Qualys, comme beaucoup d’autres sociétés de sécurité informatique, publie régulièrement des chiffres sur la cybercriminalité. La plupart du temps, ces chiffres issus d’éditeurs de sécurité informatique ne sont qu’une indication, dont il faut se méfier, car cela sert souvent à mettre en avant les activités et produits de ces sociétés.

À nous de croiser les chiffres entre eux pour les remettre en perspective et les prendre pour ce qu’ils sont, une indication dont la pertinence dépend du sérieux de l’entreprise et de ses objectifs. Force est toutefois de constater que la collaboration est plus importante qu’avant et que l’échange d’information n’a pas toujours pour finalité première de vendre le dernier antivirus boosté à l’intelligence artificielle.

• Devenir expert en sécurité informatique en 3 clics
• Cybersécurité : des chercheurs qui ne manquent pas d’air

L’escalade des chiffres

Or, il arrive parfois que certains de ces chiffres détonnent et vont contre des idées préconçues. Dans un billet de blog, Saeed Abbasi (product manager chez Qualys) nous livre une analyse intéressante de l’activité cyber, et de l'augmentation du nombre de CVE (pour « Common Vulnerabilities and Exposures », un dictionnaire des informations publiques relatives aux vulnérabilités de sécurité) :

« De janvier à la mi-juillet 2022 - 2024, le nombre de CVE signalés a augmenté chaque année. Le nombre de CVE est passé de 14 249 en 2022 à 17 114 en 2023, puis à 22 254 en 2024. Des augmentations significatives de 24 %, 20 % et 30 %, respectivement, ont été observées chaque année, soulignant une escalade persistante et substantielle dans la découverte de vulnérabilités. »

Comme pour ce qui est des chiffres émanant de la police ou de la gendarmerie, cette augmentation ne donne pas d’indications sur l'exploitation de ces CVE, mais sur le nombre de déclarations de nouvelles failles de sécurité : une augmentation du nombre de plaintes ne signifie pas forcément un regain d’activité des criminels, mais bien une hausse des déclarations émanant de victimes.

En informatique, on peut conjecturer sans trop se tromper que la complexification continue des systèmes, l’amélioration des capacités de recherche et de détection, et l’obligation de déclaration dans les différentes législations, contribuent à cette hausse.

• Sécurité informatique : un œil dans le rétro 2022, le pied sur l’accélérateur en 2023

Weaponized, c’est-à-dire ?

Plus intéressant, il nous indique que parmi 22 254 CVE déclarées au premier semestre 2024, seules 204 d’entre elles ont été militarisées (« weaponized »), c’est-à-dire à peine 0,91 % ! Pour être certain de ce que ces chiffres recoupent, nous avons demandé à l’auteur de ce billet ce que Qualys entendait par « weaponized » :

En essayant de traduire ça, on aurait donc :

• L’existence d’un code d’exploitation
• Des éléments de preuve de son usage actif dans des usages malveillants tels que la distribution de malwares ou le vol de données
• L’incorporation par les cybercriminels dans leurs cadres d’attaques et leur outillage

Attention : bien qu’il soit tentant de se dire qu’on fait beaucoup de bruit pour rien, ce chiffre n’indique que le nombre de vulnérabilités activement exploitées.

Or la dangerosité d’une faille ne réside pas uniquement dans son activité et, inversement, les failles les plus dangereuses ne sont pas forcément les plus exploitées, car plusieurs critères rentrent en ligne de compte (la facilité d’exploitation, les impacts possibles, etc.).

À côté de cela, souvenons-nous qu’il s’agit des exploitations actives, et non des exploitations publiées (qui attendent parfois dans un coin pour passer sous les radars).

Autre constatation notable : la militarisation des vulnérabilités n’est pas réservée qu’aux plus récentes. L’auteur remarque même une légère augmentation de 10 % de l’exploitation de failles anciennes (antérieures à 2024).

Il cite l’exemple de la CVE-2023-43208 NextGen Mirth Connect Java XStream qui a été utilisée pour des attaques contre des organismes de santé. Il ne faut donc pas se dire que si la menace est passée, on est tranquille. Les méthodes d’exploitation arrivent parfois tard, au gré d’opportunités.

Dans ces 204 vulnérabilités militarisées, la Cybersecurity and Infrastructure Security Agency (CISA) n’en retient même que 54 identifiées cette année dans son catalogue des vulnérabilités connues et exploitées (ou KEV, pour Known Exploited Vulnerabilities), que l’organisation considère comme les plus impactantes. Et, au final, seulement 6 d’entre elles sont exploitées par des gangs de rançongiciels.

Score CVSS vs QVS

Pour déterminer la dangerosité des failles, Qualys utilise son propre système d’évaluation (QVS, pour Qualys Vulnerability Score), et non le CVSS (pour Common Vulnerability Scoring System, qui a ses avantages et ses défauts).

• CVSS 4.0 : dur, dur, d’être un expert !

On note qu’environ 63 % des vulnérabilités ont un score QVS élevé (ce qui se comprend), ce que Qualys met en balance avec le CVSS (justement), où seule la moitié de ces 204 CVE « weaponisées » est considérée comme critique.

Sous-entendu : notre score est plus judicieux que CVSS (bien sûr). Il existe même un score censé estimer la probabilité qu’une vulnérabilité soit exploitée, l’Exploit Prediction Scoring System (EPSS, présenté au Black Hat 2019) qui est, lui aussi, peu probant selon Qualys, car moins de 20 % du club des 204 a obtenu un score supérieur à 0,9 (l’échelle EPSS allant de 0 à 1).

Tout est relatif

Il faut raison garder sur ces dernières constatations, car autant les échelles d’évaluation que l’efficacité des solutions de sécurité évoluent régulièrement avec le temps. Néanmoins, cela permet de voir qu’en se concentrant sur les « bonnes » vulnérabilités, on peut optimiser ses efforts afin de parer aux risques les plus importants. Cela permet aussi d’étudier les meilleures mesures de défense en étudiant les mécanismes d’attaque les plus utilisés.

Mais cela n’enlève en rien la dangerosité potentielle des 22 000 autres vulnérabilités, qu’il ne faut pas balayer d’un revers de la main.

D’une part parce que quand une exploitation active émerge, il est souvent trop tard, malgré les tentatives de prédictions (de type EPSS, CVS ou même QVS). Mais aussi parce que le défenseur doit être intransigeant et n’a pas le droit à l’erreur alors que pour l’attaquant, il suffit d’une erreur. Et cette erreur peut être liée à n’importe laquelle des vulnérabilités, connues ou inconnues !

•  C’est quoi la sécurité informatique ?