Gérer les vulnérabilités

Toutes les vulnérabilités détectées sur le parc, rattachées à leur serveur, enrichies de la menace réelle (exploitation observée, probabilité d'exploitation) et suivies jusqu'à leur correction.

Page	Usage
Vulnérabilités (`/cves/`)	Vue globale, toutes sources et tous serveurs
Onglet Rapid7 (`/cves/rapid7/`)	Constats tels que remontés par le scanner, sans consolidation
Fiche CVE (`/cves/<CVE-ID>`)	Tout sur une CVE : description, menace, serveurs touchés
CVE River (`/cveriver/`)	Recherche d'une CVE dans le renseignement de menace, même absente du parc

Les constats viennent du scanner de vulnérabilités connecté — Rapid7 InsightVM — puis sont consolidés par serveur.

La vue globale

En tête de page : CVE uniques, constats totaux, constats ouverts et constats critiques ouverts.

Chaque ligne donne l'identifiant, la sévérité, le score CVSS v3, la description, le nombre de serveurs touchés et ouverts, la ou les sources, le renseignement de menace et la date de publication.

Le renseignement de menace (fourni par CveRiver) :

Indicateur	Signification
KEV	La CVE figure au catalogue CISA des vulnérabilités activement exploitées
EPSS	Probabilité d'exploitation dans les 30 jours (FIRST), avec son centile
Ransomware	Utilisation connue dans des campagnes de rançongiciel

Filtrer sur ce qui compte

La case KEV seulement réduit en un clic la liste aux vulnérabilités exploitées dans la nature — le point de départ naturel d'une priorisation. Pour un verdict d'action par serveur, voir Prioriser le risque.

Filtres, tri, export — chaque colonne se filtre et se trie ; un jeu de filtres se sauvegarde sous un nom pour le rappeler plus tard. Le bouton Exporter produit la liste filtrée.

Le cycle de vie d'un constat

Un constat (une CVE sur un serveur) porte un statut :

Statut	Quand l'utiliser
Ouvert	État initial
Corrigé	Le correctif a été appliqué — la date de correction est enregistrée
Risque accepté	Décision assumée de ne pas corriger (contrainte applicative, mesure compensatoire)
Faux positif	Le constat ne s'applique pas réellement

Changer un statut demande le rôle Patch Manager ou supérieur. Une note peut accompagner le changement (« validé par le RSSI le 12/03, compensé par filtrage réseau ») ; l'auteur, la date et la note sont conservés et visibles sur la fiche CVE.

Vérifier qu'un patch a vraiment corrigé — la persistance post-patching

Question classique après une campagne : « on a patché, mais les CVE ont-elles vraiment disparu ? »

Un instantané (snapshot) des constats ouverts est pris :
- automatiquement à la fin de chaque fenêtre de patching, pour les serveurs concernés ;
- ou à la main : Persistance post-patching → Prendre un snapshot maintenant (avec un libellé optionnel, ex. « Avant campagne de mars »).
Choisir ce snapshot dans Comparer depuis le snapshot.
La liste n'affiche plus que les CVE toujours présentes sur des serveurs re-scannés depuis : ce qui a survécu au patch.

Pas de faux positif de persistance

Un serveur qui n'a pas été re-scanné depuis le snapshot (éteint, hors scan) est exclu du résultat : il n'apparaît jamais à tort comme « non corrigé ».

La fiche CVE

Pour une CVE donnée : description, CVSS, KEV (avec date d'ajout et échéance de correction imposée aux agences fédérales américaines par la directive BOD 22-01, à titre indicatif), EPSS, usage en rançongiciel — puis la liste des serveurs affectés avec leur environnement, leur criticité, la date de détection, le statut du constat et qui l'a modifié.

Depuis la fiche d'un serveur, la section Vulnérabilités (CVE) donne la vue inverse : toutes les CVE ouvertes de ce serveur.

CVE River — interroger la menace

/cveriver/ recherche une CVE par identifiant dans le renseignement de menace local (KEV, EPSS, NVD) — même si elle n'est présente sur aucun serveur. Utile pour répondre à la question du RSSI le jour d'une alerte : « cette CVE, on est concernés ? ». Le résultat indique son statut KEV, son EPSS, son verdict SSVC et, si elle est présente, les serveurs affectés.

Le renseignement est synchronisé localement : la recherche ne sort jamais du serveur.