des preuves d’analyse et de correction pour vos clients et vos assureurs
- Un point de référence reproductible lorsque l’analyse est récurrente
Comment ça fonctionne
Portée et autorisation
Nous dressons la liste des plages IP, des noms d’hôte et des appareils, convenons des plages d’analyse et des personnes à joindre en cas d’urgence, et obtenons une autorisation écrite.
Préparation
Des identifiants d’analyse en lecture seule ou des agents sont mis en place, et les systèmes fragiles sont repérés pour être traités avec prudence.
Analyse
Les analyses externes, internes et authentifiées sont effectuées pendant les plages convenues.
Analyse des résultats et rapport
Les constats sont vérifiés, priorisés et documentés avec des mesures correctives précises.
Correction et nouvelle analyse
Une fois les correctifs appliqués par votre équipe ou la nôtre, nous refaisons l’analyse et mettons le rapport à jour.
Options de mandat
Tous les honoraires sont proposés, puis confirmés dans une soumission écrite.
Évaluation ponctuelle
Une seule série d’analyses avec un rapport et une nouvelle analyse, utile comme point de référence ou avant un renouvellement.
Analyse récurrente
Analyses mensuelles ou trimestrielles avec rapports de tendances, souvent jumelées à la gestion des correctifs.
D’abord un examen global de la posture
Une évaluation de sécurité si vous devez aussi comprendre vos lacunes en matière de gouvernance, d’identités et de sauvegardes.
Questions fréquentes
Quelle est la différence entre une évaluation des vulnérabilités et un test d’intrusion ?
Une évaluation des vulnérabilités repère et priorise les faiblesses connues. Un test d’intrusion va plus loin et tente de les exploiter pour montrer ce qu’un attaquant pourrait accomplir. Nous réalisons des évaluations des vulnérabilités ; les tests d’intrusion ne sont effectués que s’ils font l’objet d’une portée et d’une autorisation distinctes, habituellement avec un partenaire spécialisé.
L’analyse peut-elle briser quelque chose ?
L’analyse est généralement sans danger, mais d’anciens appareils, des imprimantes et certains équipements industriels ou médicaux peuvent mal réagir. Nous repérons les systèmes fragiles pendant la définition de la portée et les excluons ou les analysons en douceur pendant les plages convenues.
À quelle fréquence devrions-nous faire des analyses ?
Plusieurs cadres, dont les contrôles CIS, recommandent une analyse au moins trimestrielle et après tout changement important. Les systèmes exposés à Internet gagnent à être vérifiés plus souvent.
Corrigez-vous les vulnérabilités ?
La correction n’est pas comprise dans le prix de l’évaluation. Votre équipe peut s’en charger, ou nous pouvons soumissionner le travail séparément ou l’inclure dans un plan de services gérés.
Services connexes
Produits et forfaits
Secteurs que nous soutenons
Régions desservies
Sachez quelles vulnérabilités comptent dans votre environnement
Dites-nous ce que vous voulez faire analyser et nous vous proposerons par écrit les cibles, les plages d’analyse et un prix fixe.