Covéa mise sur le Virtual Patching pour faire face à l’explosion des vulnérabilités
À la suite d’une cyberattaque majeure sur sa marque MMA en 2020, le groupe Covéa a haussé son niveau de protection. L’équipe cyber a été triplée, les principales briques de sécurité ont été remplacées et le recours au Virtual Patching a été élargi.
La nuit du 16 au 17 juillet 2020, MMA est victime d’un ransomware. 25 % du parc de serveurs est chiffré et 1 500 postes de travail sont impactés par l’attaque.
Le SI de l’assureur va être immobilisé dix longues journées. « Ce fut une véritable prise de conscience », raconte Alban Rocheteau, responsable du Centre Opérationnel de Cybersécurité du Groupe Covéa. « Cela a provoqué un engagement de toute l’organisation sur la cybersécurité. Nous avons alors engagé une modernisation de l’ensemble de nos systèmes de cyberdéfense et nous nous sommes mis à l’état de l’art. »
Avec ses marques MMA, GMF et MAAF, le groupe d’assurance Covéa est un poids lourd de l’assurance en France. Face à la menace, le groupe a créé la DCRN (Direction Cybersécurité et Risques Numériques) pour regrouper l’ensemble des activités cyber et se doter d’une force de frappe afin de conduire les transformations à mener. Les effectifs dédiés à la cyber ont été multipliés par trois et, aujourd’hui, cette direction compte 200 personnes (pour 24 000 collaborateurs en tout), dont 120, en interne.
« Nous avons constaté un changement d’échelle : il y a plus de vulnérabilités, leur exploitation est plus rapide et les attaques sont plus ciblées. La cyberdéfense est sous pression », recontextualise Alban Rocheteau. « L’enjeu ce n’est plus de subir, mais être dans une démarche de proactivité. »
Outre cette nouvelle organisation, de nouveaux logiciels ont été déployés : SIEM, EDR et SOAR en tête. Le nombre d’événements traités par le SOC est passé de 3 000 à 12 000 en 2025. « Si on prend en compte le phishing, on est à peu près à 25 % de ces événements de sécurité qu’on considère comme un risque de compromission », chiffre Alban Rocheteau.
S’adapter à l’envol du nombre de vulnérabilités détectées
En 2026, l’arrivée de l’IA a impacté le travail de cette organisation : « C’est une rupture technologique, avec une explosion du nombre de vulnérabilités découvertes. Les plus catastrophiques sont généralement découvertes par nos PenTests internes, le Bug Bounty, ou des éditeurs qui nous informent. Nous en avions traité deux en 2025. À cet instant [N.D.R. : octobre], nous en avons déjà traité 12 en 2026. 100 % ont été découvertes par l’IA… Il y a plus de travail au VOC [Vulnerability Operations Center, N.D.R.] qu’au SOC ! »
« Il y a plus de vulnérabilités, leur exploitation est plus rapide, les attaques plus ciblées. La cyberdéfense est sous pression. L’enjeu est d’être dans une démarche proactive. »
Alban RocheteauResponsable du Centre Opérationnel de Cybersécurité du Groupe Covéa
Pour le responsable cyber, l’enjeu numéro 1 porte sur le patch management. Un exercice difficile dans un grand groupe où les architectures sont complexes, et où plusieurs socles applicatifs sont en production. « Nous avons une forte pression sur la qualité de service et des fenêtres de maintenance qui sont limitées. Il n’est pas possible d’arrêter les serveurs quand on le souhaite. Et les cycles de qualification et de déploiement sont encore longs. Enfin, il y a une dette de patching chronique. »
Covéa a opté pour le Virtual Patching afin de protéger ses serveurs. Cette solution portée par l’éditeur Trend Micro était exploitée par MMA depuis plus de 6 ans sur d’anciens serveurs. La décision a été prise d’étendre cet usage à davantage de machines.
« Les serveurs obsolètes n’étaient pas tous compatibles avec l’EDR, donc le Virtual Patching a un intérêt pour elles », resitue Alban Rocheteau. « Nous avons jugé que la technologie était aussi intéressante pour protéger nos serveurs critiques, à commencer par les serveurs Active Directory Tier 0, et les machines exposées à Internet en DMZ. »
Le responsable estime que cette troisième couche de protection des serveurs, en parallèle à l’EPP et à l’EDR, participe à la réduction de la surface d’attaque du SI. « [Le Virtual Patching] ne fait pas de miracle », insiste le responsable, « C’est une solution en plus. C’est de la défense en profondeur. Si deux protections ont été passées, peut-être que la troisième bloquera l’attaque. En outre, c’est une solution éprouvée. Il y a eu zéro prise de risque opérationnelle et aucun impact sur les performances. »
Un moyen supplémentaire de réduire la surface d’attaque
Le responsable estime que le Virtual Patching s’apparente à un IPS qui n’est pas installé sur un firewall ou un équipement de protection périmétrique, mais directement sur les serveurs.
« La plupart des flux étant chiffrés, l’agent déchiffre sans devoir faire du man-in-the-middle : il récupère les certificats, déchiffre à la volée, et du coup, c’est vraiment pertinent pour faire le filtrage. »
Cet agent vient se placer en amont des EPP et EDR et va déclencher une alerte et bloquer une attaque, dès qu’un pattern correspondant à une signature est détecté dans le flux réseau. « L’intérêt de la solution sur des vulnérabilités bien connues est qu’elle va arrêter l’attaque avant des mécanismes soit d’antivirus, soit de protection comportementale », se félicite Alban Rocheteau. « En outre, l’agent applique une politique de sécurité adaptée selon qu’il s’agit d’un serveur Windows ou Linux. L’administration est centralisée ; ça permet aussi une diffusion très rapide des nouvelles signatures et un moteur de recommandation permet de sélectionner les bons patterns. »
Autre avantage dans le cas de Covéa, la solution s’intègre nativement dans l’écosystème cyber du groupe. Ses alertes alimentent le SOC et le VOC, ce qui participe à améliorer l’efficacité opérationnelle des équipes.
Actuellement, 2 148 serveurs Linux et Windows sont protégés par Virtual Patching, soit environ 20 % du parc. Plus de 8 000 règles IPS ont été déployées en production et 4 357 vulnérabilités critiques sont couvertes.
En moyenne, 63 tentatives d’exploitation sont bloquées par la solution, par serveur, chaque mois.
Propos recueillis lors des Assises de la sécurité 2026
Pour approfondir sur Gestion de la sécurité (SIEM, SOAR, SOC)
