Français
Menu

Cyberattaques et défense en pratique

Quelle idée de la gestion des accès à privilèges (PAM) est la plus appropriée pour protéger les comptes d'administrateur des serveurs ?

  1. AN'accorder les privilèges d'administrateur que temporairement, pour un travail nécessaire et après approbation, conserver les mots de passe des comptes à privilèges dans un coffre-fort et les changer après chaque usage, et enregistrer les opérations
  2. BObtenir une approbation pour chaque tâche est fastidieux ; tous les administrateurs gardent donc en permanence les privilèges d'administrateur sur tous les serveurs
  3. CLe mot de passe du compte à privilèges est partagé par tous les administrateurs et, pour que personne ne l'oublie, la même valeur est conservée pendant des années
Afficher la réponse et l'explication

Réponse : A. N'accorder les privilèges d'administrateur que temporairement, pour un travail nécessaire et après approbation, conserver les mots de passe des comptes à privilèges dans un coffre-fort et les changer après chaque usage, et enregistrer les opérations

Les comptes dotés de privilèges d'administrateur causent les plus grands dommages s'ils sont détournés ; les attaquants les visent donc en premier. Dans la gestion des accès à privilèges, personne ne détient normalement les privilèges ; ils sont accordés pour une durée limitée et seulement après approbation pour un travail nécessaire (accès juste à temps, just in time), et les identifiants comme les mots de passe sont conservés dans un coffre-fort, ne sont pas montrés directement aux personnes et sont changés automatiquement après chaque usage. En outre, le travail d'administration est journalisé et enregistré, afin de pouvoir vérifier après coup qui a fait quoi et quand. Cela réduit les privilèges puissants permanents et diminue à la fois les dommages s'ils sont volés et le risque de malveillance interne.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Un développeur a par erreur validé (commit) dans un dépôt Git public un fichier de configuration contenant une clé d'API d'un service cloud. S'en apercevant, il a immédiatement validé une modification supprimant le fichier. Quelle est ensuite la réponse la plus appropriée ?
  2. Pour quatre incidents dans une organisation, le temps entre la survenue et la détection et le temps entre la détection et le confinement étaient de 10 heures et 4 heures pour l'incident 1, de 30 heures et 2 heures pour l'incident 2, de 2 heures et 6 heures pour l'incident 3, et de 6 heures et 4 heures pour l'incident 4. Quelle association entre le temps moyen de la survenue à la détection (MTTD) et le temps moyen de la détection au confinement (MTTC) est correcte ?
  3. Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?
  4. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?
  5. Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?