Scanners de vulnérabilités : Nessus, OpenVAS, Qualys comparés
Un scanner de vulnérabilités trouve des failles ; il ne les corrige pas. Les trois outils les plus cités se distinguent par leur modèle de déploiement, leur couverture et la charge qu'ils demandent.
Les scanners de vulnérabilités interrogent les systèmes et comparent ce qu’ils trouvent (versions, configurations, services) à des bases de vulnérabilités connues. Trois noms reviennent constamment : Nessus, OpenVAS et Qualys. Les confronter suppose de savoir d’abord ce que l’on attend d’un scanner, et ce qu’on n’en attend pas.
Ce que fait un scanner, et ce qu’il ne fait pas
Il détecte des failles connues, identifiées par des références publiques (CVE). Il signale aussi des erreurs de configuration. Il ne trouve pas une faille propre à votre application développée sur mesure, ne juge pas du risque réel dans votre contexte et ne corrige rien. Un rapport brut de plusieurs centaines de pages sans priorisation est inutilisable.
Les trois outils en un coup d’œil
| Nessus | OpenVAS | Qualys | |
|---|---|---|---|
| Éditeur | Tenable | Greenbone | Qualys |
| Modèle | Commercial, licence ; version limitée gratuite à usage restreint | Libre (édition communautaire) et offre entreprise payante | Service en ligne par abonnement |
| Déploiement | Installé chez vous | Installé chez vous | Plateforme hébergée avec agents et scanners |
| Atouts | Large bibliothèque de contrôles, mise en route rapide | Maîtrise, coût de licence nul pour la version communautaire | Couverture du parc distribué et du cloud, agents, tableaux de bord |
| À vérifier | Coût à l’échelle, fonctions selon l’édition | Effort d’exploitation et de mise à jour, support | Dépendance à une plateforme tierce, coût d’abonnement |
Ces éléments décrivent des orientations générales ; les fonctions et les éditions changent. Vérifiez la documentation en vigueur des éditeurs.
Le critère décisif : votre parc
- Inventorier ce que vous devez couvrir : serveurs, postes, réseau, conteneurs, cloud, applications web.
- Tester deux outils sur un échantillon représentatif, avec des analyses authentifiées qui voient davantage qu’un scan externe.
- Comparer les écarts de détection, les faux positifs, le temps de scan et la lisibilité des rapports.
- Vérifier les intégrations avec votre outil de tickets, votre inventaire et votre supervision.
Les limites à connaître
Les faux positifs sont inévitables : un scanner déduit parfois une vulnérabilité d’un numéro de version alors que le correctif a été appliqué autrement (rétroportage). À l’inverse, des faux négatifs existent, notamment sur les systèmes que le scanner ne peut pas authentifier ou ne connaît pas. Intégrez dans le processus une étape de validation par un humain pour les alertes critiques, et conservez la trace des exceptions acceptées, avec leur justification et une date de réexamen.
Après le scan : prioriser
Le score CVSS mesure la gravité technique, pas le risque pour vous. Complétez-le par l’exposition du système, la criticité de ce qu’il porte et l’existence d’une exploitation connue, par exemple le catalogue des vulnérabilités exploitées publié par la CISA ou le score EPSS qui estime la probabilité d’exploitation. Fixez des délais de correction par niveau de priorité et mesurez-les.
Un scan authentifié et un scan intrusif peuvent perturber des systèmes fragiles. Convenez des plages horaires avec les exploitants, et ne scannez jamais un périmètre sans autorisation écrite.
La gestion des vulnérabilités s’inscrit dans les exigences de NIS 2, d’ISO 27001 et de DORA. Voir notre expertise cybersécurité et conformité.
Pour approfondir : Gouvernance & traçabilité
Questions fréquentes
Un scanner remplace-t-il un test d'intrusion ?
Non. Le scanner cherche des vulnérabilités connues de façon automatisée ; le test d'intrusion associe des compétences humaines pour enchaîner des failles et juger de l'impact réel.
À quelle fréquence scanner ?
Au minimum de façon régulière (mensuelle ou plus selon l'exposition), et après tout changement important. Les systèmes exposés sur Internet justifient une fréquence supérieure.