Glossaire de sécurité

Qu'est-ce que le CVSS ?

Le CVSS (Common Vulnerability Scoring System), maintenu par FIRST, est un standard ouvert qui exprime la sévérité technique d'une vulnérabilité par un nombre de 0,0 à 10,0. Il donne à chacun une manière commune et reproductible de parler de la gravité d'un constat, pour que « sévérité élevée » signifie à peu près la même chose d'un rapport et d'un outil à l'autre.

Comment le score est construit

Les métriques de score de base les plus courantes décrivent comment une vulnérabilité est exploitée et ce qu'elle affecte : le vecteur d'attaque (réseau, adjacent, local, physique), la complexité de l'attaque, les privilèges requis, l'interaction utilisateur, le périmètre, et l'impact sur la confidentialité, l'intégrité et la disponibilité. Ces éléments se combinent pour donner le score de base de 0 à 10. Vexaro note les constats avec le CVSS 3.1 ; FIRST publie également le CVSS v4.0 (paru en 2023), de sorte qu'un rapport devrait préciser quelle version il applique.

Les paliers de sévérité

Le CVSS 3.1 fait correspondre le nombre à des paliers qualitatifs : Aucune (0,0), Faible (0,1-3,9), Moyenne (4,0-6,9), Élevée (7,0-8,9) et Critique (9,0-10,0). Ce sont ces paliers que la plupart des gens ont en tête lorsqu'ils disent qu'un constat est « critique » ou « moyen », et ils permettent de trier un rapport par priorité d'un coup d'œil.

Base, Temporel et Environnemental

Le score de base mesure la sévérité intrinsèque, qui ne change pas avec le temps. Deux groupes de métriques optionnels l'affinent : Temporel reflète des facteurs comme la maturité de l'exploit, et Environnemental l'ajuste à votre environnement. Par exemple, un problème sur un système purement interne peut compter moins que le même problème exposé à Internet. Un bon rapport ne s'arrête pas au score de base : il traduit la sévérité en risque métier, en tenant compte du contexte.

Ce que le CVSS est, et ce qu'il n'est pas

Le CVSS mesure la sévérité d'une vulnérabilité logicielle. Ce n'est pas à lui seul un score de risque, et il n'est pas conçu pour les constats purement liés à la configuration ou à la posture de conformité, qu'il vaut mieux noter selon la sévérité propre du référentiel. Prenez le score de base comme un point de départ cohérent, puis pondérez l'exploitabilité et l'impact dans votre contexte. C'est exactement ainsi qu'un bon rapport de test d'intrusion l'utilise.

Questions fréquentes

Le CVSS (Common Vulnerability Scoring System) est une norme ouverte maintenue par FIRST, qui exprime la gravité technique d'une vulnérabilité par un nombre de 0,0 à 10,0, afin que « gravité élevée » veuille dire à peu près la même chose d'un rapport ou d'un outil à l'autre. Vexaro note ses constats avec CVSS 3.1 ; FIRST publie aussi la v4.0, donc un rapport doit indiquer la version qu'il applique.

Le CVSS 3.1 fait correspondre le score de base à des paliers qualitatifs : Aucune (0,0), Faible (0,1-3,9), Moyenne (4,0-6,9), Élevée (7,0-8,9) et Critique (9,0-10,0). Ce sont ces paliers que la plupart des gens ont en tête lorsqu'ils qualifient un constat de « critique » ou de « moyen », et ils permettent de trier un rapport par priorité d'un coup d'œil.

Non. Le CVSS mesure la gravité technique d'une vulnérabilité, pas le risque en soi, et il n'est pas conçu pour les constats purement liés à la configuration ou à la posture de conformité. Le score de base est un point de départ cohérent ; les métriques Temporel et Environnemental (par exemple, un système accessible uniquement en interne ou exposé sur Internet) aident à le traduire en risque métier selon le contexte.

Parlez à un vrai praticien.

Une question à laquelle ces pages n'ont pas répondu ? Dites-nous ce que vous cherchez à protéger et nous vous orienterons vers la mission adaptée. La première consultation est gratuite.