Une équipe de sécurité peut corriger une centaine de vulnérabilités critiques en un trimestre et rester malgré tout à un pas d’une compromission.
C’est parce que corriger les vulnérabilités identifiées et neutraliser les chemins d’attaque sont deux disciplines fondamentalement différentes. La première réduit le nombre de vulnérabilités. La seconde diminue la probabilité d’une compromission dans le monde réel. Comprendre cette différence et mettre en place des programmes qui optimisent ces deux aspects sont des domaines dans lesquels de nombreux programmes de gestion des vulnérabilités peuvent encore progresser.
Depuis des années, les organisations s’appuient fortement sur les scores CVSS pour contribuer à prioriser la remédiation. Mais le score de base CVSS décrit avant tout la gravité technique d’une vulnérabilité. Bien que les versions récentes de CVSS intègrent des métriques liées aux menaces et à l’environnement, qui peuvent fournir un contexte important, les seuls scores de gravité n’indiquent pas comment une faiblesse s’inscrit dans les chemins d’attaque, la criticité des actifs ou les défenses existantes d’une organisation donnée.
Un score critique peut signaler une faille grave prise isolément, mais il n’explique pas si cette faille se trouve derrière plusieurs couches de segmentation ou à un pas d’un contrôleur de domaine. Résultat : les équipes de sécurité consacrent de précieux cycles de remédiation à des vulnérabilités affichant un score élevé mais effectivement inatteignables, tandis que des vulnérabilités moins sévères, situées directement sur un chemin d’attaque actif, restent sans solution.
L’attention portée par le secteur au nombre de vulnérabilités se justifiait lorsque l’identification des expositions constituait le principal défi. Mais aujourd’hui, l’enjeu consiste à comprendre quelles expositions comptent réellement. C’est ce changement qui explique pourquoi la validation des chemins d’attaque, fondée sur les tests d’intrusion autonomes, devient rapidement la nouvelle norme des programmes de sécurité.
La validation des chemins d’attaque doit devenir un prérequis
Dire au conseil d’administration : « Nous avons 40 vulnérabilités critiques non corrigées » suscite souvent une question de suivi délicate : quel risque ces vulnérabilités représentent-elles réellement ?
À l’inverse, « Nous avons identifié et éliminé un chemin d’attaque validé allant d’un compte disposant de faibles privilèges aux données clients » démontre un résultat de sécurité concret. La première affirmation décrit un retard à résorber. La seconde démontre une réduction du risque.
Plutôt que d’évaluer les vulnérabilités isolément, la validation des chemins d’attaque examine la manière dont les faiblesses interagissent au sein de l’environnement global. Elle cherche à déterminer ce qu’un acteur malveillant ferait avec une vulnérabilité, à quels systèmes elle donne accès, quel privilège elle permet ensuite d’obtenir et où la chaîne d’attaque aboutit finalement.
Un compte de service mal configuré peut sembler insignifiant dans un rapport d’analyse. Mais combiné à un identifiant obsolète, à des autorisations excessives et à un segment réseau plat, il peut permettre un déplacement latéral vers un actif critique
Cette distinction change fondamentalement la conversation, qui passe de « Quelles vulnérabilités existent ? » à « Que peut réellement faire un attaquant ? »
Pourquoi les tests d’intrusion autonomes changent la donne
Les tests d’intrusion traditionnels restent précieux, mais ils n’ont jamais été conçus pour suivre le rythme des environnements modernes. Une évaluation manuelle capture un instant donné. Au moment de la remise du rapport, l’infrastructure a changé, les applications ont été mises à jour, les identités ont évolué et de nouvelles expositions sont apparues.
Le risque n’attend pas le prochain test d’intrusion annuel.
Les tests d’intrusion autonomes résolvent ce problème en validant en continu les chemins d’attaque et en testant les contrôles à mesure que les environnements évoluent. Au lieu de simplement identifier les faiblesses, ils exécutent en toute sécurité des techniques d’attaquant afin de déterminer si les expositions sont réellement exploitables et si les contrôles défensifs fonctionnent comme prévu.
Ce changement représente une évolution importante de la validation de la sécurité. Les organisations ne s’appuient plus uniquement sur des hypothèses théoriques concernant leurs contrôles de sécurité. Elles mettent ces hypothèses à l’épreuve en continu.
Les politiques de segmentation, les protections des identités, les contrôles MFA, les plateformes EDR, les systèmes de supervision et les limites de privilèges sont évalués en continu dans des scénarios d’attaque réalistes. Un schéma réseau peut laisser penser que la segmentation est hermétique, mais seuls des tests peuvent confirmer qu’un attaquant est effectivement incapable de se déplacer entre les environnements.
La question n’est plus de savoir si les organisations doivent valider les chemins d’attaque, mais si elles peuvent se permettre de ne pas le faire.
Quand on ne peut pas tout corriger, prioriser les chemins qui comptent
Tous les responsables de la sécurité connaissent cette réalité : il est impossible de corriger immédiatement chaque vulnérabilité. Les applications obsolètes, les exigences opérationnelles, les fenêtres de maintenance, les dépendances vis-à-vis des fournisseurs et les contraintes de ressources rendent une remédiation parfaite impossible dans la plupart des environnements.
C’est là que la validation des chemins d’attaque prend toute sa valeur.
Au lieu d’obliger les équipes à établir leurs priorités uniquement en fonction des scores de gravité, les tests continus fournissent des preuves de l’exploitabilité réelle. Ils montrent si les contrôles compensatoires réduisent effectivement le risque pendant que les efforts de remédiation sont en cours.
Si les tests démontrent que la segmentation, les contrôles des identités et les capacités de supervision empêchent systématiquement un attaquant d’atteindre les systèmes sensibles, les responsables de la sécurité peuvent décider, de manière défendable, de reporter temporairement la remédiation.
Si ces mêmes contrôles échouent et que les tests révèlent un chemin viable vers des actifs critiques, le problème devient immédiatement prioritaire, que la vulnérabilité soit classée comme moyenne, élevée ou critique.
Dans les deux cas, la priorisation repose sur des preuves, et non sur des suppositions.
Et une priorisation fondée sur les preuves permet finalement aux organisations d’allouer leurs ressources là où elles auront le plus d’impact sur la réduction du risque.
Le jugement humain reste essentiel
À mesure que nous adoptons l’automatisation de la sécurité, il est important de reconnaître ce que les systèmes autonomes font exceptionnellement bien et les domaines dans lesquels l’expertise humaine reste irremplaçable.
Les plateformes autonomes excellent dans la cartographie des chemins d’attaque, la validation des contrôles, l’identification des chaînes exploitables et la production de preuves à une échelle qu’aucune équipe humaine ne peut atteindre. Elles peuvent évaluer en continu de vastes environnements et faire ressortir les chemins d’attaque les plus susceptibles de conduire à une compromission significative.
C’est précisément pour cette raison que les tests d’intrusion autonomes deviennent la norme opérationnelle des programmes de sécurité modernes.
Mais il ne faut pas confondre tests autonomes et prise de décision autonome.
La technologie peut identifier dix chemins d’attaque viables vers un environnement sensible, mais elle ne peut pas déterminer lequel présente le plus grand risque pour l’entreprise, quel effort de remédiation est réalisable ce trimestre, quelles obligations réglementaires s’appliquent ou quel compromis l’organisation est prête à accepter, à moins qu’un humain ne lui fournisse ce contexte.
Autre distinction importante : la technologie peut formuler une recommandation, mais elle ne peut pas être tenue responsable des conséquences d’une décision incorrecte. L’expérience vécue d’un expert de la sécurité, notamment le discernement acquis au fil des années consacrées à répondre aux incidents, à comprendre les réalités organisationnelles et à évaluer le risque dans son contexte, ne peut pas être entièrement reproduite par la technologie.
La sécurité est en définitive une question de gestion des risques métier. Les organisations prêtes à miser sur l’automatisation ne remplacent pas les professionnels de la sécurité par l’IA. Elles utilisent l’automatisation pour produire des preuves en continu, tout en s’appuyant sur l’expertise humaine pour apporter le contexte, établir les priorités et garantir la responsabilité.
Les tests autonomes fournissent de la visibilité. Les responsables de la sécurité apportent le jugement et la responsabilité. Ensemble, ils créent un modèle bien plus efficace que ce que l’un ou l’autre pourrait obtenir seul.
À retenir
Le nombre de vulnérabilités continuera d’augmenter, quelle que soit la sophistication des programmes de sécurité.
Les organisations qui parviennent à réduire véritablement les risques sont celles qui cessent de demander : « Combien de vulnérabilités critiques avons-nous ? » et commencent à demander : « Quelles vulnérabilités permettent réellement à un attaquant d’atteindre quelque chose d’important ? »
La validation des chemins d’attaque répond à cette question en révélant comment les expositions sont connectées, comment les contrôles fonctionnent dans des conditions réelles et jusqu’où un adversaire déterminé pourrait finalement aller.
Et de plus en plus, les tests d’intrusion autonomes constituent le moteur de cette visibilité.
L’avenir de la sécurité ne consiste pas simplement à trouver davantage de vulnérabilités. Il consiste à valider en continu la manière dont les attaquants pourraient les exploiter, à prioriser les chemins qui présentent un risque réel et à les neutraliser avant qu’ils ne puissent être exploités.
À lire aussi : découvrez pourquoi les tests d’intrusion annuels ne suffisent plus alors que les équipes de sécurité s’orientent vers des modèles de validation continue.