Qu’est-ce que la National Vulnerability Database ?

La National Vulnerability Database (NVD) est une ressource d’information mise à disposition par le gouvernement américain, qui recense les vulnérabilités de sécurité dans un format normalisé et interrogeable. Elle comprend des bases de données regroupant des produits logiciels et matériels, leurs failles de sécurité connues (y compris les erreurs de configuration), ainsi que leur gravité et leur impact. La NVD est une ressource précieuse pour les professionnels de l’informatique qui souhaitent rester informés des risques de sécurité potentiels dans leur infrastructure informatique.

Ce guide complet présente la National Vulnerability Database et son rôle en cybersécurité. Il détaille également son fonctionnement et la manière de l’exploiter dans vos opérations de sécurité informatique pour évaluer, classer et atténuer les vulnérabilités qui se cachent dans vos logiciels et vos systèmes.

La National Vulnerability Database : structure et composants

La National Vulnerability Database a été créée en 2005, financée par les États-Unis, pour succéder à l’Internet Category of Attack Toolkit (ICAT), qui répertoriait les vulnérabilités logicielles depuis 1999. En 2021, la NVD avait documenté plus de 150 000 vulnérabilités.

La NVD repose sur une base de données de vulnérabilités et de produits affectés. Voici ses principaux composants et fonctionnalités :

• Vulnérabilités : on y trouve aussi des informations sur des produits et des versions de logiciels précis, ainsi que les vulnérabilités et les expositions courantes (CVE) associées à chaque vulnérabilité. Les produits sont identifiés de manière unique grâce à leur Common Platform Enumeration (CPE).
• Scores de gravité et indicateurs d’impact : les scores Common Vulnerability Scoring System (CVSS) et les indicateurs d’impact renseignent sur la gravité et les conséquences possibles de la vulnérabilité, notamment ses effets sur la confidentialité, l’intégrité et la disponibilité du produit concerné.
• Recommandations de mitigation : pour chaque vulnérabilité, la NVD indique les mesures à prendre, soit pour l’éliminer (par exemple avec un correctif logiciel ou une modification de configuration qui la résout), soit pour l’atténuer au moyen d’une configuration ou d’une protection supplémentaire.

La NVD propose des fonctions de recherche et de filtrage qui vous permettent de vérifier si vos appareils et vos logiciels présentent des vulnérabilités nécessitant une mitigation ou une mise à jour. De plus, la NVD met également à disposition un référentiel de checklists interrogeable : des recommandations et des bonnes pratiques propres à certains produits, à suivre pour mieux protéger votre infrastructure informatique contre les vecteurs d’attaque connus.

Le fonctionnement de la NVD face aux enjeux de cybersécurité

Avant d’être ajoutée à la NVD, une vulnérabilité doit d’abord être identifiée, généralement par un chercheur en sécurité, un fournisseur ou un développeur qui détecte un problème dans son propre produit, et parfois même par un utilisateur final qui remarque une faille dans un appareil ou un logiciel qu’il utilise.

Les vulnérabilités potentielles sont ensuite signalées et se voient attribuer un identifiant unique dans la base de données CVE afin d’assurer leur suivi. Ce signalement doit préciser les détails de la vulnérabilité : les produits concernés, l’impact de l’exploitation et les éventuelles mesures de mitigation identifiées. Une fois la CVE créée, la National Vulnerability Database examine l’entrée, détermine sa gravité, lui attribue un score CVSS et la publie dans sa base de données en ligne.

Utiliser la NVD pour évaluer et gérer les vulnérabilités

Pour gérer et atténuer correctement les vulnérabilités de sécurité informatique, recherchez régulièrement les menaces pertinentes dans la NVD, manuellement ou à l’aide de l’automatisation et de produits de sécurité qui puisent leurs données dans les bases CVE et NVE.

Vous pouvez consulter la National Vulnerability Database sur son site web, à l’adresse nvd.nist.gov, et y rechercher les vulnérabilités pertinentes par CVE ou par CPE, ou encore consulter les checklists à suivre pour renforcer la configuration de sécurité des logiciels que vous avez déployés.

En vous appuyant sur la bonne pratique consistant à cartographier régulièrement votre réseau et à évaluer les vulnérabilités, vous pouvez intégrer la consultation de la NVD à vos tâches de cartographie réseau habituelles. Vous vous assurez ainsi que tous les appareils de votre réseau sont parfaitement à jour face aux menaces connues, ou que les menaces non corrigées sont efficacement atténuées (par exemple avec des règles de pare-feu supplémentaires pour certains terminaux).

Vous pouvez par exemple posséder du matériel ancien (comme des équipements industriels ou médicaux coûteux ou difficiles à remplacer) qui nécessite une version logicielle précise que la NVD signale comme non sécurisée. Une fois la menace identifiée, vous pouvez isoler la machine, en n’autorisant éventuellement qu’un accès à distance sécurisé si nécessaire, et en limitant son accès au réseau élargi et à Internet. Vous pourrez ainsi continuer à utiliser le système sans vous exposer à une méthode d’attaque connue.

Limites et difficultés de la NVD en matière de sécurité informatique

Vous ne pouvez pas vous fier uniquement à la NVD pour connaître l’état de votre sécurité informatique. Votre infrastructure est une combinaison unique de matériels et de logiciels différents, chacun posant ses propres défis de configuration et présentant ses propres vulnérabilités de sécurité, dont certaines peuvent se renforcer mutuellement.

La National Vulnerability Database n’est pas exhaustive. Elle ne recense pas (et ne peut pas recenser) toutes les vulnérabilités existantes. Beaucoup de vulnérabilités ne sont jamais découvertes (ni exploitées sur le terrain), tandis que des acteurs malveillants peuvent en trouver certaines qu’ils préfèrent ne pas divulguer afin de les exploiter activement.

L’apparition d’une vulnérabilité connue dans la NVD peut aussi prendre du temps, car un délai s’écoule souvent entre le moment où une faille est rendue publique (et donc accessible aux pirates) et celui où elle est correctement documentée, cataloguée sous forme de CVE, puis intégrée à la NVD.

Voilà pourquoi il est essentiel de mettre en place une détection et une réponse aux menaces solides, et d’évaluer et d’atténuer régulièrement les vulnérabilités, idéalement avec des outils qui s’appuient sur des sources de renseignement variées et appliquent des méthodes heuristiques pour repérer un code ou un comportement potentiellement malveillant.

L’avenir de la National Vulnerability Database

Le rôle de la National Vulnerability Database évolue, en particulier avec l’émergence de méthodes de détection et de réponse basées sur l’IA, capables d’exploiter les renseignements sur les menaces dès leur publication et d’élaborer et déployer automatiquement les stratégies de mitigation les mieux adaptées à leur environnement d’exploitation. Cet atout sera de plus en plus précieux face à des menaces complexes qui s’appuient elles aussi sur l’IA.

Vous pouvez également contribuer à l’avenir de la NVD en soumettant vos propres découvertes sous forme de CVE. Si vous déployez un logiciel de gestion et de protection des terminaux, assurez-vous qu’il offre une visibilité suffisante pour identifier rapidement et clairement les nouveaux vecteurs de menace potentiels.

Vous voulez mieux comprendre « Qu’est-ce que la National Vulnerability Database ? » Regardez ce court guide vidéo.