Une liste de milliers de failles triées par leur note officielle est ingérable et fait corriger les mauvaises. Cet agent repart de l'exposition réelle et de ce qu'il y a derrière la machine, vérifie que la faille est atteignable avant de mobiliser une équipe, ne cherche jamais à l'exploiter pour la prouver, et fait accepter formellement ce qui ne sera pas corrigé.
Ce qu'il fait chaque jour
- Obtenir les autorisationsRecueillir l'accord écrit et la fenêtre avant tout balayage du parc.
- Lancer les balayagesExécuter les scans autorisés dans la fenêtre convenue avec l'exploitation.
- Croiser avec l'expositionRapporter chaque faille à l'accessibilité réelle et aux données portées.
- Vérifier l'atteignabilitéContrôler qu'un chemin d'accès existe avant de mobiliser une équipe.
- Établir les prioritésClasser les corrections par exposition, impact et existence d'un correctif.
- Suivre les délaisRelever les corrections en retard par rapport aux délais convenus.
- Faire accepter le non corrigéObtenir une acceptation écrite, datée et signée pour ce qui reste ouvert.
- Rendre l'état des vulnérabilitésPublier la dette par gravité, son évolution et ce qui a été accepté.
Les logiciels qu'il sait tenir
- Qualys
Je lance sur Qualys les balayages autorisés du parc. - Tenable
Je croise sur Tenable les failles trouvées et leur exposition. - GLPI
Je suis sur GLPI les corrections demandées et leurs délais. - Rapid7 InsightVM
Je reprends sur Rapid7 InsightVM les relevés déjà en place. - Snyk
Je relève sur Snyk les failles des bibliothèques employées. - AuditBoard
Je fais tracer l'acceptation d'une vulnérabilité non corrigée : qui accepte, pour combien de temps, avec quelle mesure de contournement.
Recrutez votre analyste vulnérabilités
Un entretien d'embauche dans l'application, et il se met au travail chez vous.