Français
Menu

Bases de la sécurité de l'information

Apprenez la sécurité de l'information avec des QCM : triade CIA et risques, cryptographie symétrique et à clé publique, fonctions de hachage et signatures numériques, authentification et authentification multifacteur, contrôle d'accès, logiciels malveillants et hameçonnage, attaques web comme l'injection SQL et le XSS, sauvegardes et réponse aux incidents.

S'entraîner sur 10 questionsQuestions aléatoires de ce thème · environ 5 minutes S'entraîner sur ce thèmeToutes les questions de ce thème dans un ordre aléatoire Questions à revoirNe refaire que les questions manquées lors de la dernière tentative

Bases de la sécurité de l'information : points clés

Protéger l'information, c'est la maintenir dans un état où seules les personnes autorisées peuvent la consulter (confidentialité), où son contenu reste exact (intégrité) et où elle est utilisable quand on en a besoin (disponibilité). Pour y parvenir, on combine des technologies comme le chiffrement, les fonctions de hachage et les signatures numériques avec l'authentification, le contrôle d'accès, les sauvegardes et une gestion organisationnelle.

Ce thème couvre les menaces, les vulnérabilités et les risques ainsi que leur traitement, le choix entre cryptographie symétrique et cryptographie à clé publique et le calcul du nombre de clés, les fonctions de hachage et le stockage des mots de passe, les signatures numériques et les certificats, l'authentification multifacteur et les taux d'erreur de la biométrie, et le principe du moindre privilège. Il explique aussi les logiciels malveillants, l'hameçonnage et les attaques web comme l'injection SQL et le cross-site scripting, sous l'angle de leur fonctionnement et des moyens de s'en défendre, ce qui aide à préparer la partie sécurité des examens de certification informatique. La sécurité liée au matériel est traitée dans le thème « Sécurité matérielle ».

Toutes les questions sur Bases de la sécurité de l'information (40)
  1. Le système de gestion d'une entreprise a reçu un afflux massif de requêtes et a cessé de répondre, si bien que les utilisateurs n'ont pas pu s'en servir au moment où ils en avaient besoin. Parmi les 3 éléments de la sécurité de l'information (confidentialité, intégrité, disponibilité), lequel a été principalement compromis ?
  2. Dans l'analyse des risques de sécurité de l'information, lequel des éléments suivants est une vulnérabilité, et non une menace ?
  3. Pour se prémunir contre les dommages et intérêts qu'elle pourrait devoir verser après une fuite de données, une entreprise a souscrit une cyberassurance. À quel traitement du risque cela correspond-il ?
  4. Pour un système d'information, on estime qu'un incident causant à chaque fois une perte de 20 millions de yens se produit 0,1 fois par an. Une contre-mesure coûtant 0,5 million de yens par an ramènerait cette fréquence à 0,02 fois par an. Quel est le gain net annuel de cette contre-mesure (diminution de la perte attendue moins le coût de la contre-mesure) ?
  5. Lorsqu'un SMSI (système de management de la sécurité de l'information) est piloté selon le cycle PDCA, quelle activité relève de l'étape Check (évaluation) ?
  6. Quelle affirmation décrit correctement la cryptographie symétrique (à clé secrète) ?
  7. A veut chiffrer un message par cryptographie à clé publique de sorte que seul B puisse le lire. Quelle clé sert au chiffrement ?
  8. 50 membres veulent que chaque paire d'entre eux puisse communiquer de façon chiffrée sans que les autres membres connaissent le contenu. Quelle combinaison donne le nombre de clés nécessaires avec la cryptographie symétrique et avec la cryptographie à clé publique (clés publiques et privées comptées ensemble) ?
  9. Pour envoyer à quelqu'un un fichier volumineux chiffré, quelle procédure décrit le chiffrement hybride couramment utilisé ?
  10. Quelle affirmation décrit correctement une propriété des fonctions de hachage utilisées en cryptographie (fonctions de hachage cryptographiques) ?
  11. Pour une fonction de hachage idéale à sortie de 256 bits, quelle combinaison donne l'ordre de grandeur du nombre de calculs nécessaires à une attaque par force brute dans deux cas : trouver une entrée qui produit une valeur de hachage donnée (attaque par préimage), et trouver deux entrées différentes quelconques qui produisent la même valeur de hachage (attaque par collision) ?
  12. Lorsqu'un service web stocke les mots de passe de ses utilisateurs, il ajoute au mot de passe une valeur aléatoire différente pour chaque utilisateur (un sel) avant de calculer et de stocker la valeur de hachage. Quel est le but principal du sel ?
  13. Pour stocker des mots de passe, il est recommandé de ne pas utiliser directement une fonction de hachage rapide comme SHA-256, mais un procédé délibérément conçu pour être long à calculer, comme bcrypt ou Argon2. Pourquoi ?
  14. On recherche un mot de passe de 8 caractères par force brute, en essayant tous les candidats. Si l'on peut essayer 1×10^10 candidats par seconde, quelle combinaison est la plus proche du temps nécessaire pour essayer tous les candidats, d'une part pour un mot de passe composé uniquement de lettres minuscules (26 types), d'autre part pour un mot de passe composé de majuscules, de minuscules et de chiffres (62 types) ?
  15. A appose une signature numérique sur un document envoyé à B. Quelle combinaison indique correctement les clés utilisées pour créer et vérifier la signature, et ce que la signature numérique permet de confirmer ?
  16. Quelle affirmation compare correctement un code d'authentification de message (MAC) et une signature numérique ?
  17. On découvre que la clé privée correspondant au certificat serveur d'un serveur web a peut-être fuité. Le certificat n'a pas encore expiré. Quelle est l'action la plus appropriée pour l'exploitant ?
  18. Parmi les 3 facteurs d'authentification utilisés pour vérifier un utilisateur (connaissance, possession, inhérence), lequel s'applique à l'authentification par carte à puce de badge d'employé ?
  19. Parmi les méthodes d'authentification suivantes, laquelle est une authentification multifacteur ?
  20. Dans une authentification biométrique par empreinte digitale, on rend plus stricte (plus élevée) la valeur seuil du score de correspondance requis pour accepter un utilisateur comme authentique. Quel changement se produit en général ?
  21. Un dispositif de reconnaissance faciale peut être réglé sur l'un de 3 seuils, A, B et C, avec un taux de fausse acceptation (FAR) et un taux de faux rejet (FRR) de 1 % et 0,5 % pour A, 0,1 % et 2 % pour B, et 0,01 % et 8 % pour C. Pour le contrôle d'accès à un laboratoire, l'exigence est un FAR de 0,1 % au plus, et, dans cette limite, les utilisateurs légitimes doivent être rejetés le moins souvent possible. Quel seuil faut-il choisir ?
  22. Quelle affirmation décrit correctement l'authentification unique (SSO, single sign-on) ?
  23. Quelle pratique respecte le principe du moindre privilège ?
  24. Une entreprise de plusieurs milliers d'employés gère les droits d'accès avec le contrôle d'accès basé sur les rôles (RBAC). Quelle affirmation décrit le principe du RBAC ?
  25. Parmi les types de logiciels malveillants, quelle affirmation décrit correctement un ver ?
  26. Quelle affirmation décrit correctement un rançongiciel (ransomware) ?
  27. Concernant les sauvegardes comme protection contre les rançongiciels, quelle méthode respecte le mieux la « règle 3-2-1 » ?
  28. Quelle combinaison associe correctement la technique de l'hameçonnage (phishing) et une contre-mesure côté utilisateur ?
  29. Lequel des exemples suivants relève de l'ingénierie sociale ?
  30. Un e-mail prétendant venir d'un interlocuteur chez un partenaire commercial indique : « Notre compte de réception des paiements a changé ; veuillez régler cette facture et les suivantes sur le nouveau compte. » Si l'on soupçonne une fraude au président ou au faux fournisseur par e-mail (BEC, business email compromise), quelle est la réaction la plus appropriée ?
  31. Dans une application web, saisir une chaîne comme ' OR '1'='1 dans le champ du mot de passe de l'écran de connexion permet de se connecter sans connaître le mot de passe. Comment s'appelle cette attaque ?
  32. Comme contre-mesure à l'injection SQL, pourquoi les requêtes préparées avec paramètres substituables (requêtes paramétrées) sont-elles considérées comme plus fondamentales que la suppression des caractères dangereux de la saisie ?
  33. Une application web de forum présentait une vulnérabilité par laquelle des scripts contenus dans des textes publiés par des utilisateurs s'exécutaient dans le navigateur des autres visiteurs. Quelle combinaison indique correctement le nom de cette vulnérabilité et sa contre-mesure fondamentale ?
  34. Une application web présente une vulnérabilité : si un utilisateur connecté ouvre une page piège préparée par un attaquant, son navigateur envoie au site légitime des requêtes qu'il n'a pas voulues, comme un virement ou une modification de paramètres. Quelle contre-mesure est appropriée ?
  35. Une application web lit et affiche un fichier en accolant un nom de fichier fourni dans un paramètre d'URL au nom de son dossier public. Si l'on fournit comme nom de fichier une valeur contenant ../, on peut lire des fichiers de configuration et d'autres fichiers situés hors du dossier public. Quelle combinaison indique correctement le nom de cette attaque et une contre-mesure ?
  36. Si une application web conserve le même identifiant de session avant et après la connexion, un attaquant peut amener l'utilisateur à utiliser un identifiant de session préparé à l'avance, puis, une fois l'utilisateur connecté, usurper son identité avec cet identifiant. Quelle est la contre-mesure la plus appropriée contre cette attaque ?
  37. Quelle affirmation décrit correctement une attaque DDoS ?
  38. Quelle affirmation décrit correctement une attaque zero-day ?
  39. Quelle combinaison décrit correctement les CVE et le CVSS, utilisés dans la gestion des vulnérabilités ?
  40. Sur le PC d'un employé, les extensions des fichiers changent les unes après les autres et un écran exigeant une rançon apparaît. Quelle est la première action la plus appropriée pour cet employé ?

Autres thèmes de Systèmes informatiques