CPE (Common Platform Enumeration)

Définition

La CPE (Common Platform Enumeration) est un schéma de nommage standardisé pour identifier de manière unique et non ambiguë les plateformes logicielles et matérielles (systèmes d'exploitation, applications, équipements réseau). Maintenu par NIST et intégré dans le NVD, le CPE permet d'associer précisément les vulnérabilités CVE aux produits et versions spécifiques affectés. Le format CPE 2.3 suit la structure : cpe:2.3:type:fournisseur:produit:version:mise_à_jour:édition:langue:édition_sw:target_sw:target_hw:autres. Par exemple, cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:* identifie Microsoft Windows Server 2022 toutes versions. Les types incluent : a (application), o (operating system), h (hardware). L'utilisation principale du CPE est dans la gestion des vulnérabilités. Lorsqu'une CVE est publiée dans le NVD, elle inclut la liste des CPE affectés — permettant aux outils de vulnerability management (Qualys, Rapid7 InsightVM, Tenable.io, OpenVAS) de corréler automatiquement les vulnérabilités connues avec les actifs inventoriés dans le CMDB. Cette corrélation automatique est le moteur fondamental de tout programme de gestion des vulnérabilités à l'échelle. Le CPE complète le SCAP (Security Content Automation Protocol) avec CVE, CVSS, XCCDF (pour les politiques de configuration) et OVAL (pour les descriptions de tests). Ces standards interopérables permettent l'automatisation des évaluations de conformité et de sécurité à grande échelle. Pour les équipes d'opérations sécurité, la richesse du dictionnaire CPE du NVD (plusieurs millions d'entrées) permet une couverture quasi-exhaustive des produits commerciaux et open-source. La précision du nommage CPE est critique : une mauvaise identification d'un actif peut entraîner des faux négatifs dans la détection des vulnérabilités, laissant des systèmes vulnérables non détectés. Les inventaires d'actifs (CMDB, ITAM) qui intègrent le nommage CPE standardisé peuvent être directement consommés par les outils de vulnerability management, créant un flux continu de détection des expositions entre la découverte d'actifs et la publication de nouvelles CVE.