Français
Menu

Cyberattaques et défense en pratique

Dans une enquête sur une intrusion, on compare les journaux de deux serveurs. Le serveur web journalise en temps universel coordonné (UTC), et son horloge était réglée correctement par NTP. Le serveur de fichiers journalise en heure du Japon (UTC+9 heures), et son horloge avançait de 4 minutes sur l'heure exacte. Le journal du serveur web indique une connexion suspecte à 01:52 (UTC), et celui du serveur de fichiers une lecture massive de fichiers à 10:58 (heure du Japon). Combien de minutes après la connexion suspecte la lecture des fichiers a-t-elle réellement eu lieu ?

  1. A2 minutes après
  2. B6 minutes après
  3. C10 minutes après
Afficher la réponse et l'explication

Réponse : A. 2 minutes après

L'horloge du serveur de fichiers avançait de 4 minutes ; en retirant 4 minutes aux 10:58 enregistrées, on obtient l'heure du Japon exacte de 10:54. L'heure du Japon est en avance de 9 heures sur l'UTC, soit 01:54 en UTC, 2 minutes après la connexion suspecte de 01:52. Sans corriger le décalage de l'horloge, 10:58 − 9 h = 01:58 donne 6 minutes, et corriger dans le mauvais sens donne 11:02 − 9 h = 02:02, soit 10 minutes : dans les deux cas, on se trompe sur l'intervalle entre les événements. Pour éviter de telles erreurs, on synchronise les horloges de tous les équipements par NTP, on journalise les heures sous une forme qui fait apparaître le fuseau horaire (comme l'UTC), et on collecte et conserve les journaux dans un emplacement séparé, protégé contre la falsification.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?
  2. Quelle description des différences entre le scan de vulnérabilités, le test d'intrusion et l'exercice de red team, comme moyens de vérifier les défenses d'une organisation, est correcte ?
  3. Un chercheur en sécurité externe a découvert une vulnérabilité non publiée dans un produit d'une entreprise. Quelle façon de procéder est la plus appropriée selon l'idée de divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) ?
  4. Quel est le principal objectif de la création et de la tenue à jour d'une SBOM (nomenclature logicielle) ?
  5. Une entreprise utilise une bibliothèque à usage interne nommée acme-utils, placée dans son dépôt de paquets interne (registre privé). Un attaquant a enregistré dans un dépôt de paquets public un paquet du même nom, acme-utils, avec un numéro de version plus élevé, et il s'est avéré que, selon les paramètres de build, l'environnement de build interne pouvait récupérer le paquet de l'attaquant. Quelle contre-mesure à cette « confusion de dépendances » (dependency confusion) est la plus appropriée ?