Français
Menu

Cyberattaques et défense en pratique

Un développeur a par erreur validé (commit) dans un dépôt Git public un fichier de configuration contenant une clé d'API d'un service cloud. S'en apercevant, il a immédiatement validé une modification supprimant le fichier. Quelle est ensuite la réponse la plus appropriée ?

  1. ALa suppression a été validée par un commit ; plus personne ne peut voir la clé et il n'y a rien d'autre à faire
  2. BLa clé reste dans l'historique et a peut-être déjà été récoltée ; il faut donc la révoquer immédiatement, la remplacer par une nouvelle et vérifier dans les journaux d'utilisation qu'elle n'a pas été utilisée abusivement
  3. CRenommer le dépôt rend inaccessible l'ancien contenu publié sous le nom précédent ; la clé qui a fuité peut donc continuer à être utilisée telle quelle
Afficher la réponse et l'explication

Réponse : B. La clé reste dans l'historique et a peut-être déjà été récoltée ; il faut donc la révoquer immédiatement, la remplacer par une nouvelle et vérifier dans les journaux d'utilisation qu'elle n'a pas été utilisée abusivement

Dans Git, même après le commit d'une modification supprimant un fichier, les versions antérieures restent dans l'historique et n'importe qui peut les récupérer. Les dépôts publics sont parcourus automatiquement en peu de temps par des programmes qui cherchent des identifiants ; une clé doit donc être considérée comme ayant fuité dès l'instant où elle a été publiée. L'étape la plus importante est de révoquer la clé et de la remplacer par une nouvelle ; ensuite, on vérifie les journaux d'utilisation et, si nécessaire, on supprime aussi la clé de l'historique. Pour éviter que cela ne se reproduise, on conserve les identifiants dans un service de gestion des secrets et on utilise un mécanisme qui détecte les secrets avant le commit (détection des secrets, ou secret scanning).

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Pour quatre incidents dans une organisation, le temps entre la survenue et la détection et le temps entre la détection et le confinement étaient de 10 heures et 4 heures pour l'incident 1, de 30 heures et 2 heures pour l'incident 2, de 2 heures et 6 heures pour l'incident 3, et de 6 heures et 4 heures pour l'incident 4. Quelle association entre le temps moyen de la survenue à la détection (MTTD) et le temps moyen de la détection au confinement (MTTC) est correcte ?
  2. Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?
  3. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?
  4. Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?
  5. La Cyber Kill Chain présentée par Lockheed Martin en 2011 divise le déroulement d'une attaque ciblée en sept étapes. Quel ordre des étapes est correct ?