Français
Menu

Cyberattaques et défense en pratique

Apprenez la cyberdéfense en pratique avec des QCM, dont des questions de calcul : Cyber Kill Chain et MITRE ATT&CK, accès initial, trafic C2, élévation de privilèges, mouvement latéral, attaques « living off the land », zero trust et NIST SP 800-207, ZTNA face au VPN, EDR, SIEM, SOAR et SOC, IDS et IPS, WAF, détection par leurres, phases de la réponse aux incidents, collecte des preuves et chaîne de possession, IoC et IoA, CSIRT et PSIRT, synchronisation des horloges des journaux, priorisation des correctifs de vulnérabilités, tests d'intrusion et exercices de red team, divulgation coordonnée des vulnérabilités, SBOM et attaques par la chaîne d'approvisionnement, erreurs de configuration du cloud, attaques par fatigue MFA et clés d'accès, détournement de session et gestion des accès à privilèges.

S'entraîner sur 10 questionsQuestions aléatoires de ce thème · environ 5 minutes S'entraîner sur ce thèmeToutes les questions de ce thème dans un ordre aléatoire Questions à revoirNe refaire que les questions manquées lors de la dernière tentative

Cyberattaques et défense en pratique : points clés

Une cyberattaque ne s'arrête pas à l'exploitation d'une seule faiblesse : elle progresse par étapes, de l'intrusion à l'installation d'une tête de pont, à l'extension des privilèges, aux déplacements internes et à l'exécution de l'objectif. On attend aussi de la défense qu'elle ne se contente pas d'arrêter les attaques à l'entrée, mais qu'en partant du principe que des intrusions auront lieu, l'organisation dispose de mécanismes pour les trouver vite, en arrêter l'extension, préserver les preuves, éliminer la cause et en tirer des leçons pour la fois suivante. Ce thème examine, du point de vue de la défense, comment les organisations sont réellement attaquées et comment elles se défendent.

Il commence par organiser le déroulement des attaques avec la Cyber Kill Chain et MITRE ATT&CK, et traite des méthodes d'accès initial, des indices de trafic C2, de l'élévation de privilèges, du mouvement latéral et des attaques « living off the land » qui détournent des outils légitimes. Il passe ensuite aux mécanismes de défense : les principes du zero trust et les points de décision et d'application de politique de la NIST SP 800-207, la différence entre VPN et ZTNA, l'EDR, les rôles du SIEM, du SOAR et du SOC, l'IDS et l'IPS, la détection par signatures et par anomalies, le WAF et la détection par leurres. Pour la réponse aux incidents, il examine les phases de la NIST SP 800-61, l'ordre de volatilité et la chaîne de possession, les IoC et les IoA, les CSIRT et les PSIRT, et la correction des décalages d'horloge dans les journaux. La seconde moitié traite de la priorisation des correctifs en combinant le CVSS et l'état de l'exploitation, des tests d'intrusion et des exercices de red team, de la divulgation coordonnée des vulnérabilités, des SBOM et des attaques par la chaîne d'approvisionnement comme la confusion de dépendances et le détournement de mises à jour légitimes, puis, pour le cloud et l'identité, des erreurs de configuration rendant un stockage public, des privilèges trop larges, des attaques par fatigue MFA, des raisons pour lesquelles les clés d'accès résistent à l'hameçonnage, du vol de cookies de session, de la gestion des accès à privilèges et des secrets placés dans des dépôts. Il se termine par le calcul du temps moyen de détection, du retour sur investissement de sécurité (ROSI), de la proportion des alertes d'un IDS qui sont de véritables attaques et du nombre d'analystes nécessaires. Il aide aussi à préparer la partie sécurité des examens de certification informatique. Les valeurs des questions de calcul, y compris celles des choix erronés, ont été vérifiées par un calcul en Python. Les normes et événements cités avec une année ou une révision reflètent l'information à cette date. La triade de la sécurité de l'information, le traitement des risques, les logiciels malveillants et l'hameçonnage, les vulnérabilités des applications web, les bases des CVE et du CVSS et la première réponse à une infection par rançongiciel sont traités dans le thème « Bases de la sécurité de l'information » ; la cryptographie et les certificats dans « Bases et applications de la cryptographie » ; la défense en profondeur du matériel et le secure boot dans « Sécurité matérielle » ; les bases des pare-feux et des VPN dans « Bases des réseaux informatiques » ; le modèle de responsabilité partagée dans « Bases du cloud et des conteneurs » ; et la gestion des incidents selon ITIL dans « Gestion des services et audit des systèmes d'information ».

Toutes les questions sur Cyberattaques et défense en pratique (40)
  1. La Cyber Kill Chain présentée par Lockheed Martin en 2011 divise le déroulement d'une attaque ciblée en sept étapes. Quel ordre des étapes est correct ?
  2. MITRE ATT&CK est une base de connaissances qui classe les méthodes observées lors d'attaques réelles en « tactiques », qui représentent les objectifs de l'attaquant, et en « techniques », qui représentent les moyens concrets d'atteindre ces objectifs. Quelle association entre une action observée et la tactique dont elle relève est correcte ?
  3. Parmi les propositions suivantes, laquelle est une méthode d'« accès initial », par laquelle un attaquant pénètre pour la première fois dans le réseau d'une organisation ?
  4. L'examen des enregistrements du trafic d'un réseau interne a révélé les communications suivantes. Laquelle laisse le plus fortement soupçonner qu'un logiciel malveillant communique avec un serveur de commande externe (serveur C2) ?
  5. Un attaquant qui a exploité une vulnérabilité d'une application web peut maintenant exécuter des commandes avec les mêmes privilèges d'utilisateur ordinaire que le programme du serveur web. Parmi les propositions suivantes, laquelle est un exemple de l'« élévation de privilèges » qu'il effectue ensuite ?
  6. Quelle mesure est la plus appropriée pour rendre difficile le « mouvement latéral », c'est-à-dire l'extension d'une compromission depuis un PC d'employé détourné vers d'autres PC et serveurs de l'entreprise ?
  7. La technique par laquelle un intrus évite autant que possible ses propres logiciels malveillants et opère avec les outils légitimes déjà présents dans le système d'exploitation, comme PowerShell, WMI et les fonctions standard d'administration à distance, s'appelle « living off the land ». Quelle façon d'envisager les contre-mesures à cette technique est la plus appropriée ?
  8. Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?
  9. L'architecture zero trust de la NIST SP 800-207 sépare le « point de décision de politique (PDP) », qui décide s'il faut autoriser l'accès, du « point d'application de politique (PEP) », qui exécute la décision. Quelle description du fonctionnement des deux lorsqu'un employé accède à une application métier est correcte ?
  10. Quelle comparaison entre un VPN d'accès à distance traditionnel et le ZTNA (accès réseau zéro confiance), comme moyens pour des employés en télétravail d'utiliser les systèmes internes, est correcte ?
  11. Quelle description de l'EDR (endpoint detection and response), par rapport à un antivirus traditionnel, est correcte ?
  12. Quelle association entre SIEM, SOAR et SOC et leur rôle dans la surveillance de la sécurité est correcte ?
  13. Quelle description de la différence entre un IDS (système de détection d'intrusion) et un IPS (système de prévention d'intrusion) est correcte ?
  14. Quelle comparaison entre la détection par signatures (détection d'abus) et la détection par anomalies, comme méthodes de détection d'un IDS, est correcte ?
  15. Quelle description d'un WAF (pare-feu applicatif web) est correcte ?
  16. Une organisation place sur un serveur de fichiers interne des fichiers « leurres » que personne n'utilise pour son travail, ainsi qu'un compte d'administrateur leurre qu'aucun système n'utilise, et surveille les accès à ces éléments. Quel est le principal avantage de cette mesure ?
  17. La deuxième révision (Rev. 2) de la SP 800-61, le guide de réponse aux incidents publié par le NIST américain en 2012, présente la réponse aux incidents comme un cycle de quatre phases. Quel ordre des phases est correct ?
  18. Il faut collecter des preuves pour une enquête sur un serveur où un incident s'est produit. Quel ordre est le plus approprié selon le principe de collecter les preuves dans l'ordre de leur facilité à se perdre (ordre de volatilité) ?
  19. Les preuves d'une enquête sur un incident, comme la copie d'un disque, doivent être traitées de façon à pouvoir servir plus tard dans un procès ou lors d'une plainte auprès de la police. Quel traitement est le plus approprié selon l'idée de la chaîne de possession (chain of custody) ?
  20. Quelle description de l'IoC (indicateur de compromission) et de l'IoA (indicateur d'attaque) utilisés dans la détection des menaces est correcte ?
  21. Quelle description de la différence de rôle entre un CSIRT et un PSIRT au sein d'une organisation est correcte ?
  22. Dans une enquête sur une intrusion, on compare les journaux de deux serveurs. Le serveur web journalise en temps universel coordonné (UTC), et son horloge était réglée correctement par NTP. Le serveur de fichiers journalise en heure du Japon (UTC+9 heures), et son horloge avançait de 4 minutes sur l'heure exacte. Le journal du serveur web indique une connexion suspecte à 01:52 (UTC), et celui du serveur de fichiers une lecture massive de fichiers à 10:58 (heure du Japon). Combien de minutes après la connexion suspecte la lecture des fichiers a-t-elle réellement eu lieu ?
  23. La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?
  24. Quelle description des différences entre le scan de vulnérabilités, le test d'intrusion et l'exercice de red team, comme moyens de vérifier les défenses d'une organisation, est correcte ?
  25. Un chercheur en sécurité externe a découvert une vulnérabilité non publiée dans un produit d'une entreprise. Quelle façon de procéder est la plus appropriée selon l'idée de divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) ?
  26. Quel est le principal objectif de la création et de la tenue à jour d'une SBOM (nomenclature logicielle) ?
  27. Une entreprise utilise une bibliothèque à usage interne nommée acme-utils, placée dans son dépôt de paquets interne (registre privé). Un attaquant a enregistré dans un dépôt de paquets public un paquet du même nom, acme-utils, avec un numéro de version plus élevé, et il s'est avéré que, selon les paramètres de build, l'environnement de build interne pouvait récupérer le paquet de l'attaquant. Quelle contre-mesure à cette « confusion de dépendances » (dependency confusion) est la plus appropriée ?
  28. Dans l'incident SolarWinds, découvert en décembre 2020, des attaquants se sont introduits dans l'environnement de build d'un logiciel d'administration informatique et du code malveillant a été inséré dans des mises à jour légitimes. Ces mises à jour ont été distribuées avec la signature de code légitime du développeur. Quel est l'enseignement le plus approprié de cet incident ?
  29. On a découvert que des fichiers contenant des informations sur des clients, placés dans un stockage objet dans le cloud, pouvaient être lus par n'importe qui sur Internet. Quelle association entre une cause typique de ce genre de fuite et une mesure pour éviter qu'elle ne se reproduise est appropriée ?
  30. Une clé d'accès avec des privilèges d'administrateur autorisant toutes les opérations (un identifiant valable longtemps) avait été écrite dans un fichier de configuration et fournie à un traitement par lots exécuté dans le cloud. Quelle révision est la plus appropriée pour réduire les dommages si cette clé fuit ?
  31. Un attaquant a obtenu le mot de passe d'un employé, a répété la connexion des dizaines de fois et a inondé le smartphone de l'employé de notifications demandant une approbation. Agacé, l'employé a appuyé machinalement sur « Approuver ». Quelle contre-mesure à cette attaque est la plus appropriée ?
  32. Quelle est la raison correcte pour laquelle l'authentification par clés d'accès (passkeys) FIDO2 (WebAuthn) est considérée comme plus résistante à l'hameçonnage que les mots de passe à usage unique (OTP) ?
  33. Un service web a subi un grand nombre de tentatives de connexion depuis de nombreuses adresses IP différentes, chacune avec la paire identifiant-mot de passe d'un utilisateur différent, et certaines ont réussi. Beaucoup des paires essayées correspondaient à des paires ayant fuité d'autres services. Comment s'appelle cette attaque ?
  34. Dans un service de messagerie cloud utilisant l'authentification multifacteur, un employé a été attiré vers un écran de connexion identique au vrai et y a saisi un mot de passe et un mot de passe à usage unique. L'attaquant a utilisé cet écran comme relais vers le vrai service, a volé le cookie de session émis après la connexion et s'est fait passer pour l'employé. Quelle description de cette attaque et des contre-mesures est la plus appropriée ?
  35. Quelle idée de la gestion des accès à privilèges (PAM) est la plus appropriée pour protéger les comptes d'administrateur des serveurs ?
  36. Un développeur a par erreur validé (commit) dans un dépôt Git public un fichier de configuration contenant une clé d'API d'un service cloud. S'en apercevant, il a immédiatement validé une modification supprimant le fichier. Quelle est ensuite la réponse la plus appropriée ?
  37. Pour quatre incidents dans une organisation, le temps entre la survenue et la détection et le temps entre la détection et le confinement étaient de 10 heures et 4 heures pour l'incident 1, de 30 heures et 2 heures pour l'incident 2, de 2 heures et 6 heures pour l'incident 3, et de 6 heures et 4 heures pour l'incident 4. Quelle association entre le temps moyen de la survenue à la détection (MTTD) et le temps moyen de la détection au confinement (MTTC) est correcte ?
  38. Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?
  39. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?
  40. Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?

Autres thèmes de Réseaux et sécurité