Français
Menu

Cyberattaques et défense en pratique

L'examen des enregistrements du trafic d'un réseau interne a révélé les communications suivantes. Laquelle laisse le plus fortement soupçonner qu'un logiciel malveillant communique avec un serveur de commande externe (serveur C2) ?

  1. APendant les heures de bureau, les PC de nombreux employés se connectent à un serveur de fichiers interne et lisent et écrivent des fichiers partagés
  2. BUn jour fixe chaque mois, de nombreux PC reçoivent de gros fichiers de mise à jour depuis le serveur de mise à jour officiel de l'éditeur du système d'exploitation
  3. CUn seul PC envoie de manière répétée de petites quantités de trafic vers un domaine inconnu et récemment enregistré environ toutes les 60 secondes, même la nuit et les jours fériés
Afficher la réponse et l'explication

Réponse : C. Un seul PC envoie de manière répétée de petites quantités de trafic vers un domaine inconnu et récemment enregistré environ toutes les 60 secondes, même la nuit et les jours fériés

Le logiciel malveillant se connecte régulièrement depuis le terminal infecté à un serveur C2 (command and control) externe pour recevoir des instructions et envoyer des résultats. Ces connexions régulières s'appellent des balises (beacons) ; leur signe distinctif est un petit trafic qui se poursuit à intervalles presque constants, indépendamment de l'activité humaine. Un domaine de destination enregistré depuis peu ou sans information de réputation est un autre indice qui renforce le soupçon. Les attaquants tentent toutefois d'échapper à la détection en ajoutant de l'aléa (gigue) aux intervalles ou en passant par des services cloud légitimes ; on examine donc les enregistrements du trafic avec les informations sur les terminaux collectées par l'EDR.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Un attaquant qui a exploité une vulnérabilité d'une application web peut maintenant exécuter des commandes avec les mêmes privilèges d'utilisateur ordinaire que le programme du serveur web. Parmi les propositions suivantes, laquelle est un exemple de l'« élévation de privilèges » qu'il effectue ensuite ?
  2. Quelle mesure est la plus appropriée pour rendre difficile le « mouvement latéral », c'est-à-dire l'extension d'une compromission depuis un PC d'employé détourné vers d'autres PC et serveurs de l'entreprise ?
  3. La technique par laquelle un intrus évite autant que possible ses propres logiciels malveillants et opère avec les outils légitimes déjà présents dans le système d'exploitation, comme PowerShell, WMI et les fonctions standard d'administration à distance, s'appelle « living off the land ». Quelle façon d'envisager les contre-mesures à cette technique est la plus appropriée ?
  4. Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?
  5. L'architecture zero trust de la NIST SP 800-207 sépare le « point de décision de politique (PDP) », qui décide s'il faut autoriser l'accès, du « point d'application de politique (PEP) », qui exécute la décision. Quelle description du fonctionnement des deux lorsqu'un employé accède à une application métier est correcte ?