Les 5 meilleurs prestataires de services de gestion des vulnérabilités en 2026

Principaux enseignements

• Arctic Wolf, Critical Start et Rapid7 se chargent de l'analyse, tandis que votre équipe continue généralement à appliquer les correctifs.
• Optiv s'adresse aux équipes qui effectuent déjà des analyses mais qui ont besoin d'un plan de correction et d'une aide concrète pour le mettre en œuvre.
• TuxCare fournit les correctifs proprement dits, notamment les mises à jour de sécurité pour les produits en fin de vie et les correctifs du noyau ne nécessitant pas de redémarrage.
• Avant de signer quoi que ce soit, demandez qui applique chaque correctif et qui vérifie qu'il a bien été intégré.

Lorsque vous recherchez un prestataire de services de gestion des vulnérabilités, les résultats regroupent quatre types d'entreprises très différentes. Certaines vendent des logiciels que votre équipe utilise. D'autres gèrent le programme à votre place. D'autres encore évaluent vos infrastructures existantes et vous aident à les réorganiser, tandis que quelques-unes fournissent elles-mêmes les correctifs.

Les cinq prestataires ci-dessous n’ont pas été sélectionnés sur la base d’un seul tableau de bord. Chacun d’entre eux représente une approche différente pour externaliser une partie du travail ; il est donc utile de comparer les modèles en fonction de ce que votre équipe n’est pas en mesure de prendre en charge. Pour chaque prestataire, vous découvrirez ses missions, ses limites et ses tarifs.

Le rôle d'un prestataire de services de gestion des vulnérabilités

Un prestataire de services de gestion des vulnérabilités prend en charge une partie du travail consistant à identifier, hiérarchiser et corriger les failles de sécurité. La part de ce travail dont vous êtes effectivement déchargé dépend du modèle que vous choisissez ; le tableau ci-dessous indique les tâches que chaque modèle confie à votre équipe.

Modèle	Qui effectue la numérisation ?	Qui s'occupe du triage ?	Qui applique les correctifs ?	Contrat type	Exemples
Fournisseur d'outils	Votre équipe	Votre équipe	Votre équipe	Abonnement logiciel, dont le prix est souvent fixé en fonction du nombre d'actifs	Qualys, Tenable (non présenté ici)
Fournisseur géré (VMaaS)	Prestataire	Prestataire	En général, votre équipe, à moins que vous n'ajoutiez une option de mise à jour	Abonnement défini par adresse IP, ressource ou serveur	Arctic Wolf, Rapid7, Critical Start
Entreprise axée sur l'évaluation	Cela varie selon le type d'engagement	Des consultants qui travaillent avec votre équipe	Votre équipe ou des consultants de niveaux supérieurs	Projet ou contrat de prestations	Optiv
Partenaire en assainissement	Votre scanner	Votre équipe	Le fournisseur fournit les correctifs, et votre équipe ou un agent se charge de les appliquer	Abonnement par système	de TuxCare

Des fournisseurs d'outils tels que Qualys et Tenable proposent des plateformes que votre équipe utilise. Certains prestataires intègrent ces plateformes dans un service géré, ce qui est précisément ce que fait Critical Start avec Qualys VMDR.

Les entreprises axées sur l'évaluation, telles qu'Optiv, fonctionnent un peu différemment des trois autres modèles. Elles analysent votre programme, élaborent une feuille de route pour la correction des failles et, dans les formules les plus complètes, mettent à votre disposition des consultants pour intervenir concrètement. Si vous avez recherché des entreprises spécialisées dans l'évaluation des vulnérabilités, c'est probablement cette catégorie que vous aviez à l'esprit.

Lisez le cahier des charges : Un service géré n’inclut pas automatiquement l’application des correctifs. Dans les services présentés ici, le périmètre principal porte sur l’analyse, la hiérarchisation et les conseils, et l’application des correctifs reste à la charge de votre équipe, sauf si vous souscrivez à un niveau de service supérieur ou à une option supplémentaire. Demandez qui applique chaque correctif et qui vérifie qu’il fonctionne. Pour une distinction plus générale, consultez notre guide sur la gestion des correctifs par rapport à la gestion des vulnérabilités.

Comparaison des cinq prestataires en un coup d'œil

Le tableau regroupe les prestataires par modèle de prestation. Les cellules consacrées aux tarifs indiquent les tarifs publiés par chaque prestataire, qui, comme vous le constaterez, ne sont pas très élevés.

Prestataire	Modèle	Idéal pour	Qui applique les correctifs ?	Tarification
de TuxCare	Partenaire en assainissement	Logiciels en fin de vie et serveurs Linux qui ne peuvent pas redémarrer facilement	C'est votre équipe ou un agent qui applique les correctifs fournis par TuxCare	Abonnement par système
Optiv	Entreprise axée sur l'évaluation	Organisations disposant de scanners mais dont le programme de correction est au point mort	Votre équipe, ou les consultants Optiv les plus expérimentés	Définition du périmètre en fonction de l'engagement
Gestion des vulnérabilités d'Arctic Wolf Aurora	Prestataire géré	Les équipes qui souhaitent disposer d'une équipe unique pour la détection et l'exposition	Accompagnement de votre équipe ou application automatisée des correctifs pour les logiciels pris en charge via le module complémentaire Resolve	Basé sur des citations
Service de gestion des vulnérabilités critiques de démarrage	Fournisseur géré sur la plateforme d'un éditeur d'outils	Les acheteurs qui souhaitent que Qualys VMDR soit géré pour eux	Votre équipe, qui travaille à partir des listes de correctifs de Critical Start	Basé sur des devis, à trois niveaux
Gestion des vulnérabilités par Rapid7	Prestataire géré	Les équipes qui souhaitent que les opérations de scan et la revue mensuelle soient prises en charge à leur place	Votre équipe, avec des conseils classés par ordre de priorité	Basé sur des citations

de TuxCare

TuxCare se situe dans une catégorie différente de celle des quatre autres, il faut donc l’envisager en conséquence. Il ne gère pas de programme d’analyse et de triage à votre place. Ce qu’il fournit, ce sont les correctifs et les mises à jour de sécurité pour les logiciels difficiles à corriger par les voies habituelles, soit parce que le support du fournisseur a pris fin, soit parce que l’hôte ne peut pas supporter un redémarrage. Cela en fait un partenaire de correction, et c’est toujours votre équipe ou un agent qui se charge de l’application.

Ce que vous obtenez

Mises à jour de sécurité au-delà de la fin de vie grâce au programme « Endless Lifecycle Support »

Assistance à vie (ELS) fournit des mises à jour de sécurité pour les systèmes d’exploitation une fois le cycle de vie de support standard du fournisseur arrivé à son terme. Ce même modèle s’applique aux les écosystèmes linguistiques, les environnements d’exécutionet applications au-delà de leur date officielle de fin de vie, ce qui est important car une grande partie des risques liés à la fin de vie réside dans les dépendances plutôt que dans le système d’exploitation. Les mises à jour sont fournies via un référentiel de paquets ; votre équipe ou ses outils de configuration les installent donc comme n’importe quelle autre mise à jour.

Vérification des paquets open source à l'aide de SecureChain

Pour le code qui est encore en cours de développement, SecureChain remplace les registres publics par ceux gérés par TuxCare, qui fournissent des paquets open source vérifiés, signés et mis à jour en continu pour JavaScript, Python, Java, Go, Rust et PHP. Vos gestionnaires de paquets pointent vers le registre TuxCare plutôt que vers le registre public, et les dépendances s’installent comme d’habitude.

Correction du noyau à chaud avec KernelCare

KernelCare applique des correctifs de sécurité aux noyaux Linux en cours d'exécution sans redémarrage, ce qui permet de ne plus être tributaire des fenêtres de maintenance pour l'application des correctifs. Le module complémentaire LibCare étend la mise à jour en direct aux bibliothèques partagées telles qu’OpenSSL et glibc. KernelCare prend en charge plus de 70 versions de distributions Linux parmi les principales distributions Linux d'entreprise, notamment RHEL, CentOS, Ubuntu, CloudLinux, Proxmox VE, Oracle Linux, Amazon Linux et Debian. Consultez la liste des distributions prises en charge pour connaître vos versions exactes de noyau.

Tarification

TuxCare facture ses produits de correction par système. Vérifiez l'unité, la durée et les éventuelles options supplémentaires du SLA lorsque vous comparez les devis, et assurez-vous les tarifs en vigueur auprès de l'équipe TuxCare.

Produit	Modèle de tarification	Prix actuel
KernelCare Enterprise	Par système	Vérifier auprès de TuxCare
Support illimité du cycle de vie	Cela varie selon la ligne	Vérifier auprès de TuxCare

Les points forts de TuxCare

Les correctifs ne dépendent plus d’une fenêtre de maintenance, car l’application de correctifs en temps réel permet de corriger les vulnérabilités sur les hôtes qui ne peuvent pas être redémarrés. Les logiciels non pris en charge bénéficient ainsi d’une véritable source de mises à jour de sécurité pendant que la migration est en attente pour des raisons liées au matériel, au budget ou à la recertification. Et comme ces solutions de correctifs fonctionnent en complément de n’importe quel scanner que vous utilisez déjà, leur adoption ne nécessite pas de supprimer quoi que ce soit.

Les lacunes de TuxCare

TuxCare ne deviendra pas propriétaire de votre programme. L'analyse et le triage restent du ressort de votre équipe ou d'un autre prestataire, et aucune équipe d'analystes ne gère ces opérations en votre nom. La couverture est également fortement axée sur Linux et les environnements d'exécution, langages et applications open source. Sous Windows, elle se limite à certains environnements d'exécution tels que .NET et PHP; un parc informatique principalement Windows devra donc faire appel à un autre prestataire pour bénéficier d’une couverture plus étendue.

À qui s'adresse TuxCare ?

Les responsables de plateformes dont les résultats restent en suspens en raison du manque de créneaux de mise à jour tirent profit de la solution plus rapidement. Les propriétaires de parcs en fin de vie constituent l’autre profil idéal, qu’il s’agisse d’une flotte encore sous CentOS 7 parce qu’une application récalcitrante bloque la migration, ou d’un service lié à un environnement d’exécution dont la fin de vie remonte à plusieurs années. Cette solution convient également aux équipes qui ont déjà identifié les problèmes mais ne disposent tout simplement d’aucun correctif pris en charge pour y remédier.

Optiv

Optiv propose un service dédié à l'analyse gérée des vulnérabilités, mais les services de correction présentés ici abordent la gestion des vulnérabilités comme un programme à mettre en place ou à réorganiser. Ses consultants établissent un état des lieux de votre situation, hiérarchisent les tâches et accompagnent la mise en œuvre des mesures correctives à travers quatre phases : découverte, hiérarchisation, correction et validation. Le niveau d'approfondissement est modulable. Une évaluation ponctuelle constitue l'option la plus légère, tandis que l'option la plus complète intègre les consultants d'Optiv au sein de votre équipe.

Ce que vous obtenez

Les quatre phases

L'étape de découverte recense vos vulnérabilités ainsi que les responsables des actifs concernés, ce qui vous fournit une base de référence. L'étape de hiérarchisation classe les résultats par niveau de risque et les transforme en un processus de triage et en une feuille de route. Au cours de la phase de correction, vous choisissez les services que vous souhaitez confier à Optiv. L'étape de validation permet ensuite de vérifier les résultats et de les relier à vos propres indicateurs et KPI.

Niveaux d'accompagnement-conseil

La page d'Optiv consacrée à la remédiation présente trois niveaux. L'évaluation et la planification (VMAP) comprennent un atelier initial, un plan de remédiation et une hiérarchisation des priorités à un moment donné. Le conseil en remédiation (VRAS) ajoute des mises à jour régulières du plan, une hiérarchisation et un suivi continus, des conseils sur le programme et des rapports sur les indicateurs clés de performance (KPI), le tout s'articulant autour de réunions hebdomadaires avec le client. Le conseil en remédiation plus (VRAS Plus) s'appuie sur une assistance technique pratique et des effectifs supplémentaires pour accélérer le travail, les consultants agissant comme une extension de votre équipe.

Aide au déploiement et à la migration de plateformes

Optiv se charge également du déploiement, de la configuration et de l'optimisation des plateformes de gestion des vulnérabilités, et a publié des documents sur la migration d'une plateforme à l'autre. Si le changement d'outil figure déjà dans votre feuille de route, cette tâche peut être intégrée au même projet.

Tarification

Optiv définit le périmètre de ses missions en fonction du travail à réaliser ; le prix dépend donc du niveau de service choisi et de l'effort requis. Renseignez-vous sur les hypothèses retenues dans le devis concernant le nombre d'actifs, le nombre d'unités opérationnelles et la durée, puis confirmez les conditions en vigueur auprès d'Optiv.

Offre	Modèle de tarification	Prix actuel
Évaluation et planification (VMAP)	Définition du périmètre en fonction de l'engagement	Vérifier auprès d'Optiv
Avis de remise en état (VRAS)	Définition du périmètre en fonction de l'engagement	Vérifier auprès d'Optiv
Conseil en assainissement Plus (VRAS Plus)	Définition du périmètre en fonction de l'engagement	Vérifier auprès d'Optiv

Les points forts d'Optiv

La méthode par étapes vous offre une vision claire de la situation « avant » et « après ». La phase de découverte établit la situation de référence, la phase de validation évalue les résultats par rapport à celle-ci, et l'écart entre les deux constitue un argumentaire simple à présenter à la direction. Vous pouvez également commencer modestement par une évaluation, puis ajouter des services de conseil ou un accompagnement pratique à mesure que le programme mûrit, tandis que les travaux de déploiement, de mise au point et de migration couvrent l'aspect « plateforme » du projet.

Les points faibles d'Optiv

Le conseil prime. Deux des trois niveaux sont axés sur la planification, la hiérarchisation des priorités et l’accompagnement, tandis que les interventions pratiques n’interviennent qu’au niveau supérieur. Ces services de remédiation n’incluent pas la réalisation quotidienne de vos analyses. Optiv propose séparément un service géré d’analyse des vulnérabilités ; demandez donc si ces deux services peuvent être regroupés dans un même périmètre. Les acheteurs soumis à une réglementation doivent s’adresser directement à Optiv pour obtenir les rapports d’assurance et les certifications requis par leur processus d’achat.

À qui s'adresse Optiv ?

Les responsables de la sécurité qui disposent déjà de scanners et d'un arriéré qui ne diminue pas sont les candidats idéaux. Les équipes qui prévoient une migration de plateforme bénéficient d'un partenaire capable de mener de front le déploiement des outils et les changements liés au programme. Les responsables qui rendent compte à la direction apprécieront de repartir avec une base de référence, des indicateurs clés de performance (KPI) et des résultats validés qui montrent ce qui a changé.

Gestion des vulnérabilités d'Arctic Wolf Aurora

Arctic Wolf a lancé « Aurora Vulnerability Management » en mai 2026, dans le prolongement de son service « Managed Risk » ; les analyses plus anciennes rédigées sous le nom de « Managed Risk » décrivent donc une version antérieure. Aurora VM analyse les actifs internes et externes, classe les résultats en fonction du contexte des menaces et de leur exploitabilité, et associe le tout à l’équipe « Concierge Security Team » (CST) d’Arctic Wolf. Arctic Wolf propose également un service de détection et de réponse gérées, et ces deux solutions peuvent partager une même plateforme.

Ce que vous obtenez

Une équipe de sécurité « Concierge » dédiée

Le CST est votre interlocuteur principal pour ce service. Il analyse vos politiques en matière de risques, le niveau de criticité de vos actifs, vos cycles de mise à jour et vos objectifs de niveau de service, puis vous aide à hiérarchiser les corrections à apporter en priorité. Lorsqu’un risque critique est détecté, l’équipe vous fournit des conseils et vous accompagne tout au long du processus de correction.

Analyse sur les réseaux, les terminaux et le cloud

Aurora VM couvre l'analyse des vulnérabilités internes et externes, l'inventaire des actifs et la vérification des erreurs de configuration logicielle. Sur les terminaux, l'agent Arctic Wolf ajoute des contrôles au niveau de l'hôte, en effectuant des analyses de conformité CIS et des analyses de vulnérabilités basées sur OVAL, et prend en charge Linux. La couverture de la sécurité dans le cloud dépend des offres cloud d'Arctic Wolf que vous ajoutez ; renseignez-vous donc sur le périmètre de couverture applicable à vos comptes.

Guide de remise en état et Resolve

Les résultats vous sont communiqués via un portail doté de tableaux de bord et de rapports à la demande. L’assistance à la correction comprend des conseils basés sur l’IA, des SLA de correction personnalisables, des intégrations ITSM et une nouvelle analyse pour vérifier que la correction a bien été appliquée. Le déploiement automatisé des correctifs s'effectue via le module complémentaire Resolve, qui permet aux équipes de planifier et d'appliquer des correctifs pour les logiciels tiers pris en charge sur les hôtes exécutant l'agent Arctic Wolf. La liste des logiciels pris en charge compte environ 200 entrées, presque toutes des applications de bureau telles que les navigateurs, les lecteurs de PDF et Office. La plupart sont des logiciels Windows, et la douzaine d'entrées Linux comprend notamment Chrome, Firefox, LibreOffice et Zoom.

Tarification

Les tarifs d'Arctic Wolf pour Aurora VM varient en fonction de la portée de votre environnement et des services que vous choisissez. Renseignez-vous pour savoir quelles unités sont prises en compte dans le devis, si Resolve est inclus et comment il est associé à d'éventuels services de détection, puis confirmez les montants actuels auprès d'Arctic Wolf.

Plan	Modèle de tarification	Prix actuel
Gestion des vulnérabilités Aurora	Adapté à votre environnement	Vérifier auprès d'Arctic Wolf
Résolution	Module complémentaire pour Aurora Vulnerability Management	Vérifier auprès d'Arctic Wolf
Gestion des vulnérabilités Aurora avec détection et réponse gérées	Inclus avec le service de détection	Vérifier auprès d'Arctic Wolf

Les points forts d'Arctic Wolf

La majeure partie de la valeur ajoutée réside dans le CST, qui apprend à connaître vos politiques et vos cycles de mise à jour ; vous travaillez ainsi avec des personnes qui connaissent déjà votre environnement. La couverture est étendue pour un service unique, et c’est le seul fournisseur de services gérés ici à proposer une feuille de route documentée vers le déploiement automatisé des correctifs, via Resolve. Si vous envisagez également la détection gérée, Aurora VM peut partager la plateforme et l’équipe.

Les points faibles d'Arctic Wolf

Sans Resolve, vous bénéficiez de conseils et d’un processus de travail, mais c’est toujours votre équipe qui se charge du déploiement des correctifs. Même avec Resolve, ce dernier étant destiné aux logiciels de bureau, les paquets serveur et les mises à jour du noyau restent à votre charge. Il est difficile d’établir un budget dès le départ, car les pages publiques d’Arctic Wolf consacrées à Aurora VM ne mentionnent pas d’unité de prix. Concernant Linux, il faut également poser une question directe : demandez quelles distributions l’agent prend en charge et quelles vérifications il effectue sur celles-ci.

À qui s'adresse Arctic Wolf ?

Les responsables informatiques qui ne disposent pas d'une équipe dédiée à la sécurité font appel à des analystes externes qui effectuent des analyses et leur indiquent les problèmes à résoudre en priorité. Les acheteurs déjà à la recherche d'une solution de détection gérée peuvent répondre à ces deux besoins auprès d'un seul fournisseur et via un seul portail, tandis que les équipes gérant des environnements hybrides bénéficient d'un point de contact unique pour le réseau, les terminaux et le cloud.

Service de gestion des vulnérabilités critiques de démarrage

Critical Start s'appuie sur le scanner. Son service de gestion des vulnérabilités fonctionne sur Qualys VMDR, et Critical Start peut soit fournir la licence Qualys, soit exploiter le service via un abonnement dont vous disposez déjà. Dans les deux cas, votre équipe n'a pas à configurer ni à surveiller la plateforme. Critical Start a annoncé la disponibilité générale de son service en août 2024.

Ce que vous obtenez

Numérisation gérée sur Qualys VMDR

Les analystes de Critical Start se chargent de la surveillance opérationnelle, des analyses programmées et de l'interprétation des résultats. Les analyses portent sur des cibles externes et internes, à l'aide d'agents légers ou de scanners à distance selon l'environnement, et vous pouvez opter pour des analyses entièrement gérées ou continuer à les exécuter vous-même.

Hiérarchisation et listes de correctifs

Le service classe les résultats par niveau de risque et les transforme en listes de correctifs à appliquer, comprenant à la fois les correctifs spécifiques aux éditeurs et ceux de tiers, afin que votre équipe sache quoi déployer et où. Des rapports personnalisables sur les vulnérabilités et les mesures correctives sont inclus dans l'offre.

Une console commune et des liens vers les systèmes de gestion des tickets

Les résultats s'affichent sur la plateforme de Critical Start, à côté des alertes de détection gérées, de l'inventaire des actifs et des lacunes en matière de contrôles de sécurité. Le service peut également se connecter à votre système de gestion des tickets afin de suivre les corrections jusqu'à leur clôture.

Tarification

La page actuelle des services de Critical Start présente VMS selon la même structure à trois niveaux que ses services MDR. Ces niveaux sont « Essentials », « Enterprise » et « Signature » ; chaque niveau supérieur offre davantage de contacts dédiés, des revues plus fréquentes et des engagements SLA plus stricts. Si Critical Start fournit la licence Qualys, le devis couvre à la fois le scanner et le service. Renseignez-vous sur l'unité de mesure du prix et confirmez les chiffres actuels auprès de Critical Start.

Plan	Modèle de tarification	Prix actuel
L'essentiel	Service en équipe, sur devis	Valider avec Critical Start
Entreprise	Dénommés CSM et TAM, basés sur des cotations	Valider avec Critical Start
Signature	Service de conciergerie avec un parrain de haut niveau, sur devis	Valider avec Critical Start

Les points forts de Critical Start

Si vous avez besoin des deux solutions, vous bénéficiez à la fois de Qualys VMDR et des services des analystes qui l’exploitent dans le cadre d’un seul et même contrat, ce qui vous évite une étape supplémentaire de gestion des licences. Vous disposez déjà de Qualys ? Le service peut alors être intégré à votre abonnement. Les équipes peuvent opter pour des analyses entièrement gérées ou continuer à planifier elles-mêmes leurs analyses, et toute personne qui souscrit également au service de détection gérée de Critical Start voit les résultats relatifs aux vulnérabilités s’afficher dans la même console que ses alertes.

Les lacunes de « Critical Start »

Le scanner est fixe. Le service reposant sur Qualys VMDR, une équipe ayant adopté un autre scanner devra suivre une autre approche. La documentation publique de Critical Start décrit les listes de correctifs sur lesquelles votre équipe doit s'appuyer, mais ne mentionne en rien leur déploiement. Les conditions du SLA publiées par Critical Start portent également principalement sur les délais de réponse aux alertes ; renseignez-vous donc sur leur application concrète au traitement des vulnérabilités avant de signer.

À qui s'adresse « Critical Start » ?

Les équipes qui privilégient déjà Qualys et souhaitent bénéficier de sa couverture et de son système de notation sans avoir à gérer elles-mêmes la plateforme constituent le profil le plus adapté. Les clients actuels de Critical Start en matière de détection disposent d’un portail unique pour les alertes et les vulnérabilités. Les équipes informatiques allégées chargées de la gestion des correctifs conviennent également, à condition qu’elles acceptent de travailler directement à partir des listes et souhaitent confier à un tiers la planification et l’analyse des analyses.

Gestion des vulnérabilités par Rapid7

Le service « Managed Vulnerability Management » (MVM) de Rapid7 confie à l’équipe de Rapid7 la mission d’analyser les adresses IP indiquées sur votre bon de commande et d’examiner les résultats avec vous chaque mois. Le périmètre défini porte principalement sur la hiérarchisation des priorités et les conseils ; dans le cadre de l’offre MVM standard, votre équipe peut également consulter les résultats dans la console InsightVM.

Ce que vous obtenez

Analyse et rapports mensuels

Rapid7 analyse vos adresses IP sous contrat à une fréquence mensuelle et vous fournit un rapport de service mensuel. Une fois que vous et votre conseiller vous êtes mis d’accord sur un calendrier, l’équipe « Managed Operations » de Rapid7 se charge de la configuration des analyses, de la surveillance, de la vérification et du dépannage. L’offre d’entrée de gamme, MVM Basic, couvre jusqu’à 2 500 adresses IP et s’appuie sur le moteur Nexpose de Rapid7.

Un conseiller en cybersécurité attitré

Vous rencontrez votre conseiller chaque mois pour passer en revue les rapports et les indicateurs, et des bilans d'activité périodiques permettent d'analyser les tendances des programmes et de formuler des recommandations. Le conseiller fournit également chaque mois des priorités et des conseils en matière de mesures correctives, ce qui permet à votre équipe de savoir par où commencer à chaque cycle.

Accès à la console

Avec le niveau MVM standard, votre équipe peut ouvrir la console InsightVM pour consulter les résultats et les rapports entre deux réunions. L'offre MVM Basic ne donne pas accès aux clients à la console hébergée par Rapid7.

Tarification

Rapid7 détermine le tarif du MVM en fonction des adresses IP indiquées sur votre bon de commande ; le devis dépend donc du nombre d'adresses que vous souscrivez. Pour connaître les tarifs en vigueur, contactez Rapid7 via sa page dédiée au MVM.

Plan	Modèle de tarification	Prix actuel
MVM Basic	Limité aux adresses IP sous contrat, jusqu'à 2 500	Vérifier auprès de Rapid7
MVM	Définie par des adresses IP sous contrat	Vérifier auprès de Rapid7

Les points forts de Rapid7

Rapid7 définit clairement le périmètre de ses prestations, ce qui vous permet de comparer un devis à une liste concrète de livrables. La réunion mensuelle avec le conseiller offre à votre équipe un créneau fixe pour examiner les indicateurs et convenir des priorités. De plus, grâce aux différents niveaux d'accès à la console, vos collaborateurs peuvent analyser les résultats en détail sans avoir à attendre le prochain rapport.

Les lacunes de Rapid7

L'application des correctifs ne relève pas du périmètre documenté. Les livrables énumérés couvrent la hiérarchisation des priorités et les recommandations, mais le déploiement des correctifs n'y figure nulle part. La fréquence d'analyse documentée est mensuelle, ce qui représente un intervalle trop long pour des environnements en constante évolution ; demandez donc si le contrat autorise des analyses plus fréquentes. Les exceptions réseau relèvent également de votre responsabilité. Si un système de prévention des intrusions ou un pare-feu d’applications web risquait d’interférer avec les analyses, vous devrez ajouter l’adresse IP source du moteur d’analyse à la liste blanche ou effectuer les analyses depuis un emplacement réseau non protégé par ces contrôles ; Rapid7 considère que la vérification de ces contrôles ne relève pas du champ d’application du contrat.

À qui s'adresse Rapid7 ?

Les responsables de la sécurité disposant d’une petite équipe sont les mieux placés pour tirer parti de cette solution, en particulier s’ils souhaitent que les analyses soient exécutées et examinées selon un calendrier défini et s’ils disposent du personnel nécessaire pour appliquer les correctifs. Les responsables informatiques qui gèrent déjà la gestion des correctifs peuvent intégrer directement la liste des priorités établie par le conseiller dans le processus qu’ils ont mis en place. Pour les équipes qui utilisent déjà InsightVM, la console leur paraîtra familière sur les niveaux d’accès correspondants.

Choisir un prestataire de services de gestion des vulnérabilités

Le choix du prestataire approprié dépend de la partie du travail que votre équipe n’est pas en mesure d’assumer. Si personne n’a le temps d’effectuer des analyses et de classer les résultats, un prestataire géré tel qu’Arctic Wolf, Rapid7 ou Critical Start se charge de cette tâche ; le module complémentaire « Resolve » d’Arctic Wolf va même plus loin en proposant le déploiement automatisé des correctifs pour les logiciels pris en charge. Si vous disposez de scanners mais que les vulnérabilités détectées ne cessent de s’accumuler, une entreprise spécialisée dans l’évaluation comme Optiv peut vous aider à restructurer votre programme. Et si vos vulnérabilités non corrigées concernent des logiciels en fin de vie ou des hôtes Linux que vous ne pouvez pas redémarrer, un partenaire de correction tel que TuxCare vous fournit les correctifs.

Pour discuter de la prise en charge des produits en fin de vie ou des correctifs en temps réel pour votre environnement, contactez l' équipe TuxCare.

FAQ