Exposure Management

CTEM — Continuous Threat Exposure Management

Le programme CTEM (Gartner) transforme la gestion de l'exposition de périodique (scan mensuel → rapport → liste de remédiation) en continu (surveillance permanente → priorisation contextuelle → remédiation en flux). Les cinq phases CTEM : (1) Scoping — définir quels actifs et quels adversaires sont dans le périmètre (OIV ? environnement cloud ? chaîne d'approvisionnement ?) ; (2) Discovery — scanner et découvrir tous les actifs (EASM pour l'externe, vulnerability scanning pour l'interne, SCA pour les dépendances logicielles) ; (3) Prioritization — évaluer l'exploitabilité réelle et l'impact (CVSS seul est insuffisant — un CVSS 7 sur un actif exposé à Internet est plus critique qu'un CVSS 9 sur un serveur isolé) ; (4) Validation — tester que les expositions prioritaires sont réellement exploitables (BAS — Breach and Attack Simulation, pentest ciblé) ; (5) Mobilization — processus de remédiation avec ownership clair, SLA, et métriques de réduction de l'exposition.

EPSS — Exploit Prediction Scoring System

CVSS seule est insuffisante pour prioriser les vulnérabilités. Le CVSS d'une CVE ne prédit pas si elle est activement exploitée. EPSS (Exploit Prediction Scoring System) est un modèle probabiliste qui prédit la probabilité qu'une CVE soit exploitée dans les 30 prochains jours, basé sur des données historiques d'exploitation, des caractéristiques de la CVE, et des données de threat intelligence. Un score EPSS élevé (> 0,1 = 10% de probabilité d'exploitation dans les 30 jours) est un indicateur de priorité plus actionnable que le score CVSS seul. La combinaison CVSS + EPSS + contexte organisationnel (l'actif est-il exposé ? critique ?) est la meilleure approche de priorisation. CISA KEV (Known Exploited Vulnerabilities) publie la liste des CVEs avec exploitation confirmée et activement exploitées — à patcher en priorité absolue.

BAS — Breach and Attack Simulation

Les plateformes BAS (Breach and Attack Simulation) simulent automatiquement des attaques réelles pour valider les contrôles de sécurité et identifier les expositions non détectées. Outils majeurs : Picus Security, SafeBreach, AttackIQ, Cymulate. Une simulation BAS exécute automatiquement des scénarios d'attaque alignés sur MITRE ATT&CK (phishing simulation, lateral movement, exfiltration, ransomware) et mesure quels contrôles les ont bloqués (EDR, SIEM, email gateway, proxy) et quels ont laissé passer. Les résultats identifient les gaps de détection et de prévention de manière continue, sans les contraintes d'un pentest annuel. BAS complète (mais ne remplace pas) le red team et les pentests — il est plus fréquent et automatisé, mais moins créatif et adaptatif qu'une équipe humaine offensive.