Sankey de remédiation des vulnérabilités : de l'analyse à la correction
Suivez les constats de sécurité de l'analyse qui les a trouvés à leur gravité puis à leur issue : corrigé dans le SLA, corrigé en retard, accepté, faux positif ou ouvert. Remplacez les comptes par les vôtres.
Un Sankey de remédiation des vulnérabilités montre d'où viennent les constats, leur gravité et comment ils se terminent. Il sépare les constats corrigés à temps de ceux qui sont en retard, acceptés ou simplement ouverts.
L'exemple compte 250 constats issus de quatre sources : analyses de dépendances, analyses de code, analyses d'images de conteneurs et un test d'intrusion. Ils sont classés en gravité critique, élevée, moyenne et faible. La dernière colonne a cinq issues : corrigé dans le SLA, corrigé en retard, risque accepté, faux positif et encore ouvert.
L'image répond à une question que le total d'un tableau de bord ne traite pas : 15 des 20 constats critiques ont été corrigés dans le SLA, mais un tiers des constats faibles ont été acceptés au lieu d'être corrigés. C'est un résultat de politique, pas un échec. Pour le processus qui le sous-tend, voir /fr/templates/organigramme-du-processus-de-gestion-des-vulnerabilites-analyse-jusqu-a-la-fermeture-verifiee, et /fr/guides/comment-trier-les-vulnerabilites-et-suivre-la-remediation pour la méthode.
Comment lire ce diagramme
- Sur 250 constats, 115 (46 %) ont été corrigés dans le SLA et 46 (18 %) en retard.
- 15 des 20 constats critiques (75 %) ont respecté le SLA ; 1 est encore ouvert.
- Le risque accepté représente 38 constats (15 %), dont 25 de gravité faible.
- Les analyses de dépendances produisent 120 constats, soit 48 % du total.
Les données derrière le diagramme
Chiffres inventés à titre d'illustration. Ce ne sont pas des données sur une entreprise, une équipe ou un système réels.
| De | Vers | Quantité (constats) |
|---|---|---|
| Analyse des dépendances | Critique | 10 |
| Analyse des dépendances | Élevée | 30 |
| Analyse des dépendances | Moyenne | 50 |
| Analyse des dépendances | Faible | 30 |
| Analyse du code | Critique | 3 |
| Analyse du code | Élevée | 10 |
| Analyse du code | Moyenne | 25 |
| Analyse du code | Faible | 22 |
| Analyse des images de conteneurs | Critique | 6 |
| Analyse des images de conteneurs | Élevée | 12 |
| Analyse des images de conteneurs | Moyenne | 19 |
| Analyse des images de conteneurs | Faible | 13 |
| Test d'intrusion | Critique | 1 |
| Test d'intrusion | Élevée | 3 |
| Test d'intrusion | Moyenne | 6 |
| Test d'intrusion | Faible | 10 |
| Critique | Corrigé dans le SLA | 15 |
| Critique | Corrigé en retard | 4 |
| Critique | Encore ouvert | 1 |
| Élevée | Corrigé dans le SLA | 35 |
| Élevée | Corrigé en retard | 12 |
| Élevée | Risque accepté | 3 |
| Élevée | Faux positif | 2 |
| Élevée | Encore ouvert | 3 |
| Moyenne | Corrigé dans le SLA | 45 |
| Moyenne | Corrigé en retard | 20 |
| Moyenne | Risque accepté | 10 |
| Moyenne | Faux positif | 8 |
| Moyenne | Encore ouvert | 17 |
| Faible | Corrigé dans le SLA | 20 |
| Faible | Corrigé en retard | 10 |
| Faible | Risque accepté | 25 |
| Faible | Faux positif | 10 |
| Faible | Encore ouvert | 10 |
Les mêmes données en CSV
source,target,value
Analyse des dépendances,Critique,10
Analyse des dépendances,Élevée,30
Analyse des dépendances,Moyenne,50
Analyse des dépendances,Faible,30
Analyse du code,Critique,3
Analyse du code,Élevée,10
Analyse du code,Moyenne,25
Analyse du code,Faible,22
Analyse des images de conteneurs,Critique,6
Analyse des images de conteneurs,Élevée,12
Analyse des images de conteneurs,Moyenne,19
Analyse des images de conteneurs,Faible,13
Test d'intrusion,Critique,1
Test d'intrusion,Élevée,3
Test d'intrusion,Moyenne,6
Test d'intrusion,Faible,10
Critique,Corrigé dans le SLA,15
Critique,Corrigé en retard,4
Critique,Encore ouvert,1
Élevée,Corrigé dans le SLA,35
Élevée,Corrigé en retard,12
Élevée,Risque accepté,3
Élevée,Faux positif,2
Élevée,Encore ouvert,3
Moyenne,Corrigé dans le SLA,45
Moyenne,Corrigé en retard,20
Moyenne,Risque accepté,10
Moyenne,Faux positif,8
Moyenne,Encore ouvert,17
Faible,Corrigé dans le SLA,20
Faible,Corrigé en retard,10
Faible,Risque accepté,25
Faible,Faux positif,10
Faible,Encore ouvert,10Comment cela fonctionne
Exporter les constats d'une période
Incluez l'outil source, la gravité et l'état actuel, y compris la date de correction.
Fixer d'abord les libellés d'issue
Décidez comment distinguer corrigé dans le SLA de corrigé en retard, et ce qui compte comme accepté ou faux positif.
Compter source, gravité puis issue
Comptez chaque constat une fois, après avoir dédupliqué le même problème signalé par deux outils.
Vérifier l'équilibre
Chaque gravité doit sortir autant de constats qu'elle en reçoit.
Questions fréquentes
Est-ce un score de risque ?
Non. Il compte les constats sans les pondérer par l'exploitabilité ou la valeur de l'actif. Utilisez-le pour voir la forme du travail, puis votre processus de risque pour décider de ce qui compte.
Peut-il prouver la conformité ?
Non. C'est une illustration des comptes d'une période. Les preuves pour un audit viennent de vos enregistrements de tickets et d'analyses.
Modifier ce Sankey des vulnérabilités
Ouvrez l'exemple comme votre propre diagramme et saisissez vos comptes de constats.