Maîtriser les faux positifs

Le problème, posé clairement

Un scan brut sur une image applicative typique remonte des centaines d’alertes. Une très large majorité n’est pas exploitable dans votre contexte.

Sans traitement, deux issues, toutes deux mauvaises :

1. l’équipe tente de tout traiter, s’épuise, et les vraies vulnérabilités se noient ;
2. l’équipe désactive les contrôles, et le dispositif n’existe plus que sur le papier.

C’est un risque de conformité, pas seulement un problème de confort. Un dispositif qui produit tellement de bruit qu’il n’est plus consulté ne démontre pas le traitement « sans délai » exigé par l’annexe I. La qualité du signal est une exigence, pas un raffinement.

Les causes racines

Cause	Mécanisme	Fréquence
Appariement imprécis	Corrélation par CPE : homonymie, orthographes, CPE manquants	Très élevée
Code vulnérable non atteignable	Le composant est présent, la fonction vulnérable n’est jamais appelée	Élevée
Rétroportage de distribution	Le correctif est appliqué sans changement du numéro de version amont	Élevée sur les images de conteneur
Dépendances de test comptées	Des dépendances jamais livrées apparaissent dans le SBOM du produit	Élevée
Couches d’image de base inutilisées	Des paquets présents dans l’image mais jamais exécutés	Élevée
Vulnérabilité contestée ou de faible qualité	Identifiant publié puis contesté par l’éditeur	Modérée
Composant présent en double	Deux versions d’une même bibliothèque, une seule chargée	Modérée

Les remèdes, par ordre d’efficacité

1. Privilégier les identifiants par écosystème. Corréler par purl contre une base par écosystème plutôt que par CPE contre une base généraliste réduit massivement le bruit. C’est le levier le plus rentable — voir Identifiants.

2. Renseigner la distribution. Pour les paquets système, indiquer la distribution et sa version permet à l’outil d’appliquer la bonne base de correctifs et d’ignorer les vulnérabilités déjà rétroportées.

3. Exclure les dépendances de test du SBOM du produit livré. Elles n’y ont pas leur place — voir Qualité et complétude.

4. Analyse d’atteignabilité. Déterminer si la fonction vulnérable est appelée depuis vos points d’entrée. Coûteux à mettre en place, très efficace ensuite.

5. VEX systématique. Chaque alerte écartée est documentée par un VEX avec une justification normalisée. L’alerte disparaît des tableaux de bord sans disparaître des traces.

6. Réduire la surface. Images de base minimales, suppression des paquets inutiles, compilation statique maîtrisée. Moins de composants, moins d’alertes — et moins de risque réel.

7. Prioriser plutôt que filtrer. Utiliser la probabilité d’exploitation et les catalogues d’exploitation avérée pour ordonner, sans supprimer.

Politique de suppression

Une alerte peut être écartée. Elle ne peut pas être effacée.

Autorisé	Interdit
VEX not_affected avec justification normalisée	Suppression silencieuse
Mise en sourdine datée, motivée, avec responsable	Mise en sourdine permanente
Exclusion d’un chemin de fichier, documentée	Désactivation globale d’un contrôle
Réduction de la sévérité contextualisée, tracée	Modification manuelle de la base de vulnérabilités

Toute mise en sourdine porte une date d’expiration. À l’échéance, l’alerte réapparaît et la décision est réexaminée. C’est ce qui distingue une décision d’ingénierie d’un contournement.

L’encadré pour le Juridique

Décider de ne pas corriger n’est pas un manquement, à condition que la décision soit motivée, documentée et tracée. L’annexe I exige de traiter les vulnérabilités sans délai ; elle n’exige pas de corriger l’intégralité des identifiants remontés par un scanner.

Le VEX est la forme juridique de cette décision. Sans lui, une vulnérabilité écartée est indiscernable d’une vulnérabilité ignorée — et c’est précisément la distinction qu’une autorité de surveillance cherchera à établir.

L’indicateur

Ratio d’alertes actionnables sur alertes brutes, mesuré par produit et suivi dans le temps.

ratio = alertes ayant donné lieu à une action (correctif, contournement, VEX motivé)
        ÷ alertes brutes remontées par les outils

Un ratio de quelques pour cent signale un problème d’outillage, pas un excès de rigueur. Un ratio en amélioration continue signale que le dispositif mûrit. C’est l’un des rares indicateurs qui mesure la qualité du dispositif et non son volume.

Il figure dans le tableau de bord décrit dans Indicateurs.