L'un des premiers problèmes, c'est comme le suggère NVD c'est la première communication de la CVE avec la note associée. Est-ce que la politique d'attribuer une note plus élevée faute d'informations au risque de faire paniquer les utilisateurs est la bonne ? Je dirais que oui, mais en lui ajoutant également une note sur la certitude de celle-ci, le temps que des analyses plus approfondies soient faites.
Cela permettrait de distinguer une CVE assurément critique d'une autre potentielle.
Les CVE à 9.8 qui n'en sont pas finalement pas font toujours l'effet d'un enfant qui criait au loup :)
Autre point qu'un score CVE ne remonte pas, c'est le scope d'exploitation de celui-ci, en prenant comme exemple curl, est-ce qu'il s'agit d'un problème exploitable du côté ligne de commande, ou en remote, et sur quel protocole ?
Est-ce que cette CVE peut amener à un leak d'information ou "juste" un DOS ? En fonction de la réponse, sa gestion par les acteurs concernés peut-être très différente.
J'ignore comment on pourrait normaliser ces aspects, mais associer une unique note à une faille de sécurité me semble très très réducteur, au point où les CVE ne sont pas utilisables sauf à y mettre une équipe dédiée en interne pour répondre à ces questions dans le contexte de l'acteur. (entreprise, collectivité, gouvernement, etc.)
J'ai déjà eu affaire à des outils d'analyse d'artefact qui remontent des centaines de CVE sur des projets interne, mais impossible de vraiment savoir à quel point elles sont vraiment critiques, ou même exploitables (une faille sur une fonctionnalité non utilisée par exemple)
Au final, malgré l'importance de la sécurité informatique aujourd'hui, je trouve que la communication et la gestion autour des failles de sécurité n'est pas au niveau des enjeux, ou du moins reste un luxe accessible uniquement aux acteurs ayant un gros budget à y consacrer.
Et je vous parle même pas de la polique des artefacts suite à la découverte d'une CVE, on garde les artefacts vulnérables combien de temps ? et les équipes responsables font comment ? Ils mettent à jour vers la dernière version ? Et si elle n'est pas supportée par l'environnement ? On coupe l'application ? On fait des dérogations ?
Bref, c'est à se demander pourquoi aujourd'hui les développeurs mettent encore des bugs dans leurs programmes ...
# La valeur qu'on leur donne :)
Posté par Julien.D . En réponse au journal En sécurité informatique, que valent les identificateurs CVE et les évaluations CVSS ?. Évalué à 7.
Ah cette éternelle question.
L'un des premiers problèmes, c'est comme le suggère NVD c'est la première communication de la CVE avec la note associée. Est-ce que la politique d'attribuer une note plus élevée faute d'informations au risque de faire paniquer les utilisateurs est la bonne ? Je dirais que oui, mais en lui ajoutant également une note sur la certitude de celle-ci, le temps que des analyses plus approfondies soient faites.
Cela permettrait de distinguer une CVE assurément critique d'une autre potentielle.
Les CVE à 9.8 qui n'en sont pas finalement pas font toujours l'effet d'un enfant qui criait au loup :)
Autre point qu'un score CVE ne remonte pas, c'est le scope d'exploitation de celui-ci, en prenant comme exemple curl, est-ce qu'il s'agit d'un problème exploitable du côté ligne de commande, ou en remote, et sur quel protocole ?
Est-ce que cette CVE peut amener à un leak d'information ou "juste" un DOS ? En fonction de la réponse, sa gestion par les acteurs concernés peut-être très différente.
J'ignore comment on pourrait normaliser ces aspects, mais associer une unique note à une faille de sécurité me semble très très réducteur, au point où les CVE ne sont pas utilisables sauf à y mettre une équipe dédiée en interne pour répondre à ces questions dans le contexte de l'acteur. (entreprise, collectivité, gouvernement, etc.)
J'ai déjà eu affaire à des outils d'analyse d'artefact qui remontent des centaines de CVE sur des projets interne, mais impossible de vraiment savoir à quel point elles sont vraiment critiques, ou même exploitables (une faille sur une fonctionnalité non utilisée par exemple)
Au final, malgré l'importance de la sécurité informatique aujourd'hui, je trouve que la communication et la gestion autour des failles de sécurité n'est pas au niveau des enjeux, ou du moins reste un luxe accessible uniquement aux acteurs ayant un gros budget à y consacrer.
Et je vous parle même pas de la polique des artefacts suite à la découverte d'une CVE, on garde les artefacts vulnérables combien de temps ? et les équipes responsables font comment ? Ils mettent à jour vers la dernière version ? Et si elle n'est pas supportée par l'environnement ? On coupe l'application ? On fait des dérogations ?
Bref, c'est à se demander pourquoi aujourd'hui les développeurs mettent encore des bugs dans leurs programmes ...