Vulcan Cyber s’attelle aux processus de gestion de la surface d’attaque exposée

Combler un manque

 Les fondateurs de Vulcan Cyber se sont alors tournés vers leur réseau : « nous leur avons demandé comment ils pilotaient leur programme de gestion des vulnérabilités. Les plus avancés utilisaient un outil décisionnel, comme PowerBI. Les autres, une feuille de calcul. C’est là que nous avons identifié une opportunité commerciale majeure ».

Et de résumer : « les processus sont mauvais », parce que les équipes de sécurité n’ont pas directement la main, « elles interviennent toujours via un intermédiaire, qu’elles doivent faire travailler pour eux, pour des objectifs concurrents des besoins métiers ». Et les seconds ont tendance à prendre le pas sur les premiers.

Yaniv Bar-Dayan, cofondateur
et PDG de Vulcan Cyber -
©Omer Stein Photography

En 2020, après les premiers clients, premier tour de table, à la suite du financement d’amorçage. Et surtout premiers confinements liés à la pandémie de Covid : « cela a poussé beaucoup d’entreprises à accélérer leur passage à des infrastructures modernes, et en parallèle les équipes de sécurité à acheter beaucoup de sondes différentes, de nouveaux outils d’analyse et de supervision – API, posture de sécurité cloud, etc. Le même responsable de la gestion des vulnérabilités qui, avant, ne regardait que sa console Qualys ou Tenable, par exemple, s’est retrouvé à essayer de jongler avec six outils différents. Et tout cela est survenu en l’espace d’un an et demi ».

Problème, « les remontées de ces outils sont souvent redondantes. Et rien n’existe pour consolider tout cela puis piloter son programme de gestion des vulnérabilités ».

Partant, le chemin s’est dessiné de lui-même pour les cofondateurs de Vulcan : l’objectif allait être de se positionner comme un système d’exploitation pour les programmes de gestion des vulnérabilités, consolidant toutes les données entrantes dans une interface unique, normalisée, hiérarchisant les vulnérabilités à l’échelle de l’ensemble de l’infrastructure. Mais pas uniquement.

De l’autre côté de la plateforme, il s’agit d’automatiser les processus en aval : « amener les données aux responsables des environnements concernés, aux bons administrateurs, etc. ». Yaniv Bar-Dayan résume : « devenir le Salesforce de la sécurité, le ServiceNow des équipes de sécurité ». Se concentrer, donc, sur les processus.

Des intégrations tous azimuts

Pour atteindre ces objectifs, la plateforme de Vulcan Cyber se doit de multiplier les intégrations. Et elle le fait. Pour le volet sécurité applicative, Acunetix, Aqua, Bugcrowd, Burp Suite, Checkmarx, Fortify, GitHub, Dependabot, HackerOne, JFrog, Netsparker, ShifLeft, Snyk, Sonarqube, Sonatype, Tenable.io, ou encore Veracode sont supportés.

Pour la collecte d’informations sur les actifs, la plateforme peut miser sur Ansible, Chef, Puppet, les interfaces d’Azure, d’AWS et de GCP, mais aussi celles d’Ivanti, de ServiceNow, de Jamf, de Microsoft Defender for Endpoint et d’Intune, ou encore SCCM, SentinelOne.

CrowdStrike, Snowflake et Synack sont également au programme. BlackDuck, Prisma Cloud Compute, Orca, Qualys, Rapid7, et Nessus ne sont pas oubliés. En toute logique, les outils collaboratifs sont également de la partie, avec Jira, Teams, Slack, et encore ServiceNow ITSM.

Mais se pose aussi la question des données et de leur normalisation. Et là, Yaniv Bar-Dayan explique que le travail est autrement plus simple que pour un système de gestion des informations et des événements de sécurité (SIEM) : « un SIEM ingère de la donnée brute ; nous ingérons de la donnée déjà traitée, via une API, avec une structure clairement définie et documentée ».

Le seul défi, dès lors, relève de l’ingénierie : « nous avons eu besoin de concevoir la plateforme pour qu’elle puisse supporter la mise à l’échelle, tant pour l’ingestion que pour la mise en correspondance des données ». Et aujourd’hui, « pour construire une nouvelle intégration, il nous faut 5 à 6 jours ». Mais à terme, l’objectif, ambitieux, est de ramener ce délai à l’ordre de quelques heures – tant pour l’ingestion que pour l’intégration dans l’ontologie de la plateforme.