Cycle de vie de vulnérabilité
Le diagramme ci-dessous illustre le cycle de vie de la vulnérabilité d'un logiciel et celle de l'exploitation des failles qui dépend de lui1.
- L'application est publiée.
- Un chercheur immoral ou un pirate malveillant découvre une vulnérabilité dans l'application, mais n'en informe pas l'éditeur. Au lieu de cela, il fournit ces informations à des auteurs de logiciels malveillants contre de l'argent ou toute autre rémunération. Les auteurs de logiciels malveillants créent le code malveillant pour exploiter la vulnérabilité. Ces menaces ne sont pas connues des sociétés éditant des anti-logiciels malveillants et, par conséquent, aucune détection n'existe. C'est ce que l'on appelle généralement des logiciels malveillants de type « zéro jour ».
- L'éditeur de l'application vulnérable apprend l'existence des défauts par les canaux publics. Ceci peut se produire par divers moyens. C'est généralement le résultat de la découverte d'un pirate qui est ébruitée dans les forums clandestins, des transmissions entre utilisateurs ou associés, ou par l'enquête parallèle menée par des chercheurs faisant preuve de déontologie.
- Le code de preuve-de-concept ne porte pas de charge malveillante, mais sert simplement à prouver la viabilité de la découverte et que, sans correctif, la vulnérabilité serait susceptible d'être exploitée par les véritables logiciels malveillants. Une preuve-de-concept (POC) est principalement employée pour convaincre l'éditeur que la vulnérabilité est exploitable.
- Une fois que l'éditeur a évalué la vulnérabilité et qu'il a conclu qu'un correctif est nécessaire, il commence à développer un correctif de sécurité.
- L'éditeur crée un correctif qui atténue la vulnérabilité. Une mise à jour de sécurité est distribuée au moyen du processus de la mise à jour standard pour cette application.
- L'utilisateur installe le correctif du fournisseur pour protéger l'application contre l'exploitation de cette vulnérabilité.
Quelque part entre les étapes deux et sept, l'exploitation des failles émerge et commence à infecter les utilisateurs vulnérables. Cette période s'appelle la fenêtre d'opportunité, lorsqu'un pirate peut « posséder » les systèmes des utilisateurs sans qu'ils le sachent en tirant profit des vulnérabilités trouvées qui n'ont pas été corrigées.
1Quand un chercheur en sécurité signale une vulnérabilité à un éditeur de logiciels sans rendre cette information disponible à quiconque, la probabilité de l'exploitation de la vulnérabilité est considérablement réduite. Après que l'éditeur a atténué la vulnérabilité au moyen d'un correctif, les détails du défaut peuvent être révélés publiquement sans mettre des utilisateurs en danger à condition que les utilisateurs aient mis à jour leur système avec le correctif. La recherche montre que les utilisateurs qui n'appliquent pas rapidement de correctif à leur machine courrent un risque bien plus grand de se faire infecter par l'exploitation des failles à partir du Web.
|
