Glossaire
Les termes employés par TACTIC, en une ou deux phrases, avec le lien vers leur définition de référence.
Référence générale : glossaire du CVE Program (en anglais) (site externe)
CVE
Identifiant public unique d'une vulnérabilité (Common Vulnerabilities and Exposures), de la forme CVE-année-numéro.
Définition de référence : CVE Program (site externe)
CNA
Organisme autorisé à attribuer des identifiants CVE et à publier leur fiche, souvent l'éditeur du produit concerné.
Définition de référence : CVE Program (site externe)
ADP
Organisme qui enrichit une fiche CVE publiée par un CNA, par exemple la CISA avec des scores, des CPE ou une décision SSVC.
Définition de référence : CVE Program (site externe)
CVSS
Système de notation de la gravité technique d'une vulnérabilité, de 0 à 10, toujours accompagné de sa version (3.1, 4.0).
Définition de référence : FIRST (site externe)
Gravité CVSS
Classe déduite du score CVSS : critique (9 à 10), élevée (7 à 8,9), moyenne (4 à 6,9), faible (en dessous de 4).
Définition de référence : FIRST (site externe)
EPSS
Probabilité, entre 0 et 1, qu'une vulnérabilité soit exploitée dans les 30 jours. Publiée chaque jour par FIRST et toujours datée.
Définition de référence : FIRST (site externe)
KEV
Catalogue de la CISA des vulnérabilités dont l'exploitation est confirmée. Une absence du catalogue ne prouve pas l'absence d'exploitation.
Définition de référence : CISA (site externe)
SSVC
Méthode de décision de la CISA. TACTIC en retient le signal d'exploitation (active, preuve de concept, aucune).
Définition de référence : CISA (site externe)
CWE
Catalogue des types de faiblesses logicielles (injection, dépassement de tampon…) qui permettent une vulnérabilité.
Définition de référence : MITRE (site externe)
CPE
Nom normalisé d'un produit. Sa première lettre indique le type : o pour un système d'exploitation, a pour une application, h pour un matériel.
Définition de référence : NIST (site externe)
GHSA
Identifiant d'un avis de la GitHub Advisory Database, centré sur les packages logiciels (npm, pip, Maven, Composer).
Définition de référence : GitHub (site externe)
TLP
Code de diffusion d'une information (CLEAR, GREEN, AMBER, RED) qui indique avec qui elle peut être partagée.
Définition de référence : FIRST (site externe)
Exploitation
Confirmée (catalogue KEV), signalée (SSVC active), non signalée (déclaration explicite) ou inconnue. L'inconnu n'est jamais présenté comme une absence.
Priorité de veille
Urgente, élevée, normale ou faible, calculée par des règles publiques et versionnées. Chaque priorité cite ses raisons.
Confiance
Qualité des sources qui fondent un dossier. Ce n'est pas un score de risque.
Dossier
Fiche unique par vulnérabilité, qui regroupe toutes les sources : vingt articles sur une même CVE donnent un seul dossier.
Événement significatif
Changement qui mérite l'attention : nouveau dossier, ajout au KEV, exploitation confirmée, versions modifiées, correctif, hausse de priorité, retrait.
Type de produit
Système d'exploitation, application, matériel ou bibliothèque logicielle, déduit des CPE publiés ou d'une table de correspondance. Sinon inconnu.
Technologie
Catégorie fonctionnelle du produit (pare-feu, hyperviseur, antivirus, logiciel OT…), donnée par la table de correspondance de TACTIC. Sinon non classé.