Intelligence logicielle : moteur de renseignement sur les vulnérabilités de versions
Analyseur interactif de posture logicielle
Section intitulée « Analyseur interactif de posture logicielle »Saisissez un nom de produit ou un alias courant (ex. : Apache, Veeam, httpd, OpenSSL, LiteLLM) ainsi qu’une version exacte pour découvrir immédiatement les CVE applicables et l’état de la menace :
HERMES SOFTWARE INTEL & SECURITY DELTA
Saisissez un produit et une version exacte. Découvrez ce qui le menace — et ce qui compte maintenant.
1. Philosophie architecturale et séparation stricte
Section intitulée « 1. Philosophie architecturale et séparation stricte »Le moteur d’intelligence logicielle de Hermes Codex repose sur un principe doctrinal fondamental :
Exploiter des données déterministes structurées pour établir l’applicabilité des vulnérabilités ; mobiliser le renseignement pour enrichir, prioriser, corréler et expliquer les résultats.
Dans les opérations de cyberdéfense, confier le calcul d’appartenance d’une version logicielle à un grand modèle de langage (LLM) introduit des risques majeurs d’hallucinations, d’angles morts critiques et de faux positifs. L’architecture de Hermes sépare strictement ces deux responsabilités :
┌──────────────────────────────────────────────────────────┐│ COUCHE DÉTERMINISTE ││ Résolution de CPE et d'alias · Bornes d'intervalles ││ Calcul mathématique strict · Statut CISA KEV · EPSS │└────────────────────────────┬─────────────────────────────┘ │ ▼┌──────────────────────────────────────────────────────────┐│ COUCHE D'INTELLIGENCE ││ Maturité des exploits · Analyse de cause racine (RCA) ││ Maillage éditorial Hermes · Playbooks de remédiation │└────────────────────────────┴─────────────────────────────┘2. Modèle d’état de vulnérabilité nuancé
Section intitulée « 2. Modèle d’état de vulnérabilité nuancé »L’un des défauts majeurs des agrégateurs de vulnérabilités traditionnels est de réduire l’état d’un logiciel à une décision binaire « Vulnérable / Sûr ». Hermes classe rigoureusement chaque résultat selon cinq statuts standardisés :
| Statut technique | Signification opérationnelle et critères de déclenchement |
|---|---|
Affecté | La version renseignée se situe strictement à l’intérieur de la plage de vulnérabilité documentée par l’éditeur, sans condition d’architecture optionnelle. |
Dépendant de la configuration | La version est incluse dans l’intervalle vulnérable, mais l’exploitabilité requiert un paramétrage particulier, un module tiers activé (ex. : mod_cgi) ou un droit d’accès spécifique. |
Potentially affected | L’avis de sécurité signale un risque théorique sur la branche majeure, mais la granularité fine des sous-versions n’est pas encore certifiée par l’autorité. |
Non affecté | La version renseignée se situe en dehors des bornes vulnérables ou est égale/supérieure au correctif officiel publié par l’éditeur. |
Inconnu | Les données structurées de l’avis sont insuffisantes pour trancher de manière déterministe. Le système refuse d’extrapoler. |
3. Règle doctrinale : « aucune CVE connue » ≠ « sécurisé »
Section intitulée « 3. Règle doctrinale : « aucune CVE connue » ≠ « sécurisé » »4. Priorisation opérationnelle : CISA KEV et EPSS
Section intitulée « 4. Priorisation opérationnelle : CISA KEV et EPSS »Hermes superpose les indicateurs de menace réelle aux scores CVSS théoriques :
- CISA KEV (Known Exploited Vulnerabilities) : Identifie si des groupes criminels, des affiliés ransomwares (ex. : Akira, Qilin, Fog) ou des courtiers d’accès exploitent activement la faille sur le terrain.
- EPSS (Exploit Prediction Scoring System) : Quantifie la probabilité statistique (de 0,0 % à 100,0 %) qu’une vulnérabilité soit exploitée dans les 30 prochains jours.
- Maillage avec les dossiers d’analyse Hermes : dès qu’une CVE fait l’objet d’une analyse de rétro-ingénierie dans Hermes Codex, un lien direct permet d’accéder aux règles de détection (Sigma, KQL, Suricata, YARA) et au guide d’investigation DFIR.
5. Comparateur de versions et moteur de delta de sécurité
Section intitulée « 5. Comparateur de versions et moteur de delta de sécurité »L’interface intègre un mode comparateur conçu pour mesurer le gain de sécurité apporté par une mise à niveau logicielle (ex. : 2.4.49 $\rightarrow$ 2.4.51) :
- Vulnérabilités éliminées : failles actives dans la version source qui sont neutralisées dans la version cible.
- Risques résiduels : vulnérabilités persistantes après montée de version, signalant la nécessité d’un correctif supérieur ou d’un durcissement d’architecture complémentaire.
- Régressions éventuelles : avertissement immédiat si la version cible réintroduit des CVE non présentes dans la source.
- Recommandation automatique de la version cible : le moteur calcule la version minimale disponible qui éradique 100 % des menaces CISA KEV et des failles critiques.
6. Modèle de score de menace : Hermes Threat Score (HTS)
Section intitulée « 6. Modèle de score de menace : Hermes Threat Score (HTS) »Le Hermes Threat Score (HTS) est une métrique synthétique normalisée sur une échelle de 0 à 100 :
HTS = Min(100, (5 × CVSS_max) + (15 × EPSS_max) + (25 × KEV_flag) + (10 × Exploit_flag))- Sévérité intrinsèque (jusqu’à 50 pts) : calculée sur le score CVSS actif le plus élevé.
- Probabilité d’exploitation réelle (jusqu’à 15 pts) : pondérée par le percentile mondial EPSS.
- Pondération CISA KEV (+25 pts) : appliquée immédiatement si au moins une faille fait l’objet d’une exploitation active confirmée in the wild.
- Disponibilité d’un exploit public (+10 pts) : ajoutée lorsqu’un code d’exploitation armé ou un PoC vérifié est documenté.
7. Renseignement sur les actifs et ingestion de SBOM (CycloneDX et SPDX)
Section intitulée « 7. Renseignement sur les actifs et ingestion de SBOM (CycloneDX et SPDX) »Le troisième mode de l’établi permet l’ingestion et l’audit instantané de Software Bill of Materials (SBOM), afin d’évaluer la posture globale d’un inventaire applicatif en quelques secondes :
Formats de manifestes pris en charge
Section intitulée « Formats de manifestes pris en charge »- CycloneDX (JSON 1.4 à 1.6) : standard international soutenu par l’OWASP. L’analyseur explore le composant racine des métadonnées ainsi que l’ensemble de l’arborescence des dépendances pour extraire les noms, versions exactes, identifiants CPE et coordonnées Package URL (
purl). - SPDX (JSON 2.2 et 2.3) : norme internationale ISO/IEC 5962. Les composants sont extraits de la collection
packages, avec résolution des identifiants de sécurité depuisexternalRefs(cpe23Type,cpe22Type,purl).
Chaîne de traitement et résolution canonique
Section intitulée « Chaîne de traitement et résolution canonique »┌─────────────────────────────────────────────────────────────┐│ MANIFESTE SBOM BRUT (CycloneDX / SPDX) │└──────────────────────────────┬──────────────────────────────┘ │ ▼┌─────────────────────────────────────────────────────────────┐│ PIPELINE DE RÉSOLUTION CANONIQUE ││ 1. Détection CPE : rapprochement du couple éditeur/produit ││ 2. Détection PURL : extraction de l'écosystème et du paquet││ 3. Résolveur d'alias : identification tolérante aux noms │└──────────────────────────────┬──────────────────────────────┘ │ ▼┌─────────────────────────────────────────────────────────────┐│ AUDIT DÉTERMINISTE PARALLÈLE ││ - Chargement asynchrone des partitions de CVE requises ││ - Évaluation mathématique d'intervalles par composant ││ - Calcul du score HTS individuel et de la cible corrective ││ - Score HTS global de l'inventaire et jauge d'exposition ││ - Extraction automatique des priorités de remédiation KEV │└─────────────────────────────────────────────────────────────┘Calcul du score de menace global de l’inventaire
Section intitulée « Calcul du score de menace global de l’inventaire »La posture globale de l’inventaire combine le pic de criticité individuel et l’exposition cumulative horizontale :
Overall_HTS = Min(100, Max(HTS_composants) + Min(15, (Nb_Vulnérables - 1) × 3))- Pondération du composant de tête : calée sur l’actif le plus exposé de l’inventaire.
- Facteur d’exposition cumulative : majoration de
+3 ptspar composant vulnérable supplémentaire (plafonnée à+15 pts), distinguant immédiatement un système hébergeant un service défaillant unique d’un parc comportant de multiples points d’entrée compromis. - Playbook d’action immédiate : les composants affectés par des failles CISA KEV ou de sévérité critique sont isolés dans un bandeau prioritaire avec leur version corrective cible et un accès direct au comparateur Hermes.
5. Fiches de renseignement par produit (dossiers statiques)
Section intitulée « 5. Fiches de renseignement par produit (dossiers statiques) »Chaque composant majeur suivi par l’observatoire dispose d’un dossier dédié compilant posture globale, matrice des versions affectées, statut CISA KEV, tendances EPSS et cibles de remédiation saines :
Apache HTTP Server Serveur web HTTPD, failles de traversée de chemin et exposition mod_proxy.
Veeam Backup & Replication Protection des infrastructures de sauvegarde, analyse RCE désérialisation et PostgreSQL.
OpenSSL Bibliothèque cryptographique TLS/SSL de référence pour serveurs et postes clients.
OpenSSH Service de connectivité distante sécurisée SSH et daemon sshd.
nginx Serveur web et mandataire inverse haute performance TCP/UDP et HTTP.
Ivanti Connect Secure Passerelles SSL VPN d'accès distant et passerelles Zero Trust en proie aux APTs.
Fortinet FortiOS Pare-feu périmétriques FortiGate et système d'exploitation de sécurité réseau.
Citrix NetScaler ADC & Gateway Contrôleurs de livraison d'applications et passerelles d'accès distant d'entreprise.
LiteLLM Passerelle unifiée et proxy pour plus de 100 modèles de langage (LLM).
LangChain & Langflow Frameworks et interfaces visuelles pour agents autonomes et workflows d'IA.
VMware ESXi Hyperviseur bare-metal de référence, vulnérabilités d'évasion de machine virtuelle (VM escape) et pilotes VMXNET3.
Mozilla Firefox Navigateur web open source, compilateur JIT SpiderMonkey, moteur WebRender et isolation de bac à sable.
Microsoft SharePoint Server Plateforme collaborative et de gestion documentaire d'entreprise, désérialisation ToolShell et injections de code.
Microsoft Windows Système d'exploitation poste client et serveur, pilotes CLFS, composants Hyper-V et vulnérabilités NTLM.
Cisco IOS XE Système réseau modulaire, contrôleurs Catalyst 9800, tokens JWT codés en dur et vulnérabilités SNMP.
Cisco Secure Email Gateway Passerelles de sécurité de messagerie SEG/SMA sous AsyncOS et vulnérabilités de quarantaine anti-spam.
Cisco Identity Services Engine (ISE) Contrôle d'accès réseau (NAC) et passerelle d'identité Zero Trust, injections d'API ERS non authentifiées.
Oracle E-Business Suite Progiciel de gestion intégré (ERP), moteur Concurrent Processing et intégration BI Publisher XSLT.
Oracle Database Server Base de données relationnelle d'entreprise, écouteur réseau RDBMS Listener et protocole TNS.
SAP NetWeaver Plateforme applicative et socle ERP, protocoles RMI-P4 et composants Java AS.
Roundcube Webmail Client de messagerie web IMAP d'entreprise, désérialisation PHP et vulnérabilités de pièces jointes.
Erlang/OTP Environnement concurrent et runtime de communication, serveurs SSH embarqués et brokers de messages.
Apache Tomcat Serveur d'applications Java et conteneur de servlets, requêtes PUT partielles et désérialisation de session.
Meta React & Server Components Bibliothèque UI et composants serveur RSC, désérialisation Flight et attaques React2Shell.
Vercel Next.js Framework web full-stack React, contournement de middleware et isolation des sous-requêtes.
Fortinet FortiWeb Pare-feu applicatif web (WAF), injections SQL de gestion et contournements d'authentification.