Français
Menu

Cyberattaques et défense en pratique

Quelle description d'un WAF (pare-feu applicatif web) est correcte ?

  1. AUn équipement qui décide de laisser passer ou de bloquer le trafic en ne regardant que les adresses IP et les numéros de port, sans examiner le contenu HTTP
  2. BAvec un WAF en place, toutes les attaques, y compris l'injection SQL, peuvent être entièrement empêchées même sans corriger les vulnérabilités de l'application web
  3. CPlacé devant une application web, il examine le contenu des requêtes HTTP et bloque les requêtes contenant des chaînes d'attaque typiques
Afficher la réponse et l'explication

Réponse : C. Placé devant une application web, il examine le contenu des requêtes HTTP et bloque les requêtes contenant des chaînes d'attaque typiques

Les pare-feux ordinaires contrôlent le trafic par adresse IP, numéro de port, etc. ; ils ne peuvent donc pas arrêter les attaques contre les applications web qui passent par le port HTTPS autorisé. Un WAF examine le contenu des requêtes HTTP, comme l'URL, les paramètres et les en-têtes, et bloque les requêtes présentant des motifs typiques de l'injection SQL ou du cross-site scripting, ou qui ne respectent pas les règles définies pour l'application. Il sert aussi de protection temporaire (correctif virtuel) entre la découverte d'une vulnérabilité et la fin de sa correction. Certaines attaques passent toutefois entre les mailles des règles ; il ne remplace donc pas la correction de la vulnérabilité elle-même.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Une organisation place sur un serveur de fichiers interne des fichiers « leurres » que personne n'utilise pour son travail, ainsi qu'un compte d'administrateur leurre qu'aucun système n'utilise, et surveille les accès à ces éléments. Quel est le principal avantage de cette mesure ?
  2. La deuxième révision (Rev. 2) de la SP 800-61, le guide de réponse aux incidents publié par le NIST américain en 2012, présente la réponse aux incidents comme un cycle de quatre phases. Quel ordre des phases est correct ?
  3. Il faut collecter des preuves pour une enquête sur un serveur où un incident s'est produit. Quel ordre est le plus approprié selon le principe de collecter les preuves dans l'ordre de leur facilité à se perdre (ordre de volatilité) ?
  4. Les preuves d'une enquête sur un incident, comme la copie d'un disque, doivent être traitées de façon à pouvoir servir plus tard dans un procès ou lors d'une plainte auprès de la police. Quel traitement est le plus approprié selon l'idée de la chaîne de possession (chain of custody) ?
  5. Quelle description de l'IoC (indicateur de compromission) et de l'IoA (indicateur d'attaque) utilisés dans la détection des menaces est correcte ?