Français
Menu

Cyberattaques et défense en pratique

Quel est le principal objectif de la création et de la tenue à jour d'une SBOM (nomenclature logicielle) ?

  1. ALister les composants d'un produit, comme les bibliothèques, avec leurs versions, afin de retrouver immédiatement les produits concernés lorsqu'une vulnérabilité d'un composant est annoncée
  2. BChiffrer le code source du logiciel afin que des tiers, y compris les utilisateurs ayant acheté le produit, ne puissent pas lire le contenu du programme
  3. CCalculer le coût et le délai d'approvisionnement des composants à partir de la liste des semi-conducteurs et composants électroniques servant à fabriquer un produit, et planifier la production
Afficher la réponse et l'explication

Réponse : A. Lister les composants d'un produit, comme les bibliothèques, avec leurs versions, afin de retrouver immédiatement les produits concernés lorsqu'une vulnérabilité d'un composant est annoncée

Les logiciels actuels sont construits en combinant de nombreuses bibliothèques open source et des composants tiers, et les composants dépendent souvent eux-mêmes d'autres composants. Une SBOM est la liste de ces composants avec leurs noms, versions, fournisseurs et relations de dépendance, dans un format lisible par machine (comme SPDX ou CycloneDX). Lorsqu'une vulnérabilité grave est découverte dans un composant largement utilisé, comme la vulnérabilité de Log4j (Log4Shell) rendue publique en décembre 2021, une SBOM permet de trouver rapidement quelles versions de quels produits sont concernées. Aux États-Unis, un décret présidentiel de mai 2021 a fixé l'orientation consistant à exiger une SBOM pour les logiciels fournis à l'administration.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Une entreprise utilise une bibliothèque à usage interne nommée acme-utils, placée dans son dépôt de paquets interne (registre privé). Un attaquant a enregistré dans un dépôt de paquets public un paquet du même nom, acme-utils, avec un numéro de version plus élevé, et il s'est avéré que, selon les paramètres de build, l'environnement de build interne pouvait récupérer le paquet de l'attaquant. Quelle contre-mesure à cette « confusion de dépendances » (dependency confusion) est la plus appropriée ?
  2. Dans l'incident SolarWinds, découvert en décembre 2020, des attaquants se sont introduits dans l'environnement de build d'un logiciel d'administration informatique et du code malveillant a été inséré dans des mises à jour légitimes. Ces mises à jour ont été distribuées avec la signature de code légitime du développeur. Quel est l'enseignement le plus approprié de cet incident ?
  3. On a découvert que des fichiers contenant des informations sur des clients, placés dans un stockage objet dans le cloud, pouvaient être lus par n'importe qui sur Internet. Quelle association entre une cause typique de ce genre de fuite et une mesure pour éviter qu'elle ne se reproduise est appropriée ?
  4. Une clé d'accès avec des privilèges d'administrateur autorisant toutes les opérations (un identifiant valable longtemps) avait été écrite dans un fichier de configuration et fournie à un traitement par lots exécuté dans le cloud. Quelle révision est la plus appropriée pour réduire les dommages si cette clé fuit ?
  5. Un attaquant a obtenu le mot de passe d'un employé, a répété la connexion des dizaines de fois et a inondé le smartphone de l'employé de notifications demandant une approbation. Agacé, l'employé a appuyé machinalement sur « Approuver ». Quelle contre-mesure à cette attaque est la plus appropriée ?