Security Center:Vulnerability management overview

Gestion continue et automatisée des vulnérabilités pour les serveurs métier critiques

• Scénario : Les serveurs métier critiques nécessitent des analyses quotidiennes des vulnérabilités et des correctifs rapides afin de garantir la sécurité et la stabilité des services.

• Éditions applicables : Advanced, Enterprise ou Ultimate.

• Fonctionnalités : Prend en charge une analyse automatique périodique des vulnérabilités par jour et un nombre illimité de corrections. Permet également d'effectuer des analyses manuelles des vulnérabilités pour répondre aux incidents de sécurité soudains.

Protection de base pour les serveurs non essentiels ou les environnements de développement

• Scénario : Vous avez besoin d'une détection et d'une correction basiques des vulnérabilités pour un petit nombre de serveurs (moins de 10) ou pour des environnements de développement et de test, tout en maîtrisant les coûts.

• Éditions applicables : Anti-virus, avec la possibilité d'acheter des correctifs de vulnérabilités à la demande.

• Fonctionnalités : Effectue une analyse automatique périodique des vulnérabilités tous les deux jours, répondant ainsi aux besoins fondamentaux. Pour corriger les vulnérabilités, utilisez le modèle de paiement à l'utilisation ou achetez un forfait de correctifs pour une gestion flexible.

Réponse rapide et investigation face aux nouvelles vulnérabilités critiques récemment divulguées

• Scénario : Lorsqu'une faille de sécurité majeure (telle que Log4j2) est divulguée, déterminez immédiatement si certains de vos actifs serveur sont concernés.

• Éditions applicables : Enterprise ou Ultimate.

• Fonctionnalités : Utilisez l'analyse manuelle des vulnérabilités pour lancer immédiatement une analyse complète sur tout ou partie de vos serveurs. Les résultats fournissent des informations détaillées sur les vulnérabilités ainsi que des conseils officiels de remédiation pour les corrections manuelles.

Analyse des vulnérabilités

L'analyse des vulnérabilités prend en charge deux méthodes : l'analyse manuelle des vulnérabilités et l'analyse automatique périodique des vulnérabilités.

Correction des vulnérabilités

Security Center propose une fonctionnalité One-click Fix qui déploie automatiquement un correctif pour vous aider à résoudre rapidement les problèmes de sécurité.

• Méthodes de correction

  • Correction en un clic : Security Center propose une fonction de correction en un clic dans la console. Cette fonctionnalité automatise la correction des vulnérabilités sans avoir à se connecter aux serveurs ni à effectuer d'opérations manuelles.

    Important

    La fonction de correction en un clic n'est pas prise en charge pour les Application Vulnerability et les Urgent Vulnerability.

  • Correction automatique : Activez l'option Automatic Vulnerability Remediation et configurez des tâches de correction automatique pour corriger périodiquement les vulnérabilités nouvellement découvertes dans un délai spécifié.

    • Les tâches de correction automatique dépendent de la fonctionnalité one-click fix. Si l'édition actuelle ou le type de vulnérabilité ne prend pas en charge la correction en un clic, la correction automatique n'est pas non plus prise en charge.

    • La correction automatique est uniquement prise en charge pour les vulnérabilités des systèmes Linux hors noyau.

  • Correction manuelle : Si l'édition actuelle ou le type de vulnérabilité ne prend pas en charge la correction en un clic, ou si la fonctionnalité Remaining Vulnerability Fixes n'est pas activée, connectez-vous au serveur et suivez les suggestions de correction indiquées dans les détails de la vulnérabilité pour la corriger manuellement.

• Règles de calcul des correctifs de vulnérabilités

  • Unité minimale : La correction réussie d'un Security Notice sur un serveur compte comme un correctif.

    Important

    Un seul Security Notice peut contenir plusieurs CVE connexes. La correction du notice ne compte que pour 1 correctif, quel que soit le nombre de CVE inclus.

  • Nombre de correctifs de vulnérabilités = Σ (Nombre de Security Notices ayant le statut « Fixed » sur chaque serveur)

    Important

    Un correctif n'est comptabilisé qu'après le redémarrage du serveur et lorsque son statut passe à « Fixed ». Les échecs de correction ne sont pas comptabilisés.

  • Exemple :

    Si vous utilisez Security Center pour corriger avec succès 10 Security Notices différents sur chacun des 5 serveurs :

    Total des correctifs de vulnérabilités = 5 serveurs × 10 Security Notices = 50 correctifs

• Priorité de correction des vulnérabilités

  En présence de vulnérabilités, le système de notation des vulnérabilités d'Alibaba Cloud (basé sur CVSS et combiné avec des scénarios d'attaque cloud réels) vous aide à hiérarchiser les correctifs. Ce système prend en compte la gravité de la vulnérabilité, la maturité de l'exploit, le risque de menace et l'étendue des actifs affectés.

  • Score d'urgence de remédiation des vulnérabilités = Score de vulnérabilité Alibaba Cloud × Facteur temps × Facteur environnement × Facteur importance de l'actif.

    • Score de vulnérabilité Alibaba Cloud : Évalue la gravité inhérente de la vulnérabilité.

    • Facteur temps : Prend en compte des facteurs dynamiques tels que la date de divulgation de la vulnérabilité et la prévalence des méthodes d'exploitation (valeur comprise entre 0 et 1).

    • Facteur environnement : Évalue l'exploitabilité de la vulnérabilité dans l'environnement du serveur, par exemple si celui-ci est connecté à Internet public (la valeur est ajustée dynamiquement).

    • Facteur importance de l'actif : Ajuste la priorité en fonction du paramètre d'importance de l'actif (Important : 1,5 ; Général : 1 ; Test : 0,5).

  • Priorité de correction et suggestions :

    Priorité	Score d'urgence de remédiation	Description	Suggestion de remédiation
    Élevée	13,5 ou plus	Facilement exploitable par un attaquant distant non authentifié, entraînant une compromission du système (par exemple, exécution de code arbitraire) sans interaction de l'utilisateur. Souvent utilisée par les vers et les ransomwares.	Corriger dès que possible
    Moyenne	7,1 à 13,5	Peut compromettre la confidentialité, l'intégrité ou la disponibilité des ressources. Inclut généralement des vulnérabilités ayant des notes officielles élevées mais qui ne sont pas encore démontrables comme exploitables.	Peut être corrigé ultérieurement
    Faible	Inférieur à 7	Probabilité extrêmement faible d'exploitation réussie ou aucun risque réel en cas d'exploitation. Courant dans les bogues de code source ou les vulnérabilités ayant un impact mineur sur la conformité ou les performances métier.	Peut être reporté
    Spéciale	-	Urgent Vulnerability : Vulnérabilités à haut risque confirmées par les ingénieurs en sécurité d'Alibaba Cloud. Nous vous recommandons de les corriger dès que possible. Lorsque le facteur environnement ne peut pas être obtenu en raison de problèmes réseau, la suggestion peut afficher « Peut être reporté ».	Corriger dès que possible

Calendrier de mise à jour des règles

Pour couvrir les nouveaux Security Notices des fournisseurs de systèmes d'exploitation, Security Center met régulièrement à jour ses règles de détection des vulnérabilités.

• Systèmes Linux :

  • Vulnérabilités à haut risque : Les règles de détection sont ajoutées dans les 48 heures suivant l'annonce du fournisseur du système d'exploitation.

  • Vulnérabilités CVE : Les règles de détection sont ajoutées dans les 14 jours suivant l'annonce du fournisseur du système d'exploitation.

• Systèmes Windows : Les règles de détection des vulnérabilités CVE sont ajoutées dans les 48 heures suivant l'annonce de Microsoft.

Politique de conservation des données

Pour garantir des performances système optimales, Security Center nettoie automatiquement les données de vulnérabilités obsolètes.

• Vulnérabilités actives : Si le statut d'une vulnérabilité (par exemple, Fixed, Fixing Failed, Ignored, Unfixed, Fixing, Verifying) ne change pas pendant un an, le système supprime automatiquement l'enregistrement de la vulnérabilité.

• Vulnérabilités invalides : Le système supprime automatiquement un enregistrement de vulnérabilité si son statut reste Invalid pendant une durée supérieure à la période de conservation définie dans Retain Invalid Vulnerabilities For sous Vulnerability Settings.

Systèmes d'exploitation pris en charge pour l'analyse et la correction des vulnérabilités

Support des vulnérabilités pour les OS en fin de vie

Pour les systèmes d'exploitation ayant atteint leur fin de vie (EOL), Security Center ne prend plus en charge l'analyse, la détection ou la correction des Linux Software Vulnerabilities et des Windows System Vulnerabilities divulguées après la date d'EOL.