CTEM sans le battage médiatique : transformer l'intelligence et la validation en résultats

Les équipes de cybersécurité n'ont jamais eu autant d'outils, de flux de menaces ou de données de vulnérabilités. Pourtant, les questions les plus difficiles restent sans réponse : Quelles expositions comptent pour nous ? Sont-elles exploitables ici ? Sommes-nous exposés à cette campagne ? Nos contrôles fonctionnent-ils réellement ? Le problème en cybersécurité n'est pas l'outillage – c'est de transformer l'information brute en intelligence pertinente et exploitable et de prouver que nous répondons à ce que font les adversaires, et non seulement à ce que les scanners trouvent. Nous sommes riches en bruit, pauvres en signal.

C'est ce qu'un nouveau framework, le Continuous Threat Exposure Management (CTEM), tente de résoudre. Le concept est-il vraiment nouveau ? Qu'est-ce qui le rend plus réalisable aujourd'hui ? Gartner affirme que 60 % des organisations mettent déjà en œuvre ou envisagent un programme CTEM. En faites-vous partie, ou pourquoi pas ? Poursuivez votre lecture si vous souhaitez :

• Comprendre ce qu'est le CTEM
• Découvrir les facteurs qui motivent le CTEM
• Savoir pourquoi vous ne devriez pas croire au battage médiatique et poser des questions exigeantes aux fournisseurs
• Enfin, un aperçu rapide de nos capacités liées au CTEM et comment nous pouvons vous aider

Qu'est-ce que le CTEM ?

CTEM est un terme créé par Gartner et décrit comme un programme systématique et continu pour identifier, prioriser et réduire l'exposition exploitable d'une organisation sur l'ensemble de sa surface d'attaque. Il s'agit d'une boucle continue de sécurité proactive comprenant cinq étapes clés :

1. Cadrage (Scoping) : S'accorder sur ce qui compte. Actifs, processus métier, adversaires probables, focus ATT&CK. L'étape de cadrage concentre les équipes de sécurité sur les aspects métier les plus importants pour la direction générale et pour la réputation et la viabilité opérationnelle de l'organisation.
2. Découverte (Discovery) : Construire l'image de ce qui est exposé. Actifs, contrôles, surface d'attaque, expositions et chemins.
3. Priorisation (Prioritization) : Décider de ce qu'il faut corriger ou tester en premier en fonction de la pertinence pour l'adversaire et de l'impact probable.
4. Validation : Quelles expositions sont réellement exploitables. Prouver la réalité avec des émulations d'attaque sûres et contrôlées ; mesurer l'efficacité des contrôles.
5. Mobilisation : Transformer les découvertes en changement durable par la remédiation et les changements de processus.

Quelle est la différence, pourquoi maintenant ?

Au cœur du CTEM se trouve la sécurité continue et adaptative, qui n'est bien sûr pas un concept nouveau. Gartner est célèbre pour produire de nouveaux acronymes et certains d'entre vous se souviennent peut-être du modèle Continuous Adaptive Risk and Trust Assessment (CARTA), qui reposait sur une évaluation continue et adaptative du risque et de la confiance pour les utilisateurs, les appareils et les applications, s'éloignant des décisions statiques et ponctuelles. En l'étendant à la gestion des vulnérabilités/expositions/surfaces d'attaque basée sur le risque, à la priorisation guidée par les menaces et à la validation continue, nous arrivons au CTEM. Il ne s'agit pas d'un outil unique mais d'un framework interne pour mettre en œuvre une sécurité continue et adaptative, dans laquelle l'IA et l'automatisation jouent des rôles clés.

Élargir la gestion des vulnérabilités vers la gestion de l'exposition

La gestion traditionnelle des vulnérabilités suit un schéma prévisible : scanner de manière exhaustive, prioriser par score CVSS, générer des backlogs de remédiation et confier des tâches aux équipes techniques en conséquence. L'exhaustivité l'emporte sur la pertinence, générant d'importants backlogs qui enfouissent les expositions critiques sous des milliers de résultats peu pertinents. Plus de 40 000 CVE ont été publiées en 2024, créant des arriérés trop importants pour être traités intelligemment. L'approche manque de mécanismes de validation ; pour savoir quelles vulnérabilités sont réellement exploitables ou si les contrôles existants détecteraient les tentatives d'exploitation. Cela crée un faux sentiment de sécurité basé sur le nombre de correctifs plutôt que sur la résilience démontrée face à des scénarios d'attaque réalistes.

Alors, qu'est-ce qui change aujourd'hui ? Comme les acteurs malveillants réduisent de plus en plus les délais d'exploitation, le temps est essentiel pour combler l'écart entre l'identification d'une menace et l'action. L'efficacité de la gestion des vulnérabilités peut être considérablement améliorée lorsqu'elle est combinée avec un contexte métier tel que la criticité des actifs, la sensibilité des données et les conséquences d'une compromission, afin de pouvoir effectuer une évaluation des risques significative. Et c'est exactement ce que nous voyons comme changement positif en 2025, des plateformes modernes accessibles aux organisations qui redéfinissent la façon dont l'exposition est mesurée, modélisée et corrigée en se concentrant sur ce que les attaquants peuvent réellement atteindre et exploiter. Cartographier le paysage des actifs internes avec une visibilité sur la façon dont ces actifs apparaissent aux acteurs de menaces externes nous permet de bien mieux comprendre l'exposition. Les outils de gestion de l'exposition intègrent la threat intelligence, la découverte d'actifs, les mécanismes de validation et les capacités de réponse orchestrée dans un framework opérationnel unifié. L'objectif est de réduire systématiquement les chemins exploitables avant que les adversaires ne puissent les transformer en armes, transformant les opérations de sécurité de la réponse aux incidents vers la prévention des risques.

Rôle stratégique de la threat intelligence pour la priorisation et la contextualisation

94 % des vulnérabilités ne sont jamais exploitées. Les recherches de Gartner le confirment, mais cela signifie que vous gaspillez des ressources si vous traitez chaque CVE de la même manière. La Threat Intelligence peut vous aider à vous concentrer sur les 6 % qui comptent pour votre organisation en reliant les vulnérabilités aux tactiques, techniques et procédures (TTP) des adversaires observées dans les campagnes actives. Le point de départ devrait être la définition de vos Priority Intelligence Requirements (PIR) : les questions qui comptent le plus pour votre organisation. Superposez-y une threat intelligence stratégiquement pertinente, filtrée par votre secteur, région, adversaires et les technologies que vous utilisez réellement. Cette threat intelligence priorisée vous indique quelles failles sont transformées en armes, contre quelles cibles et dans quelles conditions, afin que vous puissiez concentrer la remédiation sur ce qui est exploitable dans votre environnement, et non sur ce qui est théoriquement possible. Cette threat intelligence peut également être intégrée de manière transparente dans les stacks de sécurité existants, la rendant exploitable dans toute l'organisation, du SOC à la direction.

Évolution de la validation continue de la sécurité

La validation de la sécurité connaît une transformation importante alors que les organisations adoptent des méthodes plus stratégiques et proactives pour évaluer leur véritable posture de sécurité. Compte tenu de la prolifération d'outils hétérogènes au sein des stacks de sécurité modernes, il est essentiel de valider systématiquement l'efficacité et la couverture de ces contrôles. Ce changement est rendu possible par deux capacités critiques que les responsables de la sécurité recherchent depuis longtemps et qui convergent maintenant : la gestion de l'exposition comme nous l'avons évoqué précédemment et la validation continue de la sécurité, qui offre une assurance continue de la performance défensive. Ensemble, ces capacités permettent aux RSSI de passer des évaluations statiques (comme les simulations de brèche et d'attaque) et des rapports centrés sur les outils (comme les tests d'intrusion) vers une gouvernance de la sécurité basée sur des preuves et axée sur les résultats. L'Adversarial Exposure Validation (AEV) émerge comme un composant crucial du CTEM. Les outils AEV permettent une évaluation de sécurité 'continue' à travers des simulations pour créer un écosystème de validation et de remédiation conscient du contexte qui répond enfin à la question : qu'est-ce qui peut réellement nous nuire et comment l'arrêtons-nous ?

Pour en savoir plus, consultez notre article de blog : BAS to AEV and a Move Towards Unified Exposure Management

Capacité à évaluer la posture de sécurité de manière holistique – outils, processus et personnes

La validation de l'efficacité de la sécurité ne peut pas s'arrêter aux outils seuls ; elle doit englober la technologie, les processus et les personnes comme un système intégré. Un EDR, SIEM ou WAF parfaitement réglé offre une protection limitée si vos workflows d'incidents sont flous, vos playbooks obsolètes ou vos chemins d'escalade se brisent sous la pression. De même, des procédures bien documentées sont inefficaces si votre équipe de sécurité, vos dirigeants ou votre équipe de communication ne les ont pas répétées dans des conditions réalistes. La véritable assurance vient de la validation de bout en bout : confirmer que les contrôles détectent et préviennent les menaces pertinentes, que les processus font passer de manière fiable les alertes aux décisions et aux actions, et que les équipes peuvent exécuter leurs rôles avec rapidité et cohérence quand cela compte. En testant ensemble les outils, les processus et les personnes à travers des exercices continus guidés par les menaces, les organisations remplacent les suppositions par des preuves et transforment la sécurité d'une collection de produits en une capacité cohérente et résiliente.

Pour en savoir plus, consultez notre article : Beyond Tools: Why Testing Human Readiness is the Hidden Superpower of Modern Security Validation

Évitez le battage médiatique – recherchez des capacités réelles démontrables

Le CTEM est rapidement devenu un mot à la mode, avec de nombreux fournisseurs présentant des frameworks soignés et des diagrammes de référence tout en offrant peu au-delà de scans rebrandés et de tableaux de bord. Très peu de programmes aujourd'hui vont au-delà de la visibilité et exécutent une boucle continue guidée par les menaces. Ne vous laissez pas tromper par le battage médiatique : le CTEM n'est pas une capacité que les fournisseurs peuvent simplement 'livrer', mais c'est un modèle opérationnel interne que les organisations doivent concevoir et posséder. C'est un framework stratégique pour aligner le risque cyber avec le risque et les objectifs métier, décider quelles expositions prioriser et définir comment la gestion de l'exposition est gouvernée et exécutée. Les outils jouent un rôle important, mais seulement en tant qu'activateurs de cette stratégie – non comme son substitut ou point de départ.

Lors de l'évaluation des revendications CTEM, les clients doivent exiger des preuves concrètes et des détails :

• Comment priorisez-vous les menaces/expositions qui comptent vraiment pour vous ?
• Quelles techniques d'adversaires pouvez-vous réellement modéliser et valider dans mon environnement ?
• Comment prouvez-vous l'exploitabilité et l'efficacité des contrôles, et pas seulement lister les vulnérabilités ?
• Quels workflows concrets, intégrations et métriques soutiennent une opération continue plutôt que des rapports ponctuels ?

Le rôle de Filigran dans le CTEM : contexte en entrée, preuves en sortie

OpenCTI et OpenAEV de Filigran peuvent soutenir un programme CTEM en activant des parties clés du modèle opérationnel plutôt que d'essayer de le remplacer. En tant que Threat Intelligence Platform (TIP), OpenCTI fournit le contexte de menace structuré nécessaire pour le cadrage, la découverte et la priorisation (en utilisant les PIR). Avec des frameworks standards de l'industrie comme STIX 2.1, MITRE ATT&CK, vous pouvez modéliser les adversaires, techniques, vulnérabilités, actifs et relations dans un graphe de connaissances et avec des visualisations claires, afin de voir quelles expositions correspondent à de vraies campagnes et aux routes probables vers l'impact dans votre environnement. Cette threat intelligence exploitable peut grandement améliorer la détection et la réponse aux menaces.

OpenAEV complète cela encore davantage en opérationnalisant les étapes de validation et de mobilisation : il vous permet d'émuler des techniques d'attaque pertinentes en toute sécurité, de mesurer si vos contrôles les détectent et les bloquent, et de réinjecter les résultats dans vos workflows de détection et de remédiation. Vous pouvez exécuter des exercices techniques comme les tests d'intrusion et les exercices sur table directement depuis OpenAEV. De plus, l'intégration étroite entre les deux produits permet une boucle continue d'évaluation des menaces et de validation de l'exposition, tout en gardant la stratégie, l'appétit pour le risque et les décisions de priorisation fermement entre les mains de votre organisation.

Désormais, au lieu de courir après le nombre de CVE, vous prouvez les résultats : « Nous avons validé cette route vers l'impact ; notre EDR l'a manquée ; nous avons ajusté la règle ; nous avons retesté ; maintenant il bloque et alerte en moins de 10 minutes. » Chez Filigran, nous appelons cela le Continuous Threat-Led Exposure Management (CTEM).

Conclusion

L'approche CTEM n'a de valeur que si elle vous fait passer du bruit aux résultats. L'objectif n'est pas d'adopter un nouvel acronyme ou d'acheter une autre plateforme ; c'est de répondre en continu, avec des preuves, aux questions qui comptent : qu'est-ce qui peut réellement nous nuire, comment cela se produirait-il, et sommes-nous capables de l'arrêter ? Cela nécessite plus que des scans élargis ou de plus jolis tableaux de bord. Le CTEM, bien fait, n'est pas quelque chose qu'un fournisseur « livre » mais une façon dont votre organisation choisit de gérer la sécurité : guidée par les menaces, consciente du contexte et validée sans relâche.

OpenCTI et OpenAEV de Filigran sont conçus pour rendre cette réalité possible. OpenCTI apporte un contexte de menace structuré et pertinent dans votre environnement ; OpenAEV transforme ce contexte en validation et mobilisation continues alignées sur l'adversaire. Ensemble, ils vous aident à fermer la boucle de « nous connaissons cette menace » à « nous avons prouvé que nous pouvons la détecter, la bloquer et y répondre » – non pas une fois, mais en continu.

Telle est la véritable promesse du CTEM : moins de conjectures, moins de métriques de vanité, et un programme de sécurité fondé sur des preuves, aligné sur le risque métier et capable de s'adapter aussi rapidement que vos adversaires.

Si vous souhaitez discuter davantage de ce sujet, n'hésitez pas à lancer une conversation sur la Communauté Filigran ou à nous contacter !