Menace, risque, vulnérabilité
Quatre mots souvent confondus, quatre réalités distinctes.
Quatre termes reviennent en permanence en cybersécurité, et sont régulièrement employés l'un pour l'autre : menace, risque, vulnérabilité et attaque. Ils désignent pourtant des objets distincts, et les confondre conduit à mal prioriser. Prenons une maison : une fenêtre mal fermée est une vulnérabilité un cambrioleur dans le quartier est une menace le moment où il entre par cette fenêtre est une attaque le risque évalue la probabilité que cela arrive et les conséquences si cela se produit.
En bref
Une vulnérabilité est une faiblesse. Une menace est ce qui pourrait l'exploiter. Une attaque est l'exploitation en action. Le risque mesure la probabilité et l'impact de cette exploitation.
Quatre concepts à distinguer
La vulnérabilité : une faiblesse exploitable
Une vulnérabilité est une faiblesse dans un système, un processus ou une organisation. Elle existe indépendamment de toute intention malveillante : c'est une porte ouverte, le problème survient quand quelqu'un décide de la franchir. Elle peut être technique — un serveur web sans authentification, un mot de passe stocké en clair —, humaine — une personne non formée à l'hameçonnage — ou organisationnelle — l'absence de processus de revue de code.
Ce qui la caractérise, c'est qu'elle existe même sans attaquant. Elle persiste jusqu'à correction ou atténuation, et sa gravité dépend de ce qu'elle permet : simple lecture de données, modification, ou prise de contrôle complète.
À retenir
Une vulnérabilité seule ne cause aucun dommage. Elle représente un potentiel d'exploitation, pas un incident en cours.
Comment les quatre s'articulent
La menace ne peut causer de dommage que si elle trouve une vulnérabilité à exploiter cette exploitation constitue l'attaque le risque évalue la probabilité de cette chaîne et ses conséquences.
Trois endroits où couper la chaîne : corriger la vulnérabilité, réduire l'exposition à la menace, supprimer l'opportunité.
| Concept | Question | Exemple en informatique |
|---|---|---|
| Menace | qui pourrait attaquer ? | attaquants externes, employés malveillants, États |
| Vulnérabilité | quelle faiblesse peut être exploitée ? | injection SQL, mot de passe faible |
| Risque | quel impact si cela arrive ? | fuite de données clients : amende et atteinte à la réputation |
La règle d'or : on ne peut pas tout protéger au même niveau — identifiez vos actifs critiques.
Deux scénarios
Quand le risque est sous-évalué
Une équipe découvre une vulnérabilité dans une bibliothèque utilisée par l'application principale. La correction impose une montée de version majeure qui casserait des fonctionnalités existantes l'équipe reporte « après la livraison ». Trois semaines plus tard, un attaquant exploite cette même vulnérabilité sur des milliers de systèmes. L'application est compromise.
Analyse. La vulnérabilité existait et était connue. La menace était réelle et active — d'autres organisations étaient déjà ciblées. Le risque a été sous-évalué parce que l'impact métier de la mise à jour semblait plus concret que le risque d'attaque. L'attaque est survenue parce que la fenêtre était ouverte.
Deux erreurs de raisonnement
Le risque d'une vulnérabilité connue augmente avec le temps : plus elle reste ouverte, plus les attaquants ont le temps de développer et de diffuser des exploits. Et il ne faut pas confondre « vulnérabilité corrigée » et « risque éliminé » : un correctif réduit le risque, il ne le supprime pas, car d'autres failles existent. La gestion du risque est continue, pas ponctuelle.
Le threat modeling : anticiper plutôt que réagir
Plutôt que de réagir aux attaques, les équipes matures les anticipent par une analyse systématique. La modélisation des menaces répond à trois questions : qu'est-ce qu'on protège ? contre qui ? comment pourraient-ils attaquer ?
| Méthode | Principe | Quand la choisir |
|---|---|---|
| STRIDE | six catégories de menaces, une par type d'atteinte | apprentissage et flux techniques clairs |
| PASTA | analyse centrée sur la simulation d'attaque | alignement avec les enjeux métier |
| MITRE ATT&CK | catalogue de techniques d'attaque observées | valider la couverture réelle des contrôles |
Le choix dépend de la complexité du système, des compétences de l'équipe et de l'objectif de l'analyse.
STRIDE, la méthode Microsoft
STRIDE classe les menaces en six types, formant un acronyme facile à mémoriser. Pour chaque composant de l'architecture, on se demande quelles catégories s'appliquent : un serveur d'authentification sera surtout concerné par l'usurpation d'identité, une interface publique par le déni de service, une base de données par la fuite d'information.
| Type | Signification | Exemple | Contrôle |
|---|---|---|---|
| Spoofing | usurpation d'identité | faux jeton JWT | authentification forte |
| Tampering | altération de données | modification de logs | intégrité, signatures |
| Repudiation | déni d'action | « je n'ai pas fait ça » | journalisation non répudiable |
| Information Disclosure | fuite d'information | données en clair interceptées | chiffrement, contrôle d'accès |
| Denial of Service | déni de service | saturation des ressources | limitation de débit, mise à l'échelle |
| Elevation of Privilege | élévation de privilèges | un utilisateur devient administrateur | moindre privilège, séparation |
Six catégories, six contrôles techniques — la mise en pratique est détaillée au chapitre .
Trois leviers pour réduire un risque
Corriger les vulnérabilités, ce qui réduit la surface d'attaque limiter l'exposition aux menaces, par l'isolation et le contrôle d'accès ou atténuer l'impact, par des sauvegardes et un plan de reprise.
À retenir de cette séance
Une vulnérabilité est une faiblesse technique, humaine ou organisationnelle, qui existe indépendamment de toute attaque. Une menace est un acteur ou un événement capable de l'exploiter, intentionnel ou non. Une attaque est le passage à l'acte. Le risque se calcule comme probabilité × impact, une formule reprise par la norme ISO/IEC 27005:2022. Un correctif réduit le risque, il ne l'élimine jamais totalement. Et le threat modeling permet d'anticiper les menaces avant la mise en production plutôt que de les découvrir après coup.
Réponse unique
Une bibliothèque de votre projet contient une faille connue, mais aucun attaquant ne l'a ciblée. De quoi s'agit-il ?
Indice · Y a-t-il quelqu'un en train d'exploiter quoi que ce soit ?
[ METTRE EN PRATIQUE ]
Qualifier quatre situations
3 étapes · 30 min · 100 XP
[ CETTE LEÇON DANS LES PARCOURS ]
- Cybersécuritéétape 3 / 13suivant — Évaluer un risque →