Glossaire de la sécurité

Sigles et termes anglais (A~Z)

• A Agent IA
• B BAS
• C CVE, CVSS
• E EDR, EPSS
• I IoC, ISMS-P
• K KEV
• M MCP, MDR, MITRE ATT&CK
• N N2SF
• R RAG
• S SBOM, SIEM, SOAR, SOC
• T TTP
• U UEBA
• X XDR

SOC (Security Operations Center, centre opérationnel de sécurité)

L'équipe, et l'organisation qui va avec, chargée de surveiller les alertes de sécurité, de les qualifier et de piloter la réponse. Le SOC peut être interne ou confié à un prestataire. Tourner 24 h/24 suppose des équipes en rotation, c'est pourquoi on partage parfois la charge : l'équipe interne couvre les heures ouvrées, un prestataire les nuits et les week-ends.

SOAR (Security Orchestration, Automation and Response)

Outil qui automatise sous forme de playbooks les tâches qu'un analyste répétait à chaque alerte. Par exemple, quand un e-mail de phishing est signalé, il interroge la réputation de l'URL, cherche les autres destinataires du même message et le supprime de toutes les boîtes, dans cet ordre. Un playbook mal adapté à l'environnement réel peut aggraver un incident ; les actions à fort impact passent donc par une étape de validation.

XDR (Extended Detection and Response)

Famille de produits qui, au-delà du poste de travail, rassemble les données de la messagerie, du réseau, du cloud et des systèmes d'identité pour les relier en un seul incident. Chaque éditeur en a une définition un peu différente. Quand vous comparez des offres, demandez toujours quelles sources de données sont prises en charge d'origine et si les journaux de produits tiers sont acceptés.

UEBA (User and Entity Behavior Analytics)

Méthode d'analyse qui établit un comportement de référence pour les utilisateurs, les serveurs et les comptes, puis repère ce qui s'en écarte. Elle détecte par exemple un compte de la direction financière, toujours connecté le matin, qui accède soudain en pleine nuit à un serveur de développement, ou une personne qui télécharge plus de dix fois son volume habituel de fichiers. Établir la référence prend plusieurs semaines, et les alertes augmentent lorsque les habitudes de travail changent, lors d'une réorganisation ou d'une clôture comptable par exemple.

Faux positif (False Positive)

Alerte qui prend une activité légitime pour une attaque. Isolément, chacune paraît anodine, mais à force les analystes finissent par survoler les alertes, et la vraie attaque se noie dans la masse. Désactiver des règles pour réduire les faux positifs fait grimper les faux négatifs : il faut régler les deux en les regardant ensemble.

Chasse aux menaces (Threat Hunting)

Fouiller soi-même les journaux sans attendre qu'une alerte se déclenche, en partant de l'hypothèse que l'attaquant est peut-être déjà là. On formule une hypothèse du type « cette technique employée par un groupe documenté récemment a-t-elle déjà été exécutée chez nous ? », puis on la vérifie avec les données de l'EDR et du SIEM. Les schémas trouvés doivent être convertis en règles de détection, pour ne pas avoir à les rechercher à la main la fois suivante.

CVE (Common Vulnerabilities and Exposures)

Identifiant unique attribué à chaque vulnérabilité rendue publique. Il se compose de l'année et d'un numéro d'ordre, comme CVE-2021-44228, et il est attribué par les autorités de numérotation (CNA) agréées par le programme CVE. Ce numéro sert uniquement à désigner la vulnérabilité ; la sévérité est évaluée séparément.

EPSS (Exploit Prediction Scoring System)

Modèle qui estime, par une valeur comprise entre 0 et 1, la probabilité qu'une CVE soit réellement exploitée dans les 30 prochains jours. Comme le CVSS, il est géré par le FIRST, et les scores sont mis à jour chaque jour. En plaçant côte à côte la sévérité (CVSS) et la probabilité d'exploitation (EPSS), on décide bien plus facilement quoi corriger en premier.

SBOM (Software Bill of Materials)

Liste des composants open source et des bibliothèques contenus dans un logiciel, avec leurs versions. On la produit pour pouvoir répondre tout de suite, quand une nouvelle vulnérabilité sort, à la question « dans lesquels de nos produits trouve-t-on cette bibliothèque ? ». Les formats les plus répandus sont SPDX et CycloneDX, et une SBOM n'est vraiment utile que si elle est générée automatiquement à chaque build.

Zero Trust (confiance zéro)

Principe de sécurité selon lequel on n'accorde pas sa confiance au seul motif qu'une connexion vient du réseau interne : à chaque demande d'accès, on vérifie l'utilisateur, l'appareil et le contexte, et on n'autorise que le strict nécessaire. NIST SP 800-207 en est le document de définition de référence, et en Corée, le ministère des Sciences et des TIC et la KISA ont publié des lignes directrices. Une bascule d'un seul coup est difficile, on procède donc généralement par étapes, en commençant par l'identité et le contrôle d'accès.

ISMS-P (certification du système de management de la sécurité de l'information et de la protection des données personnelles)

Certification coréenne gérée par la KISA, qui ajoute au système de management de la sécurité de l'information (ISMS) des exigences pour chaque étape du traitement des données personnelles. En vertu de la loi coréenne sur les réseaux d'information et de communication, la certification ISMS est obligatoire au-delà d'une certaine taille ; l'ISMS-P est un choix pour qui veut faire certifier aussi la protection des données personnelles. L'audit s'intéresse davantage aux preuves d'exploitation réelle qu'aux documents : une politique rédigée sans traces de mise en œuvre ressort comme non-conformité.