Comment suivre les vulnérabilités CVE de son parc informatique

La gestion des vulnérabilités est devenue l'une des priorités absolues des équipes IT et des RSSI. Avec plus de 25 000 CVE publiées chaque année par le NIST, identifier celles qui concernent réellement votre parc informatique est un défi de taille. Ce guide vous explique comment structurer votre veille CVE de façon efficace.

Pourquoi surveiller les CVE de son parc ?

Une CVE non corrigée est une porte ouverte pour les attaquants. Les chiffres parlent d'eux-mêmes : selon Verizon, 60 % des violations de données exploitent des vulnérabilités connues pour lesquelles un correctif existait. Le problème n'est pas l'absence de patches, c'est le délai entre la publication d'une CVE et son application.

Ce délai moyen est de 60 à 150 jours dans les grandes organisations. Les attaquants, eux, exploitent les nouvelles CVE en quelques heures après leur publication.

Les 3 étapes clés d'une veille CVE efficace

1. Inventorier son parc avec précision

Vous ne pouvez pas surveiller ce que vous ne connaissez pas. La première étape est de constituer un inventaire précis de vos actifs :

• Logiciels : systèmes d'exploitation, applications métier, bibliothèques open source
• Équipements réseau : firewalls, switches, routeurs, VPN
• Serveurs : versions exactes des OS, middlewares, bases de données
• Équipements industriels (OT/ICS) : firmware, versions

L'outil clé ici est le CPE (Common Platform Enumeration), un format standardisé qui identifie précisément chaque logiciel ou matériel. Par exemple : cpe:2.3:a:apache:http_server:2.4.51:*:*:*:*:*:*:*. Les CVE publiées par le NVD référencent ces CPE, ce qui permet un matching automatique.

2. Associer votre inventaire aux CVE publiées

Une fois votre inventaire constitué, vous devez le croiser avec la base de données NVD (National Vulnerability Database). Plusieurs approches existent :

Approche manuelle : consulter régulièrement nvd.nist.gov pour chaque produit de votre parc. Chronophage et peu scalable au-delà de 10 produits.

Approche automatisée : utiliser une plateforme de veille CVE qui maintient cette correspondance en continu. Vous définissez votre parc une fois, et la plateforme vous alerte dès qu'une nouvelle CVE est publiée pour l'un de vos actifs.

Approche hybride : combiner des outils de scan réseau (Nessus, OpenVAS) pour découvrir les actifs, et une plateforme de veille pour les alertes.

3. Prioriser et traiter

Toutes les CVE ne sont pas égales. Une CVE CRITICAL avec un CVSS de 9.8 sur un serveur exposé sur Internet n'a pas la même priorité qu'une CVE MEDIUM sur un poste de travail isolé.

Critères de priorisation :

Les outils pour suivre les CVE de son parc

Solutions open source

• OpenVAS / Greenbone : scanner de vulnérabilités open source, performant mais complexe à maintenir
• MITRE CVE : source officielle, API disponible mais pas d'interface de gestion de parc
• NVD API : accès direct aux données NIST, nécessite du développement custom

Plateformes commerciales

• Qualys VMDR : solution enterprise complète, coûteuse
• Tenable.io : référence du marché, tarification à l'actif
• Rapid7 InsightVM : bonne intégration avec les outils DevOps
• cveo.tech : solution SaaS française, accessible dès €9.99/mois, alertes email automatiques et gestion de parc

Ce qu'il faut rechercher dans un outil

Quel que soit l'outil choisi, il doit proposer :

1. Alertes en temps réel : notification dès la publication d'une CVE affectant votre parc
2. Filtrage par sévérité : pour ne pas être noyé sous les CVE de faible criticité
3. Déduplication : une CVE déjà traitée ne doit pas générer de nouvelle alerte
4. Historique : traçabilité des vulnérabilités et des actions correctives
5. Rapports : pour les audits et la direction

Bonnes pratiques pour les équipes IT

Mettre en place un processus de patch management

La veille CVE n'a de valeur que si elle est couplée à un processus de correction. Définissez :

• Des SLA par criticité : CRITICAL < 24h, HIGH < 7 jours, MEDIUM < 30 jours
• Des fenêtres de maintenance : pour les systèmes critiques, planifiez des créneaux de patching réguliers
• Un processus de validation : tester les patches en environnement de recette avant production

Automatiser la collecte d'informations

Ne pas attendre d'être impacté pour s'informer. Configurez :

• Des alertes email automatiques pour les CVE CRITICAL et HIGH
• Un tableau de bord de suivi pour votre management
• Des intégrations avec votre SIEM ou votre outil ITSM (Jira, ServiceNow)

Former les équipes

La veille CVE implique plusieurs acteurs :

• L'équipe système/réseau : application des patches
• Les développeurs : vulnérabilités des bibliothèques open source
• Le RSSI : arbitrage et priorisation
• La direction : validation des budgets et des priorités

Le cas particulier des logiciels open source

Les bibliothèques open source (npm, pip, Maven, NuGet) représentent aujourd'hui plus de 70 % du code des applications modernes. Leur suivi est spécifique car :

• Les versions changent très fréquemment
• Les CVE affectent souvent des versions précises
• Les dépendances transitives sont difficiles à inventorier

Des outils spécialisés comme Snyk, OWASP Dependency-Check ou GitHub Dependabot sont recommandés pour cette couche.

Conclusion : une démarche continue, pas un projet ponctuel

Suivre les CVE de son parc n'est pas un projet qu'on lance une fois et qu'on oublie. C'est une démarche continue qui évolue avec votre infrastructure.

Les organisations les plus matures traitent la gestion des vulnérabilités comme un processus opérationnel au même titre que la supervision des performances ou la sauvegarde des données.

Par où commencer ?

1. Dressez l'inventaire de vos 10-20 actifs les plus critiques
2. Configurez des alertes CVE automatiques pour ces actifs
3. Définissez vos SLA de correction
4. Mesurez et améliorez en continu

Avec cveo.tech, vous pouvez démarrer en moins de 10 minutes : créez votre compte, ajoutez vos équipements, et recevez vos premières alertes CVE dès le prochain scan.