Français
Menu

Cyberattaques et défense en pratique

Pour quatre incidents dans une organisation, le temps entre la survenue et la détection et le temps entre la détection et le confinement étaient de 10 heures et 4 heures pour l'incident 1, de 30 heures et 2 heures pour l'incident 2, de 2 heures et 6 heures pour l'incident 3, et de 6 heures et 4 heures pour l'incident 4. Quelle association entre le temps moyen de la survenue à la détection (MTTD) et le temps moyen de la détection au confinement (MTTC) est correcte ?

  1. AMTTD de 4 heures, MTTC de 12 heures
  2. BMTTD de 8 heures, MTTC de 4 heures
  3. CMTTD de 12 heures, MTTC de 4 heures
Afficher la réponse et l'explication

Réponse : C. MTTD de 12 heures, MTTC de 4 heures

Le MTTD est la moyenne des temps entre la survenue et la détection, soit (10 + 30 + 2 + 6) ÷ 4 = 48 ÷ 4 = 12 heures. Le MTTC est la moyenne des temps entre la détection et le confinement : (4 + 2 + 6 + 4) ÷ 4 = 16 ÷ 4 = 4 heures. Dans cet exemple, la détection tardive de l'incident 2 tire nettement la moyenne vers le haut, et l'écart avec la médiane du temps jusqu'à la détection (8 heures) montre que quelques incidents ont été longs à détecter. Plus le temps jusqu'à la détection est long, plus les attaquants peuvent agir longtemps à l'intérieur ; raccourcir le MTTD par la surveillance des journaux et l'EDR est donc important pour limiter les dommages.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?
  2. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?
  3. Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?
  4. La Cyber Kill Chain présentée par Lockheed Martin en 2011 divise le déroulement d'une attaque ciblée en sept étapes. Quel ordre des étapes est correct ?
  5. MITRE ATT&CK est une base de connaissances qui classe les méthodes observées lors d'attaques réelles en « tactiques », qui représentent les objectifs de l'attaquant, et en « techniques », qui représentent les moyens concrets d'atteindre ces objectifs. Quelle association entre une action observée et la tactique dont elle relève est correcte ?