Français
Menu

Cyberattaques et défense en pratique

Un service web a subi un grand nombre de tentatives de connexion depuis de nombreuses adresses IP différentes, chacune avec la paire identifiant-mot de passe d'un utilisateur différent, et certaines ont réussi. Beaucoup des paires essayées correspondaient à des paires ayant fuité d'autres services. Comment s'appelle cette attaque ?

  1. APulvérisation de mots de passe (password spraying : une attaque qui essaie tour à tour quelques mots de passe courants sur de nombreux identifiants)
  2. BBourrage d'identifiants (credential stuffing, ou attaque par liste de mots de passe)
  3. CAttaque par force brute (une attaque qui essaie tour à tour toutes les combinaisons de caractères possibles sur un seul identifiant)
Afficher la réponse et l'explication

Réponse : B. Bourrage d'identifiants (credential stuffing, ou attaque par liste de mots de passe)

Le bourrage d'identifiants est une attaque qui utilise des paires identifiant-mot de passe ayant fuité d'autres services pour tenter de se connecter à un autre service ; les victimes sont les utilisateurs qui réutilisent le même mot de passe sur plusieurs services. Comme il y a peu de tentatives par identifiant, le verrouillage fondé sur le nombre d'échecs par identifiant est peu efficace, et les adresses IP sources sont elles aussi dispersées. Les contre-mesures consistent à faire utiliser l'authentification multifacteur, à refuser les mots de passe connus pour avoir fuité et à surveiller les tendances des connexions réussies et échouées ainsi que les caractéristiques des accès automatisés.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Dans un service de messagerie cloud utilisant l'authentification multifacteur, un employé a été attiré vers un écran de connexion identique au vrai et y a saisi un mot de passe et un mot de passe à usage unique. L'attaquant a utilisé cet écran comme relais vers le vrai service, a volé le cookie de session émis après la connexion et s'est fait passer pour l'employé. Quelle description de cette attaque et des contre-mesures est la plus appropriée ?
  2. Quelle idée de la gestion des accès à privilèges (PAM) est la plus appropriée pour protéger les comptes d'administrateur des serveurs ?
  3. Un développeur a par erreur validé (commit) dans un dépôt Git public un fichier de configuration contenant une clé d'API d'un service cloud. S'en apercevant, il a immédiatement validé une modification supprimant le fichier. Quelle est ensuite la réponse la plus appropriée ?
  4. Pour quatre incidents dans une organisation, le temps entre la survenue et la détection et le temps entre la détection et le confinement étaient de 10 heures et 4 heures pour l'incident 1, de 30 heures et 2 heures pour l'incident 2, de 2 heures et 6 heures pour l'incident 3, et de 6 heures et 4 heures pour l'incident 4. Quelle association entre le temps moyen de la survenue à la détection (MTTD) et le temps moyen de la détection au confinement (MTTC) est correcte ?
  5. Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?