MtoM Mag - Le journal de l'MtoM.

Une nouvelle étude conjointe menée par SentinelOne et Tenable révèle que les données d’exposition et la détection runtime convergent vers les mêmes types de surfaces d’attaque de fournisseurs, indépendamment de l’évolution des vulnérabilités spécifiques.

SentinelOne (NYSE : S), leader de la sécurité IA, et Tenable Holdings, Inc. (NASDAQ : TENB), société de gestion de l’exposition au cyber-risque, ont publié ce jour une étude conjointe qui met en évidence un décalage croissant entre la découverte des vulnérabilités, leur divulgation et leur exploitation effective. Cette étude s’appuie sur les données de Tenable relatives à l’exposition de milliers d’entreprises et sur la télémétrie de remédiation, ainsi que sur les données de SentinelOne concernant la détection au niveau des endpoints et la détection post-exploitation. Ensemble, ces deux visions dressent un tableau priorisé de la concentration des risques, offrant des enseignements clés pour l’ère de l’IA frontière. Et le principal enseignement est que les acteurs de la menace, qu’ils soient étatiques ou cybercriminels, se concentrent davantage sur les fournisseurs et les points vulnérables de la surface d’attaque que sur des CVE spécifiques.

Le rythme actuel des attaquants dépasse d’ores et déjà la capacité de réponse des cycles de correctifs standards. Les nouveaux modèles d’IA frontière réduisent le délai de découverte des vulnérabilités de plusieurs mois à quelques heures. Cela accroît considérablement les risques potentiels, tout en permettant aux attaquants de passer de la divulgation d’une faille à la création d’un code d’exploitation en l’espace d’une semaine environ. Aujourd’hui, une entreprise de taille moyenne met cinq mois pour remédier aux vulnérabilités connues¹. Pour réduire ce délai, il ne suffit pas d’agir rapidement : il est indispensable de savoir quels types de produits sont les plus susceptibles de subir la prochaine vague d’attaques.

L’étude montre que les données d’exposition et la détection à l’exécution convergent vers les mêmes surfaces de fournisseurs d’équipements d’extrémité dans 79 % des cas, tandis qu’elles ne présentent qu’un chevauchement de 21 % au niveau des vulnérabilités individuelles. Les acteurs soutenus par des États et les groupes de ransomware puisent tous deux dans le même petit ensemble de vulnérabilités à haute criticité et activement exploitées. Les surfaces sont constantes, mais pas les acteurs. Cette distinction est importante pour la manière dont les défenseurs établissent leurs priorités ; un schéma que Tenable a qualifié de « Fournisseur ciblé de manière persistante ». C’est l’idée qu’un petit ensemble de types de produits et de fournisseurs, et non des CVE individuelles, constitue l’unité durable de risque au fil du temps.

Voici quelques autres conclusions clés du rapport :

 Douze vulnérabilités de l’ensemble des données font l’objet d’une attribution confirmée de type « multi-nexus » : des acteurs soutenus par des États et des groupes de ransomware exploitent indépendamment la même faille dans cinq catégories de menaces distinctes, notamment la Chine, la Russie, la Corée du Nord, le réseau iranien et des acteurs criminels (motivés par l’appât du gain).

 Plus de la moitié (54 %) des entreprises utilisant des produits F5 présentent au moins une vulnérabilité exposée et activement exploitée, tandis que les clients de Citrix affichent la plus longue période de remédiation parmi tous les fournisseurs observés, avec une médiane de 461 jours, ce qui illustre concrètement comment certaines gammes de produits restent exposées longtemps après la mise à disposition d’un correctif.

 La complexité de la remédiation des vulnérabilités hautement prioritaires entraîne un délai statistiquement significatif de 24 jours, ce qui allonge la fenêtre dont disposent les attaquants pour mettre en œuvre une exploitation. Cela souligne pourquoi la rapidité d’application des correctifs ne suffit pas à elle seule, sans une réduction de la surface d’attaque et une protection des endpoints fonctionnant de concert.

« La vitesse seule ne suffit pas. Au moment où une vulnérabilité arrive dans la file d’attente de remédiation, les cybercriminels sont déjà en train de faire évoluer l’exploit », a déclaré Steve Stone, Chief Customer Officer chez SentinelOne. « Les signatures statiques fonctionnent selon une temporalité humaine, contrairement à la menace. La détection comportementale en runtime doit suivre ce rythme, en signalant les schémas d’exploitation à mesure qu’ils émergent plutôt qu’après coup. »

Pour les équipes de sécurité, cette étude confirme la nécessité d’aller au-delà des vulnérabilités individuelles et de comprendre quelles technologies sont systématiquement ciblées par les attaquants. Les données d’exposition de Tenable montrent où les entreprises sont les plus exposées et où le risque se concentre, tandis que les données de SentinelOne sur les menaces runtime et les analyses DFIR (Digital Forensics and Incident Response) révèlent où et comment les attaquants opèrent en environnement réel. La convergence de ces deux points de vue indépendants fournit aux responsables sécurité des arguments plus solides pour prioriser la remédiation, renforcer la détection et réduire les risques sur l’ensemble des technologies faisant l’objet d’attaques persistantes.

« Les attaquants ciblent systématiquement des écosystèmes de fournisseurs spécifiques susceptibles de leur fournir un accès. Ils ne se focalisent pas sur des vulnérabilités isolées, et les responsables sécurité ne devraient pas le faire non plus », a déclaré Vlad Korsunsky, Chief Technology Officer chez Tenable. « Nos recherches conjointes confirment que les attaquants, petits et grands, ciblent les mêmes surfaces d’attaque la majorité du temps. Cette étude met en évidence les principes de gestion de l’exposition : visualiser, prioriser et corriger les expositions qui constituent une menace réelle pour l’entreprise. Alors que les attaquants exploitent l’IA pour contourner plus rapidement les défenses, les entreprises qui misent sur la gestion de l’exposition en sortiront gagnantes. »