En commençant avec les cinq membres fondateurs AlmaLinux, Canonical, CIQ, GreyNoise et TuxCare, les partenaires partageront les détails des vulnérabilités conformément aux meilleures pratiques en matière de divulgation coordonnée des vulnérabilités (CVD).

Tenable, Inc., le spécialiste de la gestion du cyber-risque, annonce la création de son nouveau programme Tenable Research Alliance visant à partager les informations concernant les vulnérabilités avant leur divulgation publique. Cette initiative a pour but de réduire la fenêtre d’opportunité dont disposent les acteurs de la menace pour exploiter les vulnérabilités nouvellement divulguées, en permettant aux équipes de sécurité et aux administrateurs système de remédier aux chemins d’attaque en amont. AlmaLinux, Canonical, CIQ, GreyNoise et TuxCare sont les cinq membres fondateurs de ce réseau.

La mise en place d’un cadre permettant à un réseau de partenaires technologiques de partager des informations conformément aux meilleures pratiques en matière de divulgation coordonnée des vulnérabilités (CVE) permet de développer, tester et déployer des scripts logiciels (plugins) qui détectent les occurrences de la faille, de manière à coïncider avec les divulgation publique. Cela permet aux organisations d’évaluer et de remédier à leurs environnements au Zero Day. Cela signifie que les personnes chargées de la gestion des vulnérabilités ne disposent pas seulement des mêmes renseignements que les acteurs de la menace, mais qu’elles sont armées pour prendre des mesures afin de trouver et de corriger les failles avant qu’un attaquant ne puisse les exploiter.

"Chaque fois qu’une vulnérabilité est divulguée, une course contre la montre s’enclenche et les organisations sont déjà sur la défensive", explique Robert Huber, Chief Security Officer et responsable de la recherche chez Tenable. "Nous savons que les acteurs de la menace surveillent les programmes de divulgation de la même manière que nous, en recherchant les vulnérabilités nouvellement annoncées, en étudiant toutes les informations disponibles telles que les preuves de concept. Cependant, eux, cherchent à utiliser la faille. En donnant à nos clients les outils nécessaires pour remédier à ces vulnérabilités lorsqu’elles sont annoncées publiquement, nous réduisons ce manque de renseignements et redonnons l’avantage aux personnes bien intentionnées."

Lorsqu’une nouvelle vulnérabilité est divulguée, les entreprises sont engagées dans une course contre les cyberattaquants. Les personnes chargées de sécuriser l’organisation doivent s’efforcer d’identifier si la faille existe dans leur infrastructure, déterminer le risque qu’elle pose en identifiant les voies d’attaque qu’elle introduit, classer par ordre de priorité les faiblesses qui représentent la plus grande menace. Ils peuvent ensuite mettre à jour le logiciel lorsqu’une mise à jour est disponible ou prendre des mesures d’atténuation lorsque cela n’est pas immédiatement possible. Cela prend du temps, au cours duquel l’organisation reste exposée. En parallèle, les acteurs malveillants recherchent la vulnérabilité et développent des moyens d’exploiter la faille.