Qu'est-ce que l'EPSS ?
L'EPSS (Exploit Prediction Scoring System, « système de notation prédictive de l'exploitation ») estime, de 0 à 1, la probabilité qu'une vulnérabilité soit exploitée dans les 30 prochains jours. Maintenu par le FIRST et recalculé chaque jour, il répond non pas « est-ce grave ? » mais « est-ce probable ? ».
Votre scanner remonte 400 vulnérabilités, dont 60 notées critiques. Vous savez déjà que vous n'en corrigerez pas 60 cette semaine. L'EPSS existe pour vous dire lesquelles, parmi elles, méritent réellement votre mardi.
0,92, ça veut dire quoi au juste ?
Un EPSS de 0.92 signifie que le modèle estime à 92 % la probabilité qu'une activité d'exploitation soit observée sur cette faille dans les 30 prochains jours. Pas qu'elle sera exploitée chez vous. Pas qu'elle est grave. C'est un pari statistique, refait chaque matin à partir de ce que le monde a fait de cette faille la veille.
Deux images, parce qu'une seule induit toujours un contresens. L'EPSS est une probabilité de pluie : on ne discute pas avec 80 % de pluie, on prend un parapluie, et il peut très bien ne pas pleuvoir. C'est aussi une cote de bookmaker : elle intègre ce qui vient de se passer, elle bouge chaque jour, et elle dit quelque chose du peloton, jamais de votre course à vous.
Score et percentile : la confusion à éviter
L'EPSS publie deux chiffres pour chaque CVE, et on les inverse constamment :
- le score — la probabilité absolue. 0,40 veut dire 40 % de chances.
- le percentile — le rang relatif parmi toutes les CVE. Un percentile de 0,98 veut dire : « 98 % des CVE ont un score inférieur à celle-ci ».
Comme l'immense majorité des failles ont un score quasi nul, un score modeste correspond souvent à un percentile très élevé. Un score de 0,40 place une CVE dans le haut du classement, alors qu'à l'oreille « 40 % » sonne comme une demi-mesure. Fixez vos seuils sur le score si vous raisonnez en probabilité, sur le percentile si vous raisonnez en budget de correction.
À quoi ressemble la distribution
Voilà ce que personne ne montre, et qui change tout : l'EPSS est un référentiel extrêmement déséquilibré. Ordres de grandeur relevés sur la distribution publiée par le FIRST :
| Score EPSS | Part des CVE | Poids relatif |
|---|---|---|
| Moins de 0,01 | environ 80 % | |
| 0,01 à 0,10 | environ 14 % | |
| 0,10 à 0,50 | environ 5 % | |
| Plus de 0,50 | environ 1 % |
La distribution exacte du jour est publiée par le FIRST sur first.org/epss/data_stats ; elle bouge, et c'est elle qui fait foi. Ce qu'il faut retenir de la forme : un filtre à 0,10 écarte environ 94 CVE sur 100. Aucun autre signal ne trie aussi fort pour un effort aussi faible.
Pourquoi c'est plus efficace qu'un tri par gravité
Le FIRST publie une comparaison qui devrait être affichée dans toutes les salles d'équipe sécurité. À couverture égale — c'est-à-dire en attrapant la même proportion de failles réellement exploitées — les deux stratégies de tri demandent des efforts très différents :
| Stratégie de tri | Effort (part des CVE à corriger) | Couverture (failles exploitées attrapées) |
|---|---|---|
| Tout ce qui a un CVSS ≥ 7 | environ 58 % | environ 82 % |
| Tout ce qui a un EPSS ≥ 0,088 | environ 7 % | environ 82 % |
Même résultat, huit fois moins de travail. C'est l'argument central en faveur de l'EPSS, et il est chiffré par l'organisation qui publie le modèle — pas par un éditeur de logiciel.
Comment le score est calculé
L'EPSS repose sur un modèle d'apprentissage automatique nourri de signaux publics : existence d'une preuve de concept, présence de code d'exploitation dans les boîtes à outils offensives, mentions dans les sources publiques, éditeur concerné, type de faiblesse (CWE), âge de la CVE, et activité d'exploitation effectivement observée par les capteurs des partenaires.
Comme ces signaux évoluent, le score d'une CVE change dans le temps. Une faille discrète pendant six mois peut bondir en 24 heures le jour où un exploit apparaît sur un dépôt public. Un EPSS relevé il y a trois semaines et recopié dans un tableur ne vaut rien : c'est une donnée à relire, pas à archiver.
EPSS, CVSS, KEV : qui répond à quoi
| CVSS | EPSS | KEV | |
|---|---|---|---|
| Répond à | Quels dégâts ? | Quelle probabilité ? | Exploitée, oui ou non ? |
| Échelle | 0 à 10 | 0 à 1 | Binaire |
| Évolue ? | Non (score de base) | Chaque jour | Par ajouts |
| Couvre | Toutes les CVE notées | Toutes les CVE | Un millier d'entrées |
Une CVSS 9 avec un EPSS de 0,01 peut attendre le créneau de maintenance. Une CVSS 6 avec un EPSS de 0,8 est un problème de cette semaine. Une CVE au KEV, quel que soit le reste, est un problème de ce soir.
Et concrètement, pour vous
Une politique de tri en quatre lignes, à écrire une fois et à appliquer sans discuter :
- Présente au KEV et dans votre parc : correction sous 48 heures.
- Sinon EPSS ≥ 0,10 : correction dans la semaine. Ce seuil garde environ une CVE sur seize.
- Sinon EPSS ≥ 0,01 et CVSS ≥ 7 : prochain cycle de mise à jour.
- Le reste : mise à jour de routine, sans réunion.
Relisez l'EPSS des lignes 3 et 4 à chaque cycle : c'est précisément là que se produisent les remontées brutales.