Vigil : faux positifs et gestion des suppressions

Le sous-système Vigil de StateWarden ingère des flux mondiaux de renseignement sur les menaces (OSV, NVD, MalwareBazaar) et les confronte à l'inventaire logiciel de vos appareils. Les flux de sécurité sont parfois bruités : une correspondance techniquement correcte peut ne pas être exploitable ou pertinente dans votre environnement spécifique.

Un scanner de vulnérabilités n'est utile que si ses résultats sont exploitables. La fatigue d'alerte provoquée par des centaines de « faux positifs » amènerait votre équipe SecOps à ignorer complètement le Dashboard.

StateWarden traite ce problème via la vue Triage des vulnérabilités : un flux de travail de décision avec responsabilisation obligatoire, règles de suppression et piste d'audit complète.

1. Qu'est-ce qu'un faux positif ?

Une constatation rapportée par Vigil est techniquement exacte : le hash correspond à MalwareBazaar, ou la version du paquet correspond à une CVE connue dans la base NVD. Un « faux positif » dans ce contexte signifie que la menace n'est pas exploitable ou pertinente dans votre environnement opérationnel spécifique.

Scénarios courants :

• Environnements isolés : une version obsolète de curl est signalée avec un score CVSS élevé, mais le serveur est complètement air-gapped et n'a pas d'accès Internet sortant, ce qui rend la vulnérabilité inexploitable.
• Backports en amont (Linux) : les distributions Linux d'entreprise (comme Ubuntu LTS ou Red Hat) corrigent fréquemment les vulnérabilités critiques en « rétroportant » le correctif dans une version plus ancienne du logiciel sans incrémenter le numéro de version principal. Les flux CVE standard se fient au numéro de version et signalent le logiciel comme vulnérable à tort.
• Outils de sécurité internes : des outils de tests d'intrusion personnalisés ou des scripts d'administration agressifs (par ex. PSExec) peuvent correspondre à des heuristiques comportementales ou à des hash spécifiques signalés par MalwareBazaar.

2. La vue Triage des vulnérabilités

Tout le travail de triage s'effectue dans Triage des vulnérabilités (/triage), organisée en trois onglets :

• ACTIVES : toutes les constatations nécessitant actuellement une attention, avec la sévérité, l'appareil affecté et la date de détection. Les constatations peuvent être filtrées par appareil et recherchées par ID CVE, paquet ou nom d'appareil.
• RÉSOLUES / IGNORÉES : l'historique des constatations closes : constatations résolues automatiquement après l'application du correctif du logiciel sous-jacent, et constatations masquées par une décision de triage.
• RÈGLES DE SUPPRESSION : les règles permanentes qui masquent automatiquement les constatations correspondantes (voir section 4).

3. Triage d'une constatation (la boîte de dialogue DÉCIDER)

Lorsque votre équipe de sécurité examine une constatation, elle consigne le résultat comme une décision formelle :

1. Dans l'onglet ACTIVES, repérez la constatation et cliquez sur DÉCIDER.
2. Dans la boîte de dialogue, sélectionnez l'une des quatre décisions :
   • Confirmer (active) : la constatation est réelle et reste active/reconnue.
   • Faux positif : la constatation ne s'applique pas ; elle est déplacée vers l'onglet historique.
   • Accepter le risque : la constatation est réelle mais consciemment acceptée ; elle est déplacée vers l'onglet historique.
   • Mettre en veille : la constatation est masquée jusqu'à une date que vous précisez.
3. Saisissez une note de justification (par ex. « Correctif vérifié via les backports Ubuntu. Inexploitable. »). La note est stockée avec la décision et incluse dans l'enregistrement d'audit.
4. Soumettez la décision.

Les décisions Faux positif, Accepter le risque et Mettre en veille retirent la constatation de la liste ACTIVES ; Confirmer (active) la maintient active avec la décision consignée.

4. Règles de suppression

Pour le bruit récurrent, une décision ponctuelle ne suffit pas. Depuis la boîte de dialogue DÉCIDER, cliquez sur Créer une règle pour définir une règle de suppression permanente :

• Portée : un appareil unique ou le Realm entier.
• Cible : un paquet spécifique ou un ID de vulnérabilité spécifique.
• Motif : Faux positif, Risque accepté ou Non applicable, plus un commentaire libre.

Les règles sont listées dans l'onglet RÈGLES DE SUPPRESSION et peuvent y être supprimées. Les futures constatations correspondantes sont masquées automatiquement.

5. Triage groupé et export CSV

• Triage groupé : dans l'onglet ACTIVES, sélectionnez plusieurs constatations avec les cases à cocher (ou sélectionnez tous les résultats filtrés), puis cliquez sur DÉCIDER dans la barre d'actions groupées. Une seule décision, avec une seule justification, est appliquée à chaque constatation sélectionnée.
• Export CSV : le bouton Exporter en CSV de l'onglet ACTIVES télécharge les constatations actuellement filtrées (sévérité, ID CVE, paquet, appareil, date de détection, statut de triage et note) pour vos rapports ou analyses complémentaires.

6. Permissions et auditabilité

Dans un environnement HighSec, masquer une vulnérabilité est une action sensible et strictement contrôlée :

• Permission de Realm : l'enregistrement d'une décision de triage ou la gestion des règles de suppression exige la permission de Realm vigil.triage_risks. Les utilisateurs qui n'en disposent pas peuvent consulter les constatations, mais ne peuvent ni décider ni masquer.
• Les rôles de support plateforme sont en lecture seule : les rôles plateforme SUPPORT_L1 et SUPPORT_L2 disposent d'un accès en lecture seule (tableaux de bord et journaux d'audit). Ils ne peuvent pas masquer de constatations ni gérer de règles.
• Piste d'audit : chaque décision, y compris l'utilisateur décideur, le statut choisi et la note de justification, est consignée dans la piste d'audit du Realm, visible sur la page Événements & Journaux (/events).
• Rien n'est supprimé : les constatations passées en suppression sont conservées dans l'onglet RÉSOLUES / IGNORÉES, où les responsables conformité ou les auditeurs externes peuvent examiner les décisions de sécurité de l'équipe à tout moment.

7. Réexamen d'une décision

Si le contexte d'environnement change (par ex. un serveur air-gapped est connecté à l'Internet public), une constatation précédemment masquée redevient pertinente.

1. Ouvrez l'onglet RÉSOLUES / IGNORÉES.
2. Repérez la constatation et cliquez sur DÉCIDER.
3. Définissez la décision sur Confirmer (active) et soumettez.

La constatation retourne dans la liste ACTIVES. Les constatations mises en veille redeviennent également visibles une fois leur date de veille passée, et les constatations dont le logiciel sous-jacent a été corrigé sont automatiquement marquées comme résolues par les analyses suivantes.

StateWarden : la résilience par l'ingénierie.