Gérer les vulnérabilités en entreprise : Comparaison des outils Tanium, Qualys, CrowdStrike, Rapid7 et Tenable

Gérer les vulnérabilités en entreprise : Comparaison des outils Tanium, Qualys, CrowdStrike, Rapid7 et Tenable

La gestion des vulnérabilités en entreprise est une pratique cruciale, mais souvent complexe. Elle implique de connaître le stock de vulnérabilités, de les prioriser et de les corriger. Une vulnérabilité est généralement définie comme une faiblesse dans un actif ou une mesure de sécurité qui peut être exploitée par une menace. Le paysage des menaces évolue rapidement, avec un nombre croissant de CVE (Common Vulnerabilities and Exposures) découvertes chaque année, dont beaucoup sont exploitées peu après leur publication. Cela rend la priorisation de la remédiation indispensable.

Historiquement, le score CVSS (Common Vulnerability Scoring System), mesurant la sévérité d'une CVE sur une échelle de 0 à 10, a été utilisé pour définir les priorités. Cependant, le score CVSS Base seul ne tient pas compte de la menace réelle ni du contexte de l'organisation. De plus, la surreprésentation des scores élevés et le poids déséquilibré de certains attributs dans l'algorithme limitent son utilité pour la priorisation effective de la remédiation aujourd'hui. Pour une priorisation efficace, il est nécessaire d'intégrer les composants Temporal et Environmental du score CVSS, ce qui requiert des flux de Cyber Threat Intelligence (CTI) et des données contextuelles comme celles provenant d'une CMDB ou d'une étude de risque.

Plusieurs outils existent pour aider les organisations dans cette tâche ardue. Comparons Tanium avec certains de ses principaux concurrents.

Tanium : Une approche en temps réel et unifiée

Tanium se positionne comme une plateforme unique permettant une approche proactive et efficace de la gestion des risques et de la conformité. Sa caractéristique distinctive est sa capacité de collecte de données en temps réel sur les endpoints, permettant une visibilité complète sur plus de 500 attributs distincts. Cela permet d'identifier immédiatement les vulnérabilités et les menaces et d'obtenir des informations en quelques minutes, contrairement aux méthodes traditionnelles qui peuvent prendre des jours voire des semaines.

Tanium permet également de distribuer des correctifs et de gérer les risques et la conformité depuis une plateforme unique, servant de source unique de données cohérentes pour l'analyse des risques. Les organisations peuvent réagir rapidement aux incidents, en moyenne en 15 minutes, et appliquer des actions correctives en temps réel, en validant leur impact sur les scores de risque. La plateforme prend en charge la gestion des risques et de la conformité et intègre les données provenant de CMDBs et d'études de risques pour qualifier l'impact réel de la menace.

Forces de Tanium :

• Collecte de données et visibilité en temps réel : Permet une identification immédiate des vulnérabilités et des menaces. Réduit considérablement le temps de collecte des données par rapport aux méthodes traditionnelles.
• Plateforme unifiée : Gère les risques, la conformité, les opérations IT et la sécurité depuis une seule solution. Permet de tout faire au même endroit : découverte d'actifs (gérés et non gérés), rapports, analyses de conformité/vulnérabilité, application de politiques et application de correctifs.
• Source de vérité unique : Consolide les données pour une vue holistique de l'exposition au risque.
• Scalabilité : S'adapte aux organisations de toutes tailles, y compris celles comptant jusqu'à 1 million de points finaux.
• Réponse rapide : Permet de répondre aux incidents en moyenne en 15 minutes et de remédier aux incidents critiques en quelques secondes.
• Intégrations : S'intègre à plus de 50 solutions de sécurité existantes.
• Interface conviviale : Facilite l'adoption et la formation.

Faiblesses de Tanium :

• Coût initial élevé : Le modèle de tarification peut être une barrière pour les petites entreprises. Il est généralement plus cher que d'autres solutions.
• Complexité du déploiement : Nécessite des compétences et des infrastructures informatiques spécialisées.
• Support client : Certains retours indiquent un support limité en disponibilité, avec des temps d'attente potentiellement longs. Cependant, une autre source indique une satisfaction constante du support Tanium.
• Dépendance à Internet : La fonctionnalité dépend de la connectivité Internet continue.
• Volume de données : Peut générer un volume de données écrasant, potentiellement source de fatigue pour les utilisateurs.
• Formation supplémentaire : Certaines fonctionnalités avancées peuvent nécessiter une formation supplémentaire.
• Perception : Dans les entreprises plus anciennes, il peut y avoir une perception qu'un seul outil est moins efficace que des outils spécifiques pour chaque tâche.
• Absence de fonction comme "Relevance" (BigFix) : Nécessite de coder indépendamment pour chaque OS cible.

Comparaison avec les concurrents :

• Qualys : Souvent spécialisé dans la recherche de vulnérabilités sur des problèmes connus. QualysGuard VM est une solution automatisée basée sur le cloud, idéale pour la scalabilité. Elle offre une gestion complète des vulnérabilités, de la conformité et des analyses d'applications web. Cependant, ses analyses planifiées peuvent prendre des jours voire des semaines pour détecter les changements sur les endpoints. L'interface peut être complexe pour les nouveaux utilisateurs, et certains retours mentionnent un support client peu satisfaisant et une documentation inutile. Les rapports intégrés peuvent manquer de personnalisation ou ne pas être pratiques, nécessitant souvent l'exportation de données. Qualys VMDR est bien classé (#2 sur PeerSpot en gestion des vulnérabilités) et a une part de marché ("mindshare") plus élevée que Tanium. Qualys est considéré comme coûteux pour les petites entreprises mais offre une bonne valeur grâce à son intégration et son contrôle sur la couverture des actifs. Il déploie en cloud et sur site, mais son support est noté comme plus lent que celui de Tanium. Son système de notation VPR peut aider à prioriser par rapport au CVSS.
• CrowdStrike : Falcon Spotlight s'intègre bien à la protection des points finaux et fournit des données de vulnérabilité en temps réel. Il est principalement axé sur les endpoints et utilise un agent, sans scanner réseau dédié. Il peut être coûteux. Il est une solution facile si CrowdStrike est déjà utilisé pour l'EDR sur tous les endpoints.
• Rapid7 : InsightVM est reconnu pour son interface conviviale et offre une excellente découverte d'actifs et une priorisation des risques. Il peut être gourmand en ressources et un peu cher. Il propose des solutions cloud (InsightVM) et locales. Ses rapports pourraient être plus personnalisables. L'offre SaaS de Rapid7 est considérée comme excellente. Le délai médian pour qu'InsightVM fournisse des détections de vulnérabilités est de 29 jours. La suite Rapid Fire Tools (incluant VulScan et Network Detective Pro) est une bonne option SaaS pour la gestion des vulnérabilités.
• Tenable : Nessus est un outil solide et largement utilisé pour l'évaluation détaillée des vulnérabilités, avec une bonne documentation pour les débutants. Il propose des solutions cloud (Tenable.io) et locales (Tenable.sc). Tenable.sc (sur site) est jugé "incroyable", mais la maintenance backend est contraignante. Tenable.io (SaaS) est considéré comme moins bon et rencontre des difficultés avec les environnements VDI ou Terminal Services non persistants. Ses rapports pourraient être plus personnalisables, et ses fonctionnalités de rapport intégrées ne sont pas toujours pratiques. Son système de notation propriétaire VPR aide à prioriser les vulnérabilités. Le support est jugé moins que satisfaisant par certains utilisateurs de Tenable.io. L'utilisation de l'API pourrait être facturée. Tenable ne prend pas en charge les applications obsolètes.

Considérations générales :

Il est important de noter que la gestion des vulnérabilités est un programme complexe comportant de nombreuses facettes (infrastructure, application, service) et que souvent, aucun outil seul ne peut tout résoudre parfaitement. L'intégration avec d'autres systèmes (comme les outils ITSM pour les tickets) est cruciale et peut être un défi. De nombreuses grandes organisations utilisent d'ailleurs plusieurs outils mentionnés ensemble pour répondre à leurs besoins spécifiques. Le choix de l'outil dépendra des exigences spécifiques de l'organisation, de son infrastructure, de son budget et de la manière dont elle souhaite prioriser ses efforts (par exemple, vitesse de remédiation, couverture, contexte, intégration). Il est recommandé de définir clairement ses besoins et de réaliser des preuves de concept avec les outils envisagés.

En conclusion, Tanium se distingue par ses capacités en temps réel et son approche unifiée, offrant une visibilité et une vitesse de réponse exceptionnelles, bien qu'à un coût potentiellement plus élevé et avec une certaine complexité de déploiement. Qualys est une solution cloud complète et bien établie, mais peut souffrir de lenteurs dans les analyses planifiées et d'une interface complexe. CrowdStrike est une option solide pour les organisations déjà ancrées dans son écosystème d'EDR, axée sur les endpoints. Rapid7 offre une interface conviviale et de bonnes capacités de priorisation, avec une offre SaaS appréciée. Tenable propose des solutions robustes sur site et en SaaS (avec des retours mitigés sur cette dernière), et son système de notation VPR est un atout pour la priorisation. Le choix final dépendra de la priorité accordée à la vitesse, à l'intégration, au coût, à la facilité d'utilisation et aux types d'actifs à sécuriser.

---

Amadou Lamine Diouf
Consultant Expert | Formateur | Auditeur des Systèmes d'Information

🌐 Site Web : www.truetechnologie.com
📧 Email : lamine.diouf@truetechnologie.com
📞 Téléphone : +221 77 856 27 66