Meilleurs outils de gestion des vulnérabilités

Nous avons évalué quatre outils de gestion des vulnérabilités sur 11 dimensions. Les résultats révèlent un marché où « gestion des vulnérabilités » signifie quatre choses différentes pour quatre fournisseurs. Certains construisent des pipelines de détection axés sur les CVE ; d'autres suivent la disponibilité des correctifs comme proxy du risque ; l'un délègue explicitement l'analyse à des outils tiers.

Résultats de l'évaluation de la gestion des vulnérabilités

Principales conclusions

• Automox et NinjaOne signalent les vulnérabilités en fonction de la disponibilité des correctifs dans leur catalogue, et non de la correspondance des versions CVE-NVD. Si aucune mise à jour n'existe dans leur catalogue pour une version logicielle, l'outil signale « Aucune CVE connue » quel que soit le nombre réel de CVE. LibreOffice 7.1.8.1 (plus de 100 CVE documentées) et Firefox ESR 115.12.0 ont tous deux retourné « Aucune CVE connue » dans Automox pour cette raison. ManageEngine et Action1 utilisent des flux CVE indépendants et signalent les vulnérabilités, qu'un correctif soit disponible ou non.
• Aucun outil ne détecte les logiciels installés en dehors du gestionnaire de paquets. Les binaires extraits dans /opt/, compilés depuis les sources ou distribués par des fournisseurs en dehors de leurs dépôts officiels de paquets sont invisibles pour les quatre outils. ManageEngine et NinjaOne font correspondre les CVE pour les paquets listés par dpkg. Action1 inventorie les paquets dpkg mais ne retourne aucune donnée CVE pour eux sur Linux. Automox n'a aucune détection CVE indépendante.
• Le module VM de NinjaOne ne génère pas d'alertes et n'a pas de modèle de rapport. Le cadre d'alertes liste 13 catégories incluant Windows Patch Management, Bitdefender et CrowdStrike. Vulnérabilité et CVE n'en font pas partie. Le catalogue de rapports inclut un modèle de conformité des correctifs en 10 sections, mais aucun équivalent pour la gestion des vulnérabilités.
• Automox nécessite un scanneur externe pour détecter les CVE. La page Remédiations importe des exports CSV depuis Qualys, Tenable, Rapid7 ou CrowdStrike, puis fait correspondre ces CVE à son catalogue de correctifs. Il n'effectue aucune détection indépendante.
• ManageEngine et Automox n'ont pas de canal d'alerte sortant. ManageEngine n'a pas de configuration SMTP à aucune couche : paramètres globaux, préférences par utilisateur ou livraison par rapport. La documentation web d'Automox liste le support Slack, Teams et webhook, mais cela n'a pas été vérifié dans la console pendant les tests.
• NinjaOne a désinstallé Automox deux minutes après l'installation sur la même VM Windows. Le journal d'activités a enregistré : « Logiciel désinstallé : 'Automox Agent', Utilisateur : System. » La désinstallation était incomplète : l'enregistrement du service et les fichiers programme sont restés. Sur Linux, ManageEngine, Action1 et NinjaOne ont fonctionné côte à côte sans qu'un agent n'en supprime un autre.

Métriques mesurées

Latence de détection : Un binaire connu comme vulnérable a été installé sur un endpoint propre avec l'horodatage de fin d'installation enregistré à la seconde près. Le chronomètre s'est arrêté lorsque la CVE est apparue dans le panneau des vulnérabilités du produit.

Précision de détection : Des logiciels avec des historiques CVE bien documentés ont été installés sur Windows et Linux via trois chemins : MSI/EXE (suivi par registre), dpkg (gestionnaire de paquets) et archive tar du fournisseur extraite dans /opt/ (hors gestionnaire de paquets).

Empreinte endpoint : Toutes les mesures ont utilisé pidstat au niveau processus pour capturer RSS (taille de l'ensemble résident) par processus, excluant le cache de pages au niveau cgroup. Les mesures Windows ont utilisé Get-Counter (\Process(*)\Working Set - Private) échantillonné toutes les 5 secondes sur une fenêtre de 10 minutes. Le moteur d'analyse à lancement à la demande de ManageEngine a été mesuré séparément au repos et pendant une analyse active. Les quatre agents Linux ont fonctionné simultanément sur le même hôte Ubuntu 24.04 ; les mesures Windows ont été prises sur une VM Windows Server 2022 distincte.

Déploiement des correctifs : Le temps de déploiement a été mesuré depuis la confirmation dans l'interface jusqu'au rapport de complétion du produit. L'état post-déploiement a été vérifié directement sur l'endpoint via l'historique de Windows Update pour distinguer « binaire écrit sur le disque » de « correctif appliqué et actif », une distinction qui compte lorsqu'un redémarrage est requis pour terminer l'installation.

Accès à l'essai : Chaque essai a été tenté d'abord avec une adresse Gmail, puis avec une adresse institutionnelle lorsque Gmail était rejeté. Les étapes de la page d'accueil à un tableau de bord utilisable avec les installateurs d'agents visibles ont été comptées. Le temps entre la soumission du formulaire et la connexion du premier agent a été enregistré.

Livraison des alertes : Une règle d'alerte personnalisée a été créée dans chaque produit et déclenchée par un événement d'installation logicielle. Le temps de livraison et la structure du contenu de l'email ont été enregistrés. Lorsque les alertes cessaient de se déclencher, les journaux côté agent ont été inspectés pour identifier la cause.

Meilleurs outils de gestion des vulnérabilités

1. NinjaOne Vulnerability Management

NinjaOne est une plateforme UEM/RMM qui a ajouté un module VM en mars 2026. Sa gestion des correctifs est mature ; la couche de détection des vulnérabilités ne l'est pas.

Accès à l'essai : NinjaOne est via l'équipe commerciale. Après avoir soumis le formulaire d'essai, la réponse a été « Nous vous contacterons prochainement ». L'accès est venu sous la forme d'un Technicien ajouté à un tenant existant partagé plutôt qu'un nouvel environnement isolé.

L'écran d'intégration a immédiatement affiché : « Vous n'avez pas les permissions pour gérer les Appareils. Veuillez contacter votre Administrateur Système pour obtenir de l'aide. » Le déploiement d'appareils était indisponible sous le rôle Technicien.

Couverture des appareils : Le menu Ajouter un appareil couvre plus que tout autre outil testé : ordinateurs (Windows, Linux, Mac), appareils mobiles (Apple, Android), infrastructure virtuelle (Hyper-V, VMware), moniteurs cloud (ping, scan de ports, DNS, HTTP/HTTPS) et découverte réseau. Aucun autre outil de cette comparaison ne s'en approche.

Détail des appareils : Chaque appareil dispose de graphiques horaires en direct pour le CPU, la mémoire, le disque et le réseau, ainsi qu'un inventaire matériel complet.

La section Détails énumère les ports ouverts en ligne : RDP sur 3389, SMB sur 445 et 10 autres étaient visibles sans lancer d'analyse séparée.

Le menu Outils fournit le Registre à distance, le Gestionnaire de tâches, l'Explorateur de fichiers et le Gestionnaire de services accessibles depuis le navigateur, tous en direct. Le bureau à distance complet nécessite un téléchargement séparé du client natif.

Détection CVE : L'inventaire logiciel a détecté Firefox en 35 secondes. L'onglet Vulnérabilités affichait 0 résultat à la marque des 5 minutes, à la marque des 30 minutes et à la marque des 3 heures, sur les appareils Windows et Linux et avec tous les filtres effacés. Le fichier de liste CVE côté agent est resté à 44 octets depuis l'installation jusqu'à plus de 5 heures, inchangé.

La corrélation CVE côté serveur n'a jamais été déclenchée pendant l'essai. Il n'a pas été possible de déterminer si cela reflète une restriction du niveau d'essai ou une exigence de configuration non satisfaite. L'onglet Vulnérabilités s'est rempli avec 85 CVE environ 24 heures après l'installation de l'agent, la colonne Sources affichant « NinjaOne Patching », le propre catalogue de correctifs de l'outil, et non le NVD.

Intégration des alertes : La section Activités de la politique liste 13 catégories d'alertes : Bitdefender, CrowdStrike, SentinelOne, Webroot, ImageManager, Backup, ShadowProtect, Logiciel, Système, Utilisateur, Windows, Windows Patch Management et Raid. Il n'y a pas de catégorie Vulnérabilité ou CVE. Le module VM ne produit aucune alerte.

Rapports : Le catalogue de modèles de rapports inclut un modèle de conformité des correctifs avec 10 sections couvrant les correctifs échoués, les correctifs en attente, les pourcentages de correctifs installés et l'activation des correctifs OS. Il n'y a pas de modèle de gestion des vulnérabilités.

Comportement de l'agent envers les autres outils : NinjaOne s'est enregistré sur la VM Windows de test. À 11h31, le journal d'activités a enregistré : « Logiciel désinstallé : 'Automox Agent', Version : '2.5.70', Utilisateur : '<System>' » deux minutes après l'enregistrement, via une action système automatisée. La suppression était incomplète ; voir les Principales conclusions pour plus de détails.

Empreinte endpoint : Pic mémoire de l'agent Linux : 116 Mo. Windows : quatre processus totalisant environ 127 Mo de jeu de travail, 92 secondes de CPU sur trois heures.

NinjaOne est une plateforme UEM/RMM qui a ajouté un module VM. La couche d'inventaire logiciel de l'agent fonctionne bien ; la couche de corrélation CVE dépend d'un traitement côté serveur qui était inactif pendant la période d'essai.

Principales différences :

• L'inventaire logiciel est précis et rapide : Firefox 115.12.0 est apparu dans le tableau de bord en 35 secondes après l'installation
• La corrélation CVE était inactive pendant toute la durée des tests. Le fichier NinjaWPM-cve-patch-list.json est resté à 44 octets pendant plus de 5 heures ; l'onglet Vulnérabilités s'est rempli avec 85 CVE environ 24 heures après l'installation de l'agent, en contradiction avec le positionnement « temps réel alimenté par l'IA »
• Support le plus large des types d'appareils : Windows, Linux, macOS, iOS, Android, Hyper-V, VMware, surveillance ping cloud et découverte réseau
• Le module VM ne génère aucune alerte (pas de catégorie « Vulnérabilité » dans le cadre d'alertes Activités) et n'a pas de modèle de rapport dédié
• Sous Windows, l'agent a supprimé Automox 2 minutes après l'installation via une règle de stratégie Windows Server, laissant des fichiers orphelins ; aucun comportement équivalent sous Linux

2. ManageEngine Vulnerability Manager Plus

ManageEngine VMP est le seul scanneur de vulnérabilités dédié de cette comparaison. La détection fonctionne indépendamment de la disponibilité des correctifs ; les vulnérabilités sont signalées même lorsqu'aucun correctif n'existe.

Accès à l'essai. Libre-service, aucun contact commercial requis. Le formulaire d'inscription accepte Gmail. Après soumission, le tableau de bord se charge immédiatement avec un compteur de 30 jours. Une fenêtre modale de demande de démo apparaît mais a un bouton Passer visible ; ce n'est pas un mur. L'interface se charge en turc selon l'adresse IP, le seul outil de cette comparaison avec une localisation non anglaise. L'instance de la région UE est attribuée automatiquement.

Intégration : L'écran Démarrage affiche quatre étapes de flux de travail : Prérequis, Paramètres des correctifs, Déploiement et Flux de travail de gestion des correctifs. Trois des quatre sont axés sur les correctifs. Le cadrage est détecter-puis-corriger, pas détection en temps réel.

Tableau de bord : S'ouvre sur un onglet Vulnérabilités avec une Matrice d'âge des vulnérabilités, des compartiments gravité × âge montrant depuis combien de temps les résultats sont ouverts. Un flux Dernières actualités de sécurité affiche les avis de sécurité des fournisseurs en direct dans le panneau de droite.

Le panneau gauche de la vue Systèmes segmente les appareils par état opérationnel : Hautement vulnérable, Vulnérable, Sain, Redémarrage en attente, Déploiement de correctif échoué, Systèmes sans contact avec l'agent, Systèmes EOL et Zero-day trouvé. L'appareil est apparu dans la liste en quelques secondes après l'installation de l'agent.

L'analyse initiale s'exécute en deux passes. Une bannière confirme que des résultats limités sont affichés en premier ; l'analyse complète se termine en quelques minutes. Les correctifs manquants sont passés de 0 à 8 entre les deux passes.

Détail de l'appareil : La vue détaillée de l'appareil couvre plus de terrain que tout autre outil testé.

L'onglet Résumé affiche quatre graphiques en anneau de gravité des menaces côte à côte : Correctif, Vulnérabilités logicielles, Mauvaises configurations système et Mauvaise configuration du serveur web. L'endpoint de test Windows Server 2022 standard a montré 7 correctifs manquants, 28 vulnérabilités logicielles et 54 mauvaises configurations.

L'onglet Logiciels et composants liste chaque composant installé avec les compteurs Correctifs manquants, Correctifs installés et Vulnérabilités par ligne. Windows Server 2022 lui-même portait 16 vulnérabilités ; Curl pour Windows, livré avec l'image OS et non installé par l'utilisateur, en portait 10.

L'onglet Vulnérabilités est une liste au niveau CVE avec le statut d'exploit, la disponibilité des correctifs, le score CVSS 3.0, la version détectée, la date de publication et la date de support par ligne. Les scores CVSS allaient de 4,3 à 9,9 sur l'endpoint standard.

L'onglet Correctifs catégorise les correctifs manquants en Mises à jour de sécurité, Optionnelles, Tiers, Pilotes, Service Pack et BIOS, avec des actions Installer/Publier les correctifs et Refuser le correctif en ligne.

L'onglet Configuration de sécurité est une liste de vérification de durcissement de style CIS/STIG. Chaque ligne corrigible a un lien « Déployer la configuration sécurisée » — les résultats se connectent directement à la remédiation en un clic. L'endpoint de test avait 30 éléments, y compris TLSv1.1 activé, BitLocker désactivé, Pare-feu Windows non détecté, seuils de verrouillage de compte non configurés et niveau d'authentification LAN Manager mal configuré.

L'onglet Audit des ports mappe chaque port ouvert au binaire responsable avec le chemin complet de l'exécutable. Le port 3389 mappe à svchost.exe, le port 445 à ntoskrnl.exe ; Chrome et Edge sont listés séparément sur 5353.

Vue des menaces à l'échelle du parc : La navigation Menaces couvre huit sous-sections sur l'ensemble du parc.

Les vues Vulnérabilités et CVE détectées affichent les scores CVSS 3.0 et CVSS 2.0 en colonnes parallèles. Le produit conserve le CVSS 2.0 hérité pour les organisations qui l'utilisent encore comme référence.

Mauvaises configurations système agrège les lacunes de durcissement à l'échelle du parc avec une action « Déployer la configuration sécurisée » par ligne.

Logiciels à haut risque suit les dates de fin de vie. Windows Server 2022 est apparu avec sa date EOL du 14 octobre 2031 et un compteur de 1 990 jours restants.

Gérer les exceptions permet d'accepter des menaces spécifiques par groupe d'appareils. Aucune exception n'a été définie pendant les tests ; l'infrastructure est présente.

Section Correctifs : La barre latérale gauche affiche les compteurs en direct : Manquants 9, Installés 3, Applicables 12, Supportés 106 973, Derniers 2 195. Chaque page de correctif a des Liens rapides intégrés avec des tutoriels, une base de connaissances et une documentation FAQ intégrés dans le flux de travail plutôt qu'accessibles séparément.

Le catalogue de correctifs supportés couvre 106 973 entrées d'Adobe, Microsoft, Mozilla, Splunk, Oracle et autres. La vue Derniers correctifs affiche 2 195 entrées récemment ajoutées triées par date de publication. Refuser le correctif bloque des correctifs spécifiques par groupe d'appareils. Télécharger en attente accepte des correctifs personnalisés pour les logiciels hors catalogue.

Déploiement des correctifs : L'assistant de déploiement couvre : opération Installer vs Désinstaller (rollback intégré), Déployer directement vs Publier sur le portail libre-service, sélecteur de politique de déploiement, date « Forcer le déploiement après » pour l'application des SLA et ciblage par périmètre par bureau distant et ordinateur individuel.

Une mise à jour de définition Defender a été déployée lors du test, terminée avec Statut : Réussi et Remarques : « Cette version existe déjà. » Le produit a détecté que le correctif avait déjà été appliqué et ne l'a pas réinstallé. La nouvelle tentative automatique en cas d'échec est par défaut de 2 tentatives.

Gestion du parc d'agents. La section Agent affiche la santé du parc d'agents, y compris l'actualité des versions, l'heure du dernier contact, le statut de synchronisation AD, la gestion des bureaux distants et la politique des ordinateurs inactifs.

Empreinte endpoint : Cinq processus au repos, RAM combinée au repos d'environ 83 Mo. Le moteur d'analyse dcpatchscan se lance uniquement pendant les analyses — non visible au repos. Pendant une analyse, il a consommé environ 160 Mo de RAM et 100% d'un cœur CPU sur Windows, contre environ 144 Mo et 16% d'un cœur sur Linux. La conception à lancement à la demande signifie que l'empreinte au repos reste bien en dessous des bases continues de NinjaOne (116–127 Mo) et Action1 (51 Mo).

Latence de détection : Analyse manuelle : 5 à 6 minutes. Cycle automatique : fixé à 90 minutes, non configurable par l'utilisateur. Les nouvelles entrées du flux CVE se propagent en jusqu'à 25 heures (synchronisation quotidienne de la base de données plus un cycle de rafraîchissement de 90 minutes). La page Admin > Paramètres de l'agent n'a pas de champ d'intervalle de rafraîchissement ; les demandes d'ajout sont ouvertes sur le forum officiel sans résolution.

Alerte et notification : Aucun canal d'alerte sortant n'existe à aucune couche : pas de SMTP dans les Paramètres globaux, pas de préférence de notification par utilisateur, pas de planification de rapport ou de livraison par email. La page Audit > Alertes enregistre les événements internes (perte de contact de l'agent, correctifs échoués, nouveaux endpoints) mais ne peut pas les router vers l'extérieur.

Rapports : Plus de 16 rapports prédéfinis dans six catégories (Correctif, Système, APD, Configuration, SSP, Menace). Pas de constructeur de rapports personnalisés. Sélecteur de colonnes et filtres disponibles dans les rapports prédéfinis. Pas de préréglages de plage de dates. Export : PDF, CSV, XLSX. Une clause de non-responsabilité GDPR nécessite une confirmation avant chaque export. Pas de livraison planifiée ou par email.

Principales différences :

• 11 modules dans un seul produit : Évaluation des vulnérabilités, Conformité, Gestion des correctifs, Analyse des périphériques réseau, Gestion de la configuration de sécurité, Atténuation Zero-Day, Durcissement du serveur web, Audit des logiciels à haut risque, Audit antivirus, Audit des ports et Rapports
• Catalogue de 106 973 correctifs ; options de déploiement cloud et sur site ; instance SaaS région UE
• Le cycle d'analyse automatique est fixé à 90 minutes et n'est pas configurable par l'utilisateur (demandes de fonctionnalité sur le forum non résolues) ; le nouveau flux CVE prend jusqu'à 25 heures pour se propager (synchro DB + un cycle de rafraîchissement)
• Pas de canal d'alerte sortant : SMTP est absent à chaque couche de configuration

3. Automox

Automox est une plateforme d'automatisation des correctifs, pas un scanneur de vulnérabilités. Sa capacité de gestion des vulnérabilités est construite autour de l'importation des résultats de scanneurs de Qualys, Tenable, Rapid7 ou CrowdStrike plutôt que d'effectuer une détection CVE indépendante.

Accès à l'essai : Essai de 15 jours, pas de carte de crédit requise. Gmail est rejeté — un email professionnel est obligatoire. Après soumission, le flux ajoute deux étapes supplémentaires avant le tableau de bord : un écran de connexion séparé et une 2FA obligatoire par email. Le mot de passe minimum est de 12 caractères, le plus strict des quatre outils. Instance globale unique à console.automox.com, pas d'options régionales.

Installation de l'agent : La fenêtre modale Ajouter des appareils affiche l'UUID de la clé d'accès, une liste déroulante OS, un bouton Télécharger l'installateur et la ligne de commande d'installation silencieuse équivalente : Automox_Installer-2.5.70.msi ACCESSKEY=<uuid>. Un binaire, une clé, le flux d'installation le plus simple des quatre outils testés.

L'installateur exécute un contrôle de santé post-installation en ligne avant de se fermer : démarrage du service, test du démon, rapport IRS (Installation Result Service). Il ne se ferme pas avant d'avoir confirmé « Configuration réussie ! », éliminant l'ambiguïté de savoir si l'agent s'est réellement connecté.

L'appareil est apparu dans la liste Appareils en 1 à 2 minutes avec un tag « Récemment ajouté ».

Détail de l'appareil : Le détail de l'appareil a quatre onglets : Résumé, Santé, Réseau et Système. Aucune politique n'a été assignée à l'installation ; l'agent a été enregistré dans le groupe Par défaut sans calendrier de correctifs attaché. ManageEngine applique automatiquement une portée d'analyse par défaut ; Automox nécessite une assignation explicite de politique avant que quoi que ce soit ne s'exécute.

Inventaire logiciel et langage de gravité : La liste des logiciels au niveau de l'appareil utilise des valeurs de gravité empruntées au catalogue de mises à jour Microsoft : Critique, Inconnu ou « Aucune CVE connue ». Il n'y a pas de score CVSS NVD. La colonne Dernière version est vide pour toutes les lignes ; Automox suit si une mise à jour existe, pas la version en amont. Jours exposés mesure depuis combien de temps un correctif est en attente, pas depuis combien de temps une CVE a été publiée.

Tableau de bord : Le principal KPI est la matrice Nombre de correctifs en attente : lignes de gravité (Critique / Élevé / Moyen / Faible / Inconnu) × colonnes d'âge (plus de 90 jours, 61–89, 31–60, 16–30, ≤15 jours). Dépannage des appareils signale : Redémarrage requis, Tentatives de mise à jour échouées, Déconnecté depuis plus de 30 jours, Non compatible. Pas de nombre de CVE, pas de score de gravité des vulnérabilités nulle part sur le tableau de bord.

Architecture des politiques : Trois types de politiques : Politique de correctifs (avec sous-types Avancé, Tout corriger, Tout corriger sauf, Corriger uniquement, Approbations manuelles, Gravité), Politique de logiciels requis et Worklet. Il n'y a pas de politique d'analyse des vulnérabilités ou de type de politique basée sur les CVE. La section Planification offre un bouton radio Patch Tuesday qui s'aligne automatiquement sur le cycle de publication du deuxième mardi de Microsoft.

Catalogue Worklet : Les Worklets sont des modèles de scripts shell pour les tâches de configuration. Les catégories sont Préférences Système, Sécurité et Cycle de vie des logiciels. Aucune catégorie Vulnérabilité n'existe.

Page Remédiations : le signal architectural central. La page Remédiations sous Automatiser a une action : Importer. Le filtre Fournisseur CSV liste Rapport générique, CrowdStrike, Qualys, Rapid7 et Tenable Vulnerability Management. Les colonnes du tableau sont Vulnérabilités corrigibles, Vulnérabilités non correspondantes et Appareils inconnus. Automox mappe la sortie d'un scanneur tiers à son propre catalogue de correctifs et montre quelles CVE il peut remédier. Il n'effectue pas sa propre détection CVE.

Gérer > Logiciels : inventaire global du parc. La vue Logiciels au niveau du parc ajoute un filtre « Vulnérabilité ou CVE-ID », confirmant que les données CVE existent dans le système à un certain niveau. Cependant, la colonne Gravité affiche toujours des catégories de méta-données KB, pas des scores CVSS. Les colonnes Jours exposés, Ignoré et Impacté sont disponibles pour le triage au niveau du parc.

Agent Linux : L'agent Linux a inventorié 746 paquets. La liste des logiciels affiche les colonnes Version installée, Version disponible, Jours exposés, Gravité, Liste KEV et EPSS. Les colonnes KEV et EPSS sont vides pour toutes les entrées ; les colonnes existent dans le schéma mais ne sont pas remplies. La gravité reflète le signal du catalogue de correctifs, pas le NVD.

Angles morts du catalogue de correctifs : Firefox ESR 115.12.0 sur Windows affichait Installé 115.12.0, Disponible 140.10.2, Jours exposés 9, Gravité « Aucune CVE connue » — environ 25 versions de publication et des milliers de CVE séparent ces deux versions, mais le catalogue ne porte aucun signal CVE pour cet écart de version. LibreOffice 7.1.8.1 sur Linux (14 paquets installés, plus de 100 CVE NVD documentées) affichait tous les paquets comme « Installé » avec Version disponible vide et Gravité vide. Le fournisseur est passé de la branche 7.1 à la série 24.x, donc aucune entrée de mise à jour n'existe dans le catalogue, et l'outil ne retourne aucun signal de vulnérabilité.

Empreinte endpoint : Pic de l'agent Linux : 8,8 Mo, le plus léger des quatre outils testés, malgré aucune revendication marketing sur l'empreinte. L'empreinte Windows n'a pas été mesurée : la politique de NinjaOne a supprimé l'agent Automox 2 minutes après l'enregistrement de NinjaOne sur la même VM, donc aucune référence Windows n'a été capturée.

Principales différences :

• Automatiser → Remédiations : accepte les exports CSV de Qualys, Tenable, Rapid7, CrowdStrike ou un format générique ; mappe les CVE aux éléments corrigibles et affiche les compteurs Corrigibles vs Non correspondants
• Les labels de gravité sont empruntés aux classifications du catalogue de mises à jour Microsoft (Critique / Inconnu / Aucune CVE connue), pas aux scores CVSS NVD
• La détection par catalogue de correctifs produit des angles morts systématiques : LibreOffice 7.1.8.1 et Firefox ESR 115.12.0 ont tous deux retourné « Aucune CVE connue » malgré des centaines de CVE documentées, car aucune mise à jour de catalogue n'existe pour ces branches de version
• Agent le plus léger du groupe à 8,8 Mo de pic sur Linux — malgré aucune revendication marketing sur l'empreinte
• Trois types de politiques : Politique de correctifs (avec planification compatible Patch Tuesday), Politique de logiciels requis et Worklet (modèles de scripts shell/PowerShell)
• L'essai nécessite une adresse email professionnelle ; Gmail rejeté

4. Action1

Action1 est une RMM cloud-native avec un pipeline de vulnérabilités Windows performant. Sur Linux, il inventorise les paquets et suit les deltas de version mais ne produit aucune sortie CVE. Les deux comportements OS sont architecturalement différents et doivent être évalués séparément.

Accès à l'essai : Libre-service, Gmail accepté, aucun contact commercial. Après soumission du formulaire, un code de confirmation arrive par email ; le saisir atterrit directement dans le tableau de bord avec les installateurs d'agents prêts. Pas d'assistant d'intégration, pas de formulaire de demande d'essai, pas de période d'attente.

Installation de l'agent Windows : L'installateur fait 6,9 Mo et se termine en 67 secondes. Un email de confirmation arrive immédiatement après, et le panneau affiche : « L'agent a été installé avec succès. Votre endpoint est maintenant connecté au cloud Action1. »

Installation de l'agent Linux : L'agent Linux fait 2,3 Mo (.deb) et s'installe en 5 à 6 secondes via une seule commande curl + apt. L'ID d'organisation est intégré dans le paquet ; aucune configuration post-installation n'est nécessaire. Trois chemins de déploiement sont proposés : Interactif (pour les nouveaux utilisateurs), Sans surveillance et Direct. RPM est également disponible pour les systèmes de la famille Red Hat. Après l'installation, l'agent a détecté une mise à niveau du noyau en attente et a correctement signalé l'endpoint Linux comme « Redémarrage requis », lisant l'état OS spécifique à la distribution plutôt que d'appliquer la logique Windows à Linux.

Tableau de bord : Sans aucun déclenchement d'analyse manuelle, 114 vulnérabilités et 3 mises à jour manquantes sont apparues en quelques minutes après la mise en ligne de l'agent Windows. Le tableau de bord s'articule autour de deux widgets de triage : une jauge de conformité de remédiation des vulnérabilités avec des bandes SLA (Critique : 1-7 jours, Élevé : 8-30 jours, Moyen : 31-90 jours, Faible : plus de 90 jours) et une matrice de répartition des échéances de remédiation des vulnérabilités montrant la gravité × le statut de dépassement SLA. La même disposition est répétée pour les mises à jour. Une bannière marketing de niveau gratuit et des boutons de partage social apparaissent également sur le tableau de bord.

Liste des vulnérabilités et priorisation CVE : La page Vulnérabilités affiche l'ID CVE, le score CVSS, le drapeau CISA KEV, la date de publication, le statut de remédiation, le logiciel vulnérable (avec le chemin complet de la version) et le nombre d'endpoints affectés. CISA KEV est une colonne de premier niveau qui fait remonter les CVE activement exploitées dans la nature, un signal de triage plus fort que le CVSS seul. EPSS est absent.

Panneau de détail CVE : Chaque CVE ouvre un panneau latéral avec trois onglets : Endpoints (machines affectées avec un bouton Démarrer la remédiation), Logiciel vulnérable (logiciel affecté par plateforme) et Détails. L'onglet Détails inclut le score de base CVSS, le score d'impact, le score d'exploitabilité, la décomposition du sous-vecteur CVSS sous forme lisible, le drapeau d'association ransomware, les liens multi-sources (NVD, NVD++ via VulnCheck, avis du fournisseur) et une échéance de remédiation auto-calculée basée sur la gravité. Les CVE critiques reçoivent un SLA de 7 jours ; les CVE Moyennes-Élevées reçoivent 30 jours, calculés rétroactivement à partir de la date de publication de la CVE.

Latence de détection : Firefox ESR 115.0esr a été installé avec un drapeau silencieux, et l'horodatage de fin d'installation a été enregistré à la seconde près. L'agent a téléchargé l'inventaire logiciel vers le cloud à T+4 minutes 33 secondes ; le cloud a accusé réception 1 seconde plus tard ; la liste des vulnérabilités a été remplie avec les CVE de Firefox en 11 minutes après l'installation. L'agent utilise un intervalle de polling de 5 minutes. Le label marketing « temps réel » est inexact ; « quasi temps réel / polling de 5 minutes » est la description correcte. Aucun déclenchement d'analyse manuelle n'est requis, ce qui le différencie des outils à analyse planifiée.

Détection CVE Linux (absente) : Un paquet Firefox ESR 102.15.1 délibérément vulnérable (EOL depuis septembre 2023, plus de 50 CVE non corrigées) a été installé via dpkg. L'agent a détecté l'installation en 66 secondes et a envoyé la version correcte au cloud. La charge utile cloud a montré : "CVE": "", "Security Severity": "Unspecified". La page Vulnérabilités affichait « Aucun logiciel vulnérable ». La même version de Firefox sur Windows a produit plus de 11 CVE avec des scores CVSS de 9,8 à 10. L'agent Linux d'Action1 est un traqueur de delta de version : il enregistre la version installée, la dernière version et la disponibilité des mises à jour, mais n'effectue aucune recherche dans la base de données CVE pour les paquets Linux.

Déploiement des correctifs : Deux flux parallèles existent. Le flux piloté par les vulnérabilités va : détail CVE > Démarrer la remédiation > assistant en 3 étapes. Trois stratégies sont disponibles : Déployer les mises à jour, Désinstaller le logiciel et Documenter les contrôles compensatoires. La troisième est notable ; elle permet de documenter l'acceptation du risque pour les logiciels qui ne peuvent pas être corrigés. Le flux piloté par les mises à jour via Approbation des mises à jour ajoute le partage de fichiers P2P basé sur LAN pour les agences, l'orchestration de redémarrage (redémarrage automatique avec une popup configurable et un délai), et l'option de désactiver entièrement les mises à jour natives de Windows pour que seuls les correctifs approuvés par Action1 se déploient. Ces capacités n'existent que dans le flux piloté par les mises à jour ; l'assistant piloté par les vulnérabilités ne les propose pas.

Temps de déploiement du correctif pour KB5082142 : 1 minute de Exécuter maintenant au statut Succès. Cependant, « Succès » dans le moteur d'automatisation signifie que le binaire a été écrit sur le disque, pas que le correctif est actif. Sans redémarrage, la page Vulnérabilités a continué d'afficher la CVE corrigée comme En retard parce que l'OS n'avait pas encore appliqué le changement. Le moteur d'automatisation a étiqueté l'opération comme un succès ; le scanneur de vulnérabilités a continué d'afficher la CVE comme En retard — le comportement correct, puisque le correctif nécessite un redémarrage pour prendre effet. Après redémarrage, la CVE a été retirée de la liste.

Alertes et notifications : Les alertes sont construites sur les rapports : un utilisateur s'abonne aux changements (Créé / Supprimé / Modifié) dans les données d'un rapport nommé. Les emails d'alerte arrivent rapidement et incluent des champs structurés : Fournisseur, Version, Type d'installation et Installé pour. Le champ destinataire accepte une seule adresse email ; il n'y a pas de canal Slack, Teams ou webhook. Un mécanisme de suppression silencieuse existe : après le N-ième déclenchement de la même règle dans une fenêtre de temps, la règle cesse de se déclencher sans aucune indication dans l'interface. L'état de suppression n'est visible que dans le journal local de l'agent. Les utilisateurs attendant des alertes après le dépassement du seuil de suppression n'ont aucun moyen de découvrir la cause depuis l'interface.

Empreinte endpoint : Mesurée sur 10 minutes pendant une installation de Firefox, une analyse et un cycle d'évaluation d'alerte : CPU moyen 0,013%, pic CPU 1,56% au moment où le cycle de polling s'est déclenché, RAM stable à 51,7 Mo avec une bande de 0,14 Mo sur toute la fenêtre, IO disque proche de zéro sauf pour de brèves écritures de cache d'analyse. L'affirmation « zéro impact endpoint » est étayée par la mesure. Des tests de charge synthétique lourds n'ont pas été exécutés.

Rapports : Le constructeur de rapports propose deux types (Résumé avec regroupement, Simple pour les tableaux plats), un sélecteur de colonnes, une étape de filtrage, une livraison planifiée, S'abonner, un export CSV et un export PDF. Cinq catégories de rapports intégrés incluent la gestion des vulnérabilités avec cinq sous-rapports : Sélectionner les vulnérabilités, Toutes les vulnérabilités critiques, Contrôles compensatoires documentés, Vulnérabilités connues exploitées et Résumé des vulnérabilités. Tous sont des vues d'état actuel. Il n'y a pas de rapport intégré « CVE corrigées au fil du temps » ou « Historique des correctifs par CVE ». Une CVE corrigée est retirée de la liste ; elle ne passe pas à un état résolu. Reconstituer quelle CVE a été fermée à quelle date nécessite de croiser manuellement l'historique d'automatisation, qui a lui-même un problème de pollution d'historique dû aux entrées Exécuter maintenant en double.

Principales différences :

• Détection Windows en ≤11 minutes depuis l'installation de l'agent (polling de 5 minutes) ; téléchargement installation-vers-cloud mesuré à 4 minutes 33 secondes
• Panneau de détail CVE : CVSS + drapeau CISA KEV + association ransomware + SLA basé sur la gravité (Critique 7 jours, Moyen/Élevé 30 jours, auto-calculé depuis la date de publication) + liens multi-sources (NVD, NVD++, avis du fournisseur)
• Agent Linux : 2,3 Mo .deb, s'installe en 5–6 secondes, systemd auto-activé ; RPM également disponible. Inventorie les paquets dpkg en ~66 secondes mais ne produit aucune sortie CVE — la charge utile de l'agent retourne "CVE": "", "Security Severity": "Unspecified". L'installation de Firefox 102 EOL sur Linux a laissé la liste des vulnérabilités vide.
• Empreinte de l'agent vérifiée par pidstat : 51,7 Mo stable, moyenne 0,013% CPU, pic 1,56% pendant l'analyse
• Notifications d'alerte limitées à une seule adresse email ; pas de Slack, Teams ou webhook ; les règles d'alerte cessent silencieusement de se déclencher après N déclenchements sans indication dans l'interface
• Rapports : Constructeur personnalisé + 5 catégories de sous-rapports VM (Sélectionner / Critique / Compensatoire / KEV / Résumé) + Planifier + S'abonner ; pas de rapport intégré « CVE corrigées au fil du temps »

Méthodologie

Endpoints : Windows Server 2022 Standard 21H2 (Build 20348.3207) et Ubuntu 24.04.4 LTS (noyau 6.8.0-111). Les quatre agents ont fonctionné simultanément sur l'hôte Linux. Sur Windows, NinjaOne et Automox ont été installés séquentiellement sur la même VM.

Logiciels vulnérables : Firefox ESR 115.12.0, 7-Zip 19.00, Edge 148 (Windows) ; Node.js 18.19.1, vsftpd 3.0.5, Apache 2.4.58, LibreOffice 7.1.8.1, archive tar du fournisseur /opt/firefox-115.0esr/ (Linux).

Mesure : pidstat (RSS et CPU au niveau processus), Get-Counter (compteurs de performance Windows), pywinrm et paramiko (exécution de commandes à distance). Métriques au niveau cgroup exclues pour éviter l'inflation du cache de pages.

Ne manquez pas nos benchmarks et analyses basées sur les données. Le bouton ouvre Google ; sélectionner AIMultiple confirme que vous souhaitez voir AIMultiple plus souvent dans les résultats de recherche Google.

Ajouter comme source préférée

FAQ

Citer cette recherche

Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.

@misc{dogan2026,
  author = {Dogan, Sedat and Sezer, Sena},
  title  = {{Meilleurs outils de gestion des vulnérabilités}},
  year   = {2026},
  month  = jul,
  howpublished    = {\url{https://aimultiple.com/vulnerability-management-tools}},
  note   = {AIMultiple. Consulté le 24 Juillet 2026}
}

Sedat Dogan

CTO

Suivre

Sedat est un expert en technologies et sécurité de l'information, fort d'une expérience en développement logiciel, collecte de données web et cybersécurité. Sedat : - Possède 20 ans d'expérience en tant que hacker éthique et expert en développement, avec une vaste expertise des langages de programmation et des architectures serveur. - Conseille les dirigeants et membres du conseil d'administration d'entreprises dont les opérations technologiques critiques et à fort trafic sont telles que les infrastructures de paiement. - Allie un sens aigu des affaires à son expertise technique.

Voir le profil complet

Recherche effectuée par

Sena Sezer

Analyste du secteur

Suivre

Sena est analyste sectorielle chez AIMultiple. Elle a obtenu sa licence à l'Université de Bogazici.

Voir le profil complet

Soyez le premier à commenter

Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.

Nom

Adresse email

Commentaire

0/450

Publier un commentaire