PatchFirst
Note et note globale
La note montre les risques détectés ; la note globale tient compte de la part des logiciels vérifiés.
Note
La note principale de 0 à 100 et sa lettre décrivent les composants vérifiés. Un résultat plus élevé indique moins de risques détectés. Cette note détermine le verdict et la couleur du rapport. Les priorités P0–P3 aident à ordonner les mises à jour.
L’évaluation reflète les logiciels recensés et les informations sur les vulnérabilités disponibles au moment de la vérification. Elle ne garantit pas l’absence de toute menace.
Note globale
La note globale apparaît à côté, avec un astérisque. La part vérifiée reçoit la note principale ; la part non vérifiée reçoit 50 points correspondant à un risque inconnu.
Exemple : note 90 / 100
Note globale 70 / 100* · 400 composants vérifiés sur 800
coverage = checked / total
global_score = round(score × coverage + 50 × (1 − coverage))Au-dessus de 50, la part inconnue réduit la note globale. Si la note principale est inférieure à 50, la note globale peut être plus élevée. Avec une couverture totale, les deux notes sont identiques et utilisent la même échelle de lettres.
« Non vérifié » ne signifie pas « vulnérable » : il manque encore des informations pour comparer. Si la liste des paquets installés du serveur n’a pas été collectée, les deux notes affichent « ? ». Un cluster est évalué à partir des programmes et des nœuds détectés.
La note globale du parc utilise les mêmes pondérations que la note principale : un serveur de rôle prod compte double, les autres comptent une fois. Les serveurs notés « ? » sont exclus de la moyenne et de la couverture du parc.
Éléments comptés dans la couverture
La couverture est le rapport entre les composants vérifiés et tous les composants détectés. Nous comptons les paquets installés, les dépendances d’applications, les programmes autonomes et les images de conteneurs. Une même dépendance ou image présente plusieurs fois ne compte qu’une fois.
Un paquet est vérifié lorsque sa version est comparée aux informations sur les vulnérabilités. Cela inclut les paquets provenant de dépôts tiers et ceux d’origine inconnue : si le produit est reconnu et sa version exacte connue, il est vérifié à partir des données de son éditeur. Le paquet et le produit identifié ne sont pas comptés deux fois.
Pour un conteneur, nous vérifions le programme reconnu avec sa version exacte. Les images non reconnues ou sans version exacte restent non vérifiées. Le contenu inconnu d’une image n’ajoute pas de composants supposés. Un nœud de cluster sans liste de paquets compte comme un système d’exploitation non vérifié.
Nous vérifions le noyau en cours d’exécution. Les anciens noyaux inactifs et leurs fichiers auxiliaires ne sont pas comptés dans la couverture. Une vulnérabilité détectée ne réduit pas la couverture : le composant a été vérifié et le résultat affecte la note. Les constats masqués à faible risque sans correctif ne la réduisent pas non plus.
Peuvent rester non vérifiés les paquets internes, les programmes sans version, les produits non reconnus, les versions impossibles à comparer et les composants dont les sources de données sont temporairement indisponibles. Les raisons figurent dans une section repliée en bas du rapport. La vérification gratuite ne révèle ni noms ni versions.
Améliorer la couverture
- Collectez avec l’agent une liste récente des logiciels installés et de leurs versions exactes.
- Utilisez des versions exactes pour les conteneurs plutôt que des étiquettes changeantes. Vérifiez séparément les serveurs qui les exécutent.
- Précisez les versions inconnues et relancez la vérification après le rétablissement des sources. Traitez les menaces détectées selon les priorités du rapport.
Vérifier un serveur → · Champs des notes dans l’API et MCP →