Labo ForenShield · CVE Lab
Tout corriger est impossible : décidez par quoi commencer
Six vulnérabilités fictives, un seul créneau de maintenance cette semaine. Comparez les scores, ajustez le contexte de votre parc et bâtissez un plan défendable.
- ≈ 10 min
- Sans compte
- Données fictives
Déroulé
Ce que vous allez faire
Comparer les vulnérabilités
CVSS, EPSS et présence au catalogue KEV, côte à côte.
Ajuster le contexte
Exposition, criticité, mesures compensatoires : observez le classement bouger.
Construire le plan
Répartissez les correctifs entre immédiat, 7 jours, 30 jours et planifié.
Défendre vos choix
Votre plan est comparé à une référence, écart par écart.
À retenir
Ce que vous allez apprendre
- Comprendre ce que mesurent CVSS, EPSS et KEV
- Voir pourquoi un score élevé ne suffit pas à décider
- Tenir compte de l’exposition et de la criticité réelles
- Justifier un plan de remédiation
Sur de vraies données
Passez ensuite aux vrais outils
La simulation sert à s’exercer. Pour vos propres données, utilisez les outils prévus à cet effet.
Questions fréquentes
Avant de commencer
Ces vulnérabilités existent-elles ?
Non. Leurs identifiants, produits et scores sont inventés pour l’exercice. Pour les failles réelles et leurs données à jour, consultez la Base CVE du site.
Que mesurent CVSS, EPSS et KEV ?
CVSS décrit la gravité technique d’une faille. EPSS estime la probabilité qu’elle soit exploitée dans les 30 jours. Le catalogue KEV de la CISA recense les failles dont l’exploitation est constatée. Ces trois informations se complètent.
Le calcul de priorité est-il une norme ?
Non. C’est une formule pédagogique, affichée en toutes lettres, pour montrer l’effet du contexte. Dans la réalité, adaptez la méthode à votre organisation.