human
Veuillez expliquer ce qu'est la « vulnérabilité (informatique) »
gpt
Les vulnérabilités sont des failles dans un système informatique qui affaiblissent la sécurité globale de l'appareil/du système. Les vulnérabilités peuvent être des faiblesses soit dans le matériel lui-même, soit dans le logiciel qui s'exécute sur le matériel. Les vulnérabilités peuvent être exploitées par un acteur malveillant, tel qu'un attaquant, pour franchir les limites de privilèges (c'est-à-dire effectuer des actions non autorisées) au sein d'un système informatique. Pour exploiter une vulnérabilité, un attaquant doit disposer d'au moins un outil ou une technique applicable qui peut se connecter à une faiblesse du système. Dans ce cadre, les vulnérabilités sont également appelées surface d'attaque.
La gestion des vulnérabilités est une pratique cyclique qui varie en théorie mais contient des processus communs qui incluent : découvrir tous les actifs, hiérarchiser les actifs, évaluer ou effectuer une analyse complète des vulnérabilités, rendre compte des résultats, corriger les vulnérabilités, vérifier la correction - répéter. Cette pratique fait généralement référence aux vulnérabilités logicielles des systèmes informatiques. La gestion agile des vulnérabilités fait référence à la prévention des attaques en identifiant toutes les vulnérabilités le plus rapidement possible.
Un risque de sécurité est souvent classé à tort comme une vulnérabilité. L'utilisation de vulnérabilité avec le même sens de risque peut prêter à confusion. Le risque est le potentiel d'un impact significatif résultant de l'exploitation d'une vulnérabilité. Ensuite, il y a des vulnérabilités sans risque : par exemple lorsque l'actif affecté n'a aucune valeur. Une vulnérabilité avec une ou plusieurs instances connues d'attaques fonctionnelles et entièrement mises en œuvre est classée comme une vulnérabilité exploitable, c'est-à-dire une vulnérabilité pour laquelle un exploit existe. La fenêtre de vulnérabilité est le moment entre le moment où la faille de sécurité a été introduite ou manifestée dans le logiciel déployé, le moment où l'accès a été supprimé, un correctif de sécurité a été disponible/déployé ou l'attaquant a été désactivé - voir attaque zero-day.
Le bogue de sécurité (défaut de sécurité) est un concept plus étroit. Il existe des vulnérabilités qui ne sont pas liées aux logiciels : les vulnérabilités matérielles, de site, de personnel sont des exemples de vulnérabilités qui ne sont pas des bogues de sécurité logicielle.
Les constructions dans les langages de programmation difficiles à utiliser correctement peuvent manifester un grand nombre de vulnérabilités.