Comment trier les vulnérabilités et suivre leur remédiation
Cartographiez le triage et la remédiation des vulnérabilités sous forme d'organigramme, puis comptez les constats par source, gravité et issue et montrez-les en diagramme de Sankey. Méthode illustrative, pas une affirmation de conformité.
Le triage décide quels constats sont réels et avec quelle rapidité les corriger. Ce guide dessine ce processus comme un organigramme, puis compte les constats qui le traversent, pour voir combien sont corrigés à temps, acceptés ou encore ouverts.
En bref
- Dessinez le triage sous forme de décisions aux sorties nommées : confirmé, faux positif, dans le SLA, exception.
- Comptez les constats par sortie sur une période, après avoir retiré les doublons.
- Montrez source, gravité et issue en diagramme de Sankey pour voir la forme du travail.
- Traitez le risque accepté et les constats ouverts comme des résultats à expliquer, pas comme des échecs à cacher.
Le triage est un ensemble de décisions que l'on peut compter
Un scanner signale des constats. Un processus décide de leur sort : est-ce un vrai constat sur cet actif, quelle est sa gravité, quelle est l'échéance, peut-on la tenir et la correction a-t-elle été confirmée. Chacune de ces questions est une décision avec des sorties, et chaque sortie a un nombre de constats. Dessiné en organigramme, le processus est facile à relire. Compté, il montre où les constats s'accumulent.
L'exemple est un processus de gestion des vulnérabilités en 26 étapes. Ses décisions sont les mêmes que celles dont un Sankey a besoin comme nœuds : analysable ou non, confirmé ou faux positif, exploité ou courant, dans le SLA ou non, fermé ou encore présent. Le modèle de Sankey /fr/sankey/vulnerability-remediation-flow montre les constats d'une période par source, gravité et issue.
C'est une façon de voir vos propres enregistrements, pas une affirmation sur ce qu'exige une norme. Votre politique définit les tranches de SLA et qui peut accepter un risque.
Un processus de vulnérabilités, construit par étapes
Vingt-six étapes. Les décisions sont les endroits où un constat peut quitter le chemin principal, et chacune est un compte.
Périmètre et analyse
Le cycle part de l'inventaire des actifs. « Tous les actifs concernés scannables ? » a une branche Lacune de couverture qui reboucle jusqu'à ce que l'actif puisse être analysé : les actifs non analysés apparaissent donc comme un compte plutôt que comme un silence.
Confirmation et notation
Les constats sont dédupliqués et enrichis, et « Constat confirmé sur l'actif ? » envoie les faux positifs vers une étape de suppression avec preuve. Les constats confirmés sont notés. Le nombre de faux positifs est la première issue à suivre.
Échéance, correction et exception
Les constats exploités ou critiques connus suivent une piste d'urgence, et les autres reçoivent une tranche de SLA et une date d'échéance. « Réparable dans le cadre du SLA ? » envoie les constats qui ne peuvent pas la tenir vers une décision d'exception, et la nouvelle analyse décide si la correction a fonctionné.
Registre et rapports
Les constats fermés mettent à jour le registre, les constats en retard sont escaladés et le cycle se termine par des mesures de couverture, de vieillissement et de fermeture. Ce sont les comptes que vous pouvez rassembler en un seul Sankey pour la période.
Comment cela fonctionne
Dessiner votre processus de triage
Incluez les décisions : confirmé, gravité, échéance, exception, correction confirmée. Nommez chaque sortie.
Exporter une période de constats
Prenez les constats ouverts sur un trimestre, tous scanners confondus. Retirez le même problème signalé par deux outils.
Regrouper gravité et issue
Utilisez quatre tranches de gravité et une courte liste d'issues : corrigé dans le SLA, corrigé en retard, accepté, faux positif, ouvert.
Compter source, gravité puis issue
Comptez chaque constat une fois. Vérifiez que ce qui entre dans chaque gravité égale ce qui en sort.
Lire d'abord les exceptions
Regardez les constats acceptés et ouverts, et les gravités où ils se concentrent. Décidez si cela correspond à votre politique.
Erreurs à éviter
Compter deux fois le même problème
Deux outils signalent souvent une même vulnérabilité. Sans déduplication, les sources paraissent plus grandes qu'elles ne sont.
Cacher le risque accepté
Omettre les constats acceptés fait paraître la part corrigée plus élevée. Montrez-les comme une issue à part.
Utiliser le diagramme comme preuve
Un Sankey de comptes est une synthèse. La preuve pour un audit, ce sont les enregistrements sous-jacents, avec dates et approbations.
Ouvrir l'organigramme de gestion des vulnérabilités
Ouvrez le modèle, adaptez les décisions à votre politique et comptez les sorties.
Guides associés
Questions fréquentes
Cela peut-il montrer si je respecte une norme ?
Non. Il montre vos propres comptes. Savoir s'ils respectent une norme dépend de la norme et de votre politique, que ce guide ne fixe pas.
Comment compter un constat présent sur de nombreux actifs ?
Décidez une fois : compter chaque couple actif-constat, ou chaque vulnérabilité distincte. Dites lequel dans la note sur les données et gardez-le identique à chaque période.
Les faux positifs doivent-ils figurer dans le diagramme ?
Oui, comme une issue. Une forte part de faux positifs pointe vers le réglage du scanner, ce qui est une autre correction que l'application de correctifs.