Les CVE de vos actifs, avec leurs fournisseurs et les exploitées d’abord.

Croise les CVE (vulnérabilités publiées) critiques et élevées de vos actifs avec les fournisseurs qui les détiennent et place d’abord les CVE activement exploitées (KEV, le catalogue de la CISA). Synchronisation quotidienne avec NVD, KEV et EPSS (probabilité d’exploitation).

Pour: RSSI et responsables des fournisseurs qui ont besoin de savoir quelles vulnérabilités connues touchent leur inventaire et quel tiers interroger en premier.

Demander une démo Lire le moteur de risque

Synchronisation quotidienne avec NVD, CISA KEV et EPSS
Techniques ATT&CK® issues de vos CVE ouvertes, pas de la détection

Mon expositionEntité A

Données d’exemple

Synchronisation quotidienneNVDCISA KEVEPSSCVE critiques et élevées ouvertes de vos actifs

CVE-2099-0101
pasarela-vpn 4.2Fournisseur A et Fournisseur C
Critique 9,8
Dans KEVOui
CVE-2099-0102
portal-erp 11.0Fournisseur B
Élevée 8,1
Dans KEVNon
CVE-2099-0103
cliente-sftp 3.1Fournisseur A
Élevée 7,5
Dans KEVNon

Techniques MITRE ATT&CK® de vos CVE

T1195 Chaîne d’approvisionnement
T1190 Application exposée
T1199 Relation de confiance

Le CTID associe des techniques aux CVE du catalogue KEV de la CISA. Une association ne signifie pas que vous avez été attaqué.

Données d’exemple : les actifs, les fournisseurs, les identifiants CVE et les techniques affichées sont fictifs.

De la CVE publiée à votre liste d’exposition

Le parcours d’une vulnérabilité jusqu’au fournisseur à interroger, et ce que chaque étape ne couvre pas.

Synchronisation chaque jour
Un processus quotidien récupère les CVE de la NVD (par le CPE de vos actifs), marque celles qui figurent au catalogue CISA KEV et ajoute le score EPSS.
Portée. C’est une synchronisation quotidienne, pas un flux continu.
Croisement avec votre inventaire
« Mon exposition » montre les CVE critiques et élevées ouvertes de vos actifs, regroupées avec les fournisseurs concernés. Seules apparaissent celles rattachées à un fournisseur actif.
Portée. Ce qui n’est pas dans votre inventaire n’apparaît pas.
Les exploitées passent en premier
L’ordre place devant les CVE du catalogue KEV de la CISA, c’est-à-dire celles qui sont déjà exploitées, puis les autres.
Portée. C’est un ordre de lecture pour décider qui interroger, pas une prédiction.
Vous voyez ce qui monte cette semaine
Les CVE en tendance des sept derniers jours sur votre propre inventaire, avec leur CVSS et le lien vers la NVD.
Portée. Au mieux de ses capacités : si la requête échoue, le tableau de bord le dit au lieu d’afficher un zéro.

MITRE ATT&CK®, à partir de vos propres CVE

L’onglet ATT&CK du radar affiche les techniques que le Center for Threat-Informed Defense (CTID) associe aux CVE ouvertes de vos actifs. Il apporte du contexte pour prioriser ; ce n’est pas un détecteur.

Ce qu’il affiche: Les techniques ATT&CK atteintes par les CVE ouvertes de vos actifs, regroupées par tactique, avec le type d’association (technique d’exploitation, impact principal ou impact secondaire) et les CVE derrière chaque technique.
D’où viennent les données: ATT&CK 16.1 (Enterprise) et l’ensemble d’associations du CTID pour le catalogue Known Exploited Vulnerabilities de la CISA, version du 28 juillet 2025. Une CVE hors de cet ensemble n’a pas de technique : aucune n’est supposée et elle est listée comme non associée.
Ce qu’il n’est pas: Une association indique comment une vulnérabilité est exploitée ou à quoi elle peut mener, pas que vous avez été attaqué. Il ne détecte pas de techniques dans vos systèmes et n’associe pas vos incidents à ATT&CK.
Disponibilité: C’est une fonctionnalité additionnelle : sans activation, le panneau reste vide.
Attribution: Contenu de MITRE ATT&CK® : © 2026 The MITRE Corporation. Cette œuvre est reproduite et distribuée avec l’autorisation de The MITRE Corporation. CTID Mappings Explorer : © 2024 MITRE. Approuvé pour diffusion publique. Numéro de document CT0104. Sous licence Apache License, Version 2.0.

Ce qu’est le radar et ce qu’il n’est pas

Pour que vous sachiez avec quelles données il travaille et où il s’arrête.

Ce qu’il fait

Croise les CVE critiques et élevées de vos actifs avec vos fournisseurs.
Place d’abord les CVE activement exploitées (KEV).
Se synchronise chaque jour avec NVD, CISA KEV et EPSS.
Montre les CVE en tendance de votre propre inventaire.

Ce qu’il n’est pas

Ce n’est pas une source de renseignement sur les menaces du secteur : il part de vos actifs.
Il ne détecte pas de techniques ATT&CK dans vos systèmes et n’y associe pas vos incidents.
Il ne génère pas d’alertes propres : c’est une vue pour prioriser.
Il ne découvre pas votre surface : il travaille sur l’inventaire que vous avez chargé.

Comment il se connecte aux autres solutions

Le radar alimente le score du fournisseur et donne de l’ordre à la conversation avec lui.

Documentation du moteur de risque

Radar d’exposition : questions directes

Celles que pose qui veut savoir ce qu’il couvre et ce qu’il ne couvre pas.

Est-ce du renseignement sur les menaces de mon secteur ?

Non. Le radar part de vos actifs et de vos fournisseurs : il vous dit quelles CVE connues vous touchent, vous, pas ce qui se passe dans votre secteur.

À quelle fréquence est-il mis à jour ?

La synchronisation des CVE est quotidienne, avec la NVD, le catalogue CISA KEV et le score EPSS. Ce n’est pas un flux continu.

Que signifie KEV ?

C’est le catalogue de la CISA des vulnérabilités activement exploitées. Le radar place ces CVE devant et elles pèsent davantage dans le score du fournisseur.

Identifie-t-il des attaques ou mes incidents dans ATT&CK ?

Non. L’onglet MITRE ATT&CK® affiche les techniques que le CTID associe aux CVE ouvertes de vos actifs (ATT&CK 16.1 Enterprise, catalogue KEV de la CISA au 28 juillet 2025) ; une CVE hors de cet ensemble apparaît sans association. C’est du contexte, pas de la détection : il n’identifie pas d’attaques et n’associe pas vos incidents à des techniques.

De quoi a-t-il besoin pour fonctionner ?

Des actifs de votre inventaire, avec leurs fournisseurs. Ce qui n’est pas dans l’inventaire n’apparaît pas dans « Mon exposition ».

Me prévient-il quand une nouvelle CVE sort ?

Le radar ne génère pas d’alertes propres : c’est une vue pour prioriser qui interroger en premier.

Voyez quelles CVE touchent votre inventaire

Demandez une démo et nous croisons, avec des données d’exemple, les CVE d’un actif avec les fournisseurs qui le détiennent.

Synchronisation quotidienne ; sans sources de renseignement sur les menaces du secteur.