Français
Menu

Cyberattaques et défense en pratique

Quelle mesure est la plus appropriée pour rendre difficile le « mouvement latéral », c'est-à-dire l'extension d'une compromission depuis un PC d'employé détourné vers d'autres PC et serveurs de l'entreprise ?

  1. ADonner à chaque PC un mot de passe d'administrateur local différent et bloquer le trafic inutile entre PC (comme le partage de fichiers)
  2. BPour réduire la charge d'administration, fixer le mot de passe d'administrateur local de tous les PC à une même valeur longue et complexe
  3. CDurcir les règles du pare-feu à la frontière avec Internet et restreindre encore plus finement le seul trafic qui entre dans l'entreprise depuis l'extérieur
Afficher la réponse et l'explication

Réponse : A. Donner à chaque PC un mot de passe d'administrateur local différent et bloquer le trafic inutile entre PC (comme le partage de fichiers)

Un intrus vole des identifiants sur le PC détourné et se connecte l'un après l'autre aux autres PC et serveurs où ces identifiants fonctionnent, se rapprochant des systèmes importants. Si tous les PC utilisent le même mot de passe d'administrateur local, les informations volées sur un seul PC suffisent pour entrer dans tous ; on utilise donc des mécanismes qui fixent automatiquement une valeur différente sur chaque PC (comme LAPS de Windows). De plus, les PC n'ont normalement pas besoin de trafic de partage de fichiers ou d'administration à distance entre eux ; bloquer ce trafic avec des pare-feux réseau ou d'hôte et limiter le trafic entre serveurs au nécessaire (microsegmentation) réduit l'extension d'une compromission. Les défenses périmétriques ne peuvent pas empêcher un attaquant déjà à l'intérieur de se déplacer en interne (trafic est-ouest).

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. La technique par laquelle un intrus évite autant que possible ses propres logiciels malveillants et opère avec les outils légitimes déjà présents dans le système d'exploitation, comme PowerShell, WMI et les fonctions standard d'administration à distance, s'appelle « living off the land ». Quelle façon d'envisager les contre-mesures à cette technique est la plus appropriée ?
  2. Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?
  3. L'architecture zero trust de la NIST SP 800-207 sépare le « point de décision de politique (PDP) », qui décide s'il faut autoriser l'accès, du « point d'application de politique (PEP) », qui exécute la décision. Quelle description du fonctionnement des deux lorsqu'un employé accède à une application métier est correcte ?
  4. Quelle comparaison entre un VPN d'accès à distance traditionnel et le ZTNA (accès réseau zéro confiance), comme moyens pour des employés en télétravail d'utiliser les systèmes internes, est correcte ?
  5. Quelle description de l'EDR (endpoint detection and response), par rapport à un antivirus traditionnel, est correcte ?