EPSS (score de prédiction d'exploitation)
Score public qui estime chaque jour la probabilité qu'une vulnérabilité connue soit exploitée dans les trente jours ; il complète la gravité mesurée par le CVSS et la liste des failles déjà exploitées.
Des dizaines de milliers de vulnérabilités sont publiées chaque année, et aucune organisation ne peut toutes les corriger à temps. Le score CVSS mesure leur gravité technique, mais une faille jugée critique peut ne jamais être exploitée, et une faille moyenne peut l'être massivement. L'EPSS, développé sous l'égide du FIRST, le forum mondial des équipes de réponse aux incidents, et publié depuis 2021, répond à une autre question : quelle est la probabilité que cette vulnérabilité soit exploitée dans les trente prochains jours ? Le modèle, réentraîné régulièrement, combine les caractéristiques de la faille, l'existence de code d'exploitation public, sa mention dans des sources de menace et les observations d'exploitation réelle, et produit chaque jour une probabilité pour chaque vulnérabilité référencée. Il s'articule avec deux autres repères : le CVSS pour l'impact, et le catalogue des failles connues pour être exploitées, qui constate l'exploitation passée. Pour la gestion des correctifs, il permet de concentrer l'effort sur une petite fraction de failles qui porte l'essentiel du risque. Pour l'assurance, il offre une mesure plus fine que la gravité pour apprécier l'exposition d'un assuré à partir d'un balayage externe, et pour décider quelles vulnérabilités non corrigées justifient une exclusion ou une condition de souscription.
Cas d'école : un balayage externe relève sur un prospect deux failles non corrigées : l'une notée 9,8 au CVSS mais dont la probabilité d'exploitation est de 0,3 pour cent, l'autre notée 7,5 mais à 94 pour cent et inscrite au catalogue des failles exploitées. Le souscripteur conditionne la couverture à la correction de la seconde.
EPSS, Exploit Prediction Scoring System, probabilité d'exploitation
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.