Failles
EPSS
Exploit Prediction Scoring System
- Exploit Prediction Scoring System anglais
EPSS estime la probabilité qu’une faille publiée soit exploitée dans les trente jours, pour aider à décider quelles corrections traiter en priorité.
Pour comprendre
Pour tout le monde
Entre deux failles à corriger, laquelle risque d’être utilisée par des attaquants prochainement ? EPSS apporte un indice : une estimation, recalculée chaque jour, de la probabilité qu’une exploitation d’une vulnérabilité publiée sous une référence CVE soit observée dans les trente jours suivants. Cette exploitation concerne des attaques réelles, et pas seulement un test en laboratoire. Le projet s’inscrit dans les travaux de l’association FIRST.
Le calcul repose sur un modèle statistique entraîné à partir de données historiques, notamment d’exploitations observées. Pour établir les scores, il utilise des caractéristiques des vulnérabilités et des signaux publics : code permettant d’exploiter le défaut, présence dans des outils d’attaque ou références récentes dans des publications spécialisées. De nouveaux renseignements peuvent faire évoluer le résultat. La couverture des observations reste limitée : tout ce que font les attaquants n’est pas visible.
Le score va de 0 à 1. Une valeur de 0,20 correspond à une probabilité estimée de 20 %. Cela ne signifie pas que votre ordinateur a 20 % de risque d’être piraté. Un autre nombre, le percentile, indique le rang par rapport aux autres failles évaluées : au 95e percentile, le score dépasse celui d’environ 95 % des autres. Ce rang n’est pas une probabilité d’exploitation de 95 %.
Pour décider, on rapproche EPSS de la gravité CVSS, de la présence du logiciel vulnérable et de son exposition aux attaquants. Le catalogue KEV recense des vulnérabilités dont l’exploitation a été confirmée : cette preuve ne doit pas être écartée parce qu’EPSS affiche une faible probabilité. Le modèle ne connaît ni vos équipements ni les conséquences d’un incident chez vous. Il aide à organiser les corrections ; il ne délivre pas un certificat d’innocuité.
Un exemple
Supposons deux défauts dans des logiciels d’une association : le premier a un CVSS de 9,8 et un EPSS de 0,01 ; le second, un CVSS de 8,1 et un EPSS de 0,70. Ces valeurs sont fictives. Elles suggèrent de regarder rapidement le second, surtout si le service est accessible sur Internet. L’équipe vérifie aussi les versions, les attaques confirmées et les conséquences possibles avant d’ordonner les interventions. Le premier défaut reste à corriger.
Les bons réflexes
Si vous utilisez simplement un appareil, appliquez les Mise à jour recommandées sans attendre d’avoir calculé une priorité avec EPSS.
Si vous gérez un parc, vérifiez d’abord que le produit et la version concernés sont présents ; relevez aussi la date du score.
Lisez séparément probabilité et percentile, puis ajoutez l’exposition du service et les conséquences possibles.
Traitez une exploitation confirmée comme un signal prioritaire ; un score faible ou absent ne démontre pas l’absence de danger.
À ne pas confondre avec
- CVSSSystème standard pour évaluer la gravité des vulnérabilités. Il attribue une note de 0 à 10 en fonction de critères comme l’impact ou l’exploitabilité.
- KEVCatalogue tenu par la CISA qui recense les vulnérabilités connues pour avoir été exploitées en attaque. Il aide à prioriser les correctifs urgents.
Termes voisins
- CVECVE fournit des identifiants communs aux failles publiées : une même référence permet de relier les alertes, les analyses et les correctifs.
- CVSSSystème standard pour évaluer la gravité des vulnérabilités. Il attribue une note de 0 à 10 en fonction de critères comme l’impact ou l’exploitabilité.
- KEVCatalogue tenu par la CISA qui recense les vulnérabilités connues pour avoir été exploitées en attaque. Il aide à prioriser les correctifs urgents.
- Mise à jourUne mise à jour (en anglais, update) modifie un logiciel pour corriger des défauts, réparer des failles de sécurité ou apporter de nouvelles fonctions.
Cité dans
1 sujet