Français
Menu

Cyberattaques et défense en pratique

Quelle description de l'IoC (indicateur de compromission) et de l'IoA (indicateur d'attaque) utilisés dans la détection des menaces est correcte ?

  1. ALes IoC portent sur le comportement et l'intention de l'attaquant, alors que les IoA sont des traces concrètes comme les valeurs de hachage de logiciels malveillants et les adresses IP de serveurs C2
  2. BLes IoC sont des traces concrètes d'une compromission, comme les valeurs de hachage de logiciels malveillants et les adresses IP de serveurs C2, alors que les IoA portent sur le comportement de l'attaquant, comme les tentatives de vol d'identifiants
  3. CLes IoC comme les IoA expriment la gravité d'une vulnérabilité par un nombre de 0,0 à 10,0 et servent à décider dans quel ordre appliquer les correctifs
Afficher la réponse et l'explication

Réponse : B. Les IoC sont des traces concrètes d'une compromission, comme les valeurs de hachage de logiciels malveillants et les adresses IP de serveurs C2, alors que les IoA portent sur le comportement de l'attaquant, comme les tentatives de vol d'identifiants

Un IoC (indicateur de compromission) est une trace concrète montrant qu'une compromission a eu lieu, comme la valeur de hachage d'un fichier malveillant, l'adresse IP ou le nom de domaine d'un serveur C2, ou un nom de fichier caractéristique. Les IoC sont partagés avec d'autres organisations et des fournisseurs de renseignement sur les menaces, et comparés aux journaux et aux terminaux de l'organisation pour vérifier si elle a subi la même attaque. Les attaquants peuvent toutefois changer facilement les valeurs de hachage et les adresses IP ; on combine donc les IoC avec les IoA (indicateurs d'attaque), qui portent sur des comportements plus difficiles à changer pour l'attaquant, comme les tentatives de vol d'identifiants ou les déplacements internes avec des outils légitimes.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Quelle description de la différence de rôle entre un CSIRT et un PSIRT au sein d'une organisation est correcte ?
  2. Dans une enquête sur une intrusion, on compare les journaux de deux serveurs. Le serveur web journalise en temps universel coordonné (UTC), et son horloge était réglée correctement par NTP. Le serveur de fichiers journalise en heure du Japon (UTC+9 heures), et son horloge avançait de 4 minutes sur l'heure exacte. Le journal du serveur web indique une connexion suspecte à 01:52 (UTC), et celui du serveur de fichiers une lecture massive de fichiers à 10:58 (heure du Japon). Combien de minutes après la connexion suspecte la lecture des fichiers a-t-elle réellement eu lieu ?
  3. La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?
  4. Quelle description des différences entre le scan de vulnérabilités, le test d'intrusion et l'exercice de red team, comme moyens de vérifier les défenses d'une organisation, est correcte ?
  5. Un chercheur en sécurité externe a découvert une vulnérabilité non publiée dans un produit d'une entreprise. Quelle façon de procéder est la plus appropriée selon l'idée de divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) ?