Aller au contenu
TortueTech
RubriquesGlossaire

EPSS : Exploit Prediction Scoring System

Sécurité

EPSS : Exploit Prediction Scoring System. « Système de notation prédictive de l'exploitation », par analogie avec le bulletin météo qui annonce un pourcentage de risque de pluie plutôt qu'une certitude. Pour chaque CVE publiée, il estime la probabilité qu'elle soit exploitée dans la nature au cours des 30 jours suivants.

Chaîne verticale d'étapes : les sources de menace transmettent au modèle EPSS les exploits publiés, les attaques observées et les métadonnées CVE. Le modèle produit une publication quotidienne qui donne une probabilité et un percentile par CVE. L'outil de gestion des vulnérabilités importe ces scores. Il oriente ensuite chaque cas vers l'équipe sécurité par deux branches : si le score est élevé et que l'actif est exposé, le correctif est prioritaire ; si le score est faible, le traitement suit le cycle normal.

Ce que donne le score : Deux valeurs par vulnérabilité : une probabilité entre 0 et 1, et un percentile qui la situe par rapport à toutes les autres. Le tout est recalculé chaque jour et publié gratuitement par le FIRST, l'organisme qui maintient le modèle.

D'où vient la prédiction : Un modèle d'apprentissage automatique croise les métadonnées de la CVE, la présence de code d'exploitation public et les tentatives d'attaque réellement observées par des capteurs. Il réagit donc à ce que font les attaquants, pas à ce que le fournisseur a écrit dans son avis.

EPSS face au CVSS : Le CVSS (Common Vulnerability Scoring System) note la gravité d'une faille si quelqu'un l'exploite ; l'EPSS estime si quelqu'un va réellement s'en donner la peine. Vingt ans de gestion des vulnérabilités apprennent que tout classer en « critique » revient à ne rien prioriser, avec énormément de conviction.

Usage en priorisation : On combine le score avec l'exposition réelle de l'actif et la gravité pour décider quoi corriger d'abord. Un score bas ne vaut pas une dispense de correctif : il signale seulement que la faille peut attendre le cycle normal.

Lire la page →
Voir aussi :CVECVSSKEVFIRST

Ce qui arrive si on s'en passe

Sans EPSS, la file des correctifs ne se trie plus que sur la gravité théorique (le score CVSS) : ce score décrit l'impact possible d'une faille, mais rien sur la probabilité qu'elle soit exploitée. Face aux milliers de CVE publiées chaque année, les vulnérabilités notées critiques mais rarement visées passent en premier. Pendant ce temps, une faille de gravité moyenne déjà ciblée par des outils d'attaque attend son tour dans la liste. Les 30 jours que couvre l'estimation s'écoulent alors sans aucun signal : rien n'indique quelles failles demandent un correctif immédiat et lesquelles peuvent attendre le prochain cycle de maintenance. L'effort de correction se disperse et les délais s'allongent sur les failles réellement exploitées. Enfin, la décision de reporter un correctif ne repose plus sur une estimation chiffrée qu'on peut justifier puis réexaminer après coup.

Explication de la marmotte

Chaque jour, on découvre des dizaines de défauts dans les logiciels, un peu comme des fissures dans les murs d'une immense maison. Impossible de toutes les réparer en même temps. Ce système fonctionne comme la météo : pour chaque fissure, il donne un pourcentage de chance qu'un cambrioleur s'en serve vraiment pour entrer dans le mois qui vient. Pour faire ce calcul, il observe ce que font réellement les pirates sur Internet. Résultat : au lieu de paniquer devant mille réparations, on commence par les quelques fissures que les voleurs sont en train de viser, et on garde les autres pour plus tard.

Où ce terme est utilisé

← Tout le glossaire