SECURITE INFORMATIQUE

Prof. ILUNGA Elisée

Coll : MANZENZA Archange

EXERCICES ET
PROJETS
DU COURS

NOM DE L’ETUDIANT :

Veillez imprimer ce document

 1

INTRODUCTION

Ce document constitue le support pratique indispensable au cours de Sécurité

Informatique (SI), venant compléter l'apprentissage théorique des fondements,
des menaces et des contre-mesures. L'ère numérique actuelle expose toute
organisation à un paysage de menaces en constante évolution. Face à cela, la
simple connaissance des concepts ne suffit pas : la capacité d'analyser,
d'identifier les risques et de proposer des solutions de défense concrètes est
une compétence vitale pour tout professionnel.

L'objectif principal de ces exercices et projets est de vous amener à appliquer

la méthodologie de l'audit de sécurité et de la gestion des risques à des
scénarios réalistes. En travaillant sur l'évaluation des actifs et la formulation de
politiques de sécurité, vous passerez du statut d'apprenant à celui d'acteur
proactif de la cybersécurité.

Ce document vous permettra notamment de :

• Comprendre le Risque : Décomposer les concepts abstraits de Menace,

Vulnérabilité et Risque (Chapitre I) en éléments tangibles au sein d'une
organisation.
• Évaluer les Défenses : Justifier l'implémentation de Mesures Techniques
(Chapitre II : pare-feux, cryptographie, sauvegarde) et des Politiques
Organisationnelles (Chapitre III : PSSI, Contrôles d'Accès) basées sur les
besoins réels.

Le travail pratique est articulé autour de trois composantes

principales, s'alignant sur la structure du cours :

1. Questions d'Approfondissement et Pratiques Simultanées : Pour

ancrer la maîtrise des fondements et des mécanismes de
défense (cryptographie, pare-feux, gestion des accès). Les
exercices basés sur des simulateurs (ex : Wireshark, Nmap) vous
permettront d'observer et de manipuler les flux et les
vulnérabilités en environnement contrôlé.
2. Projet 1 : L'Audit et l'Analyse des Risques (Chapitre I) : Vous
apprendrez à identifier et à qualifier les vulnérabilités
 2

(matérielles, réseau, humaines) d'une entreprise, formalisant ainsi

la méthode d'évaluation du risque.
3. Projet 2 : Le Plan de Remédiation et les Politiques (Chapitres II &
III) : S'appuyant sur l'audit, cette étape cruciale vous
demandera de concevoir et de justifier des solutions techniques
(durcissement des OS, configurations réseau) et
organisationnelles (PSSI, PCA/PRA, RBAC), simulant la fonction
d'Architecte Sécurité.

En vous engageant pleinement dans ces travaux, vous développerez

une posture de défense solide, indispensable pour assurer la
Confidentialité, l'Intégrité et la Disponibilité des actifs informationnels
de toute entreprise.

Nous vous encourageons à aborder ce travail avec rigueur et

créativité. La réussite de ces exercices et projets est la garantie d'une
compréhension solide des enjeux de la Sécurité Informatique.
 QUESTIONS A CHOIX MULTIPLES

I) Selon le modèle C.I.A.A.N., quel objectif fondamental garantit que

l'information n'est accessible et divulguée qu'aux entités autorisées ?

A. Confidentialité
B. Intégrité
C. Disponibilité
D. Non-Répudiation

2) Selon le document, quelle mesure est l'outil technique clé pour

garantir la Disponibilité ?

A. La classification des données

B. Le Contrôle d'Accès basé sur les Rôles (RBAC)
C. La Signature Numérique
D. La Redondance et les Sauvegardes

3) L'Authentification Multi-Facteurs (MFA) exige l'utilisation d'au moins

deux des trois facteurs suivants pour valider une identité. Quel facteur
ne fait pas partie de cette classification des facteurs d'authentification
?

A. Ce que vous possédez (Token physique ou logiciel)

B. Ce que vous êtes (Biométrie)
C. Ce que vous faites (Comportement)
D. Ce que vous savez (Mot de passe, PIN)

4) Quel concept de sécurité fournit la preuve qu'une entité ne peut

pas nier ultérieurement avoir effectué une action (comme l'envoi d'un
message ou la validation d'une transaction) ?

A. La Non-Répudiation
B. L'Autorisation
C. L'Authentification
D. La Journalisation (Logging)
 4

5) Quelle est la définition d'une Menace dans le contexte de l'étude

des risques informatiques ?

A. La faiblesse inhérente à un système (logiciel, matériel, ou humain)

qui peut être exploitée.
B. Le danger potentiel (interne ou externe) qui pourrait endommager
un actif.
C. Tout moyen mis en œuvre pour réduire la probabilité d'un
dommage.
D. Le dommage réel causé par un incident de sécurité.

6) Quelle méthode non technique vise à obtenir des informations

confidentielles en manipulant psychologiquement une personne ?

A. L'Ingénierie Sociale
B. Le Déni de Service (DoS)
C. L'injection SQL
D. L'Analyse des Risques

7) Comment se distingue une Attaque Passive d'une Attaque Active

selon le tableau de classification du cours ?

A. L'Attaque Passive modifie les flux de données, l'Active non.

B. L'Attaque Passive est menée par des acteurs internes, l'Active par
des acteurs externes.
C. L'Attaque Passive nécessite l'exécution d'un programme hôte,
l'Active est autonome.
D. L'Attaque Passive compromet la Confidentialité et est difficile à
détecter, l'Active compromet l'Intégrité/Disponibilité et est plus facile
à détecter.

8) Pourquoi les Attaques Internes (Insider Threats) sont-elles

statistiquement les plus coûteuses et les plus difficiles à prévenir ?

A. Elles proviennent toujours de réseaux non fiables (Internet) et

exploitent des failles 'zero-day'.
B. Elles se limitent à l'écoute et à l'analyse de trafic sans altération du
système.
 5

C. Elles sont menées par des acteurs disposant déjà d'un accès
légitime au système.
D. Elles utilisent uniquement des ransomwares sophistiqués pour le gain
financier.

9) Quel terme générique désigne un programme conçu dans

l'intention de nuire à un système informatique, de voler des données
ou de prendre le contrôle ?

A. Logiciel Furtif (Stealthware)

B. Micrologiciel (Firmware)
C. Logiciel d'Accessoire (Adware)
D. Logiciel Malveillant (Malware)

10) Quelle est la caractéristique principale qui distingue un Virus

informatique d'un Ver (Worm) ?

A. Le Ver nécessite l'intervention de l'utilisateur pour se propager, le

Virus non.
B. Le Ver cible uniquement les systèmes d'exploitation, le Virus les
applications.
C. Le Virus se réplique sans avoir besoin d'un hôte, le Ver en a besoin.
D. Le Virus a besoin d'un hôte (un fichier légitime) pour s'attacher et se
répliquer, alors que le Ver est autonome.

11) Quel type de virus infecte le secteur de démarrage d'un disque

dur et s'exécute avant le système d'exploitation ?

A. Virus de Fichier
B. Virus Polymorphe
C. Virus Macro
D. Virus de Secteur de Démarrage

12) Quelle est la principale conséquence pour le réseau causée par

la propagation exponentielle d'un Ver (Worm) ?

A. La saturation de la bande passante.

B. L'installation de malwares de type Keylogger.
 6

C. Le chiffrement des fichiers critiques de la victime.

D. La corruption des bases de données système.

13) Contrairement au Virus ou au Ver, quel est l'objectif principal du

Cheval de Troie (Trojan) ?

A. Se répliquer sur un maximum de systèmes d'exploitation.

B. Voler des informations ou fournir un accès à distance.
C. Surcharger les serveurs DNS de l'entreprise.
D. Détruire le secteur de démarrage du disque dur.

14) Que permet concrètement un Trojan d'Accès à Distance (RAT) à

l'attaquant ?

A. Modifier le mot de passe de l'utilisateur sans le dérober.

B. Prendre le contrôle complet du système infecté, le transformant en
'zombie machine'.
C. Chiffrer les données de la victime et exiger une rançon.
D. Corriger une faille de sécurité dans le système d'exploitation.

15) Quel est le mécanisme d'attaque le plus fréquent du Rançongiciel

pour compromettre la Disponibilité des systèmes ?

A. Le chiffrement robuste des fichiers critiques de la victime.

B. L'envoi massif de pourriels (spam) à partir de la machine infectée.
C. La surveillance des frappes de clavier pour voler des identifiants.
D. La suppression pure et simple de tous les fichiers de la victime.

16) Quel est l'outil de surveillance le plus courant du Logiciel Espion

(Spyware), conçu pour enregistrer toutes les frappes de clavier d'un
utilisateur ?

A. Un 'Rootkit'
B. Un 'Keylogger' (Enregistreur de Frappes)
C. Un Cheval de Troie Bancaire
D. Un 'Browser Hijacker'
 7

17) Dans le Chapitre II, quel terme est utilisé pour décrire le processus
qui consiste à appliquer des mises à jour logicielles pour remédier aux
failles de sécurité et améliorer le durcissement des systèmes ?

A. Patch Management (Gestion des Correctifs)

B. DevSecOps
C. Sécurité par Conception ('Security by Design')
D. Tests d'Intrusion ('Penetration Testing')

18) Quel composant de sécurité réseau sert à filtrer le trafic entre

différents segments de réseau, en fonction de règles prédéfinies ?

A. Le Réseau Privé Virtuel (VPN)

B. Le Proxy
C. Le Système de Détection et Prévention d'Intrusion (IDS/IPS)
D. Le Pare-feu (Firewall)

19) Quelle est la différence fondamentale entre un Système de

Détection d'Intrusion (IDS) et un Système de Prévention d'Intrusion (IPS)
?

A. L'IDS alerte l'administrateur après détection, l'IPS bloque l'attaque

en temps réel.
B. L'IDS chiffre le trafic, l'IPS ne fait que le filtrer.
C. L'IDS est orienté réseau, l'IPS est orienté hôte (poste de travail).
D. L'IDS détecte les attaques internes, l'IPS les attaques externes.

20) Quel est le rôle principal d'un VPN (Réseau Privé Virtuel) dans la
sécurité des communications ?

A. Remplacer le Pare-feu pour le filtrage de paquets.

B. Créer un tunnel sécurisé et chiffré sur un réseau non sécurisé
(comme Internet).
C. Accélérer la vitesse de connexion des utilisateurs à distance.
D. Empêcher le Déni de Service Distribué (DDoS).
 8

21) Quel protocole est utilisé pour sécuriser les communications entre
un navigateur Web et un serveur, généralement indiqué par HTTPS ?

A. FTP (File Transfer Protocol)

B. TLS (Transport Layer Security)
C. SMB (Server Message Block)
D. ARP (Address Resolution Protocol)

22) Quel protocole de sécurité pour les réseaux sans fil (Wi-Fi) est
explicitement mentionné comme étant obsolète et facilement
cassable ?

A. TLS (Transport Layer Security)

B. WEP (Wired Equivalent Privacy)
C. WPA3 (Wi-Fi Protected Access 3)
D. WPA2 (Wi-Fi Protected Access 2)

23) Quel mode de sécurité d'accès Wi-Fi est plus sécurisé car il utilise
un serveur d'authentification central (RADIUS) et des identifiants
uniques pour chaque utilisateur ?

A. Mode PSK (Pre-Shared Key)

B. Mode Open (Ouvert)
C. Mode 802.1X (WPA-Enterprise)
D. Filtrage MAC

24) Selon la classification des données, quelle classification nécessite

des contrôles tels que le chiffrement fort, le MAC (Mandatory Access
Control) et la non-répudiation en raison du préjudice grave ou
catastrophique causé par leur divulgation ?

A. Publique
B. Interne
C. Confidentiel/Sensible
D. Secret/Top Secret
 9

25) Quelle est la signification de la règle '3-2-1' dans la stratégie de

sauvegarde ?

A. Sauvegarder 3 fois par jour, 2 fois par semaine, et restaurer 1 fois par
an.
B. Avoir 3 copies des données (original + 2 sauvegardes), stockées sur
2 types de supports différents, dont 1 copie hors-site.
C. Trois sauvegardes quotidiennes, deux hebdomadaires, une
mensuelle.
D. Trois niveaux de chiffrement, deux administrateurs requis, un mot de
passe unique.

26) Dans la stratégie de sauvegarde, que garantit le concept de

Sauvegardes Immuables ?

A. Que les données sont chiffrées uniquement avec un algorithme

symétrique.
B. Que les sauvegardes peuvent être restaurées plus rapidement que
les sauvegardes normales.
C. Que la copie de sauvegarde ne pourra pas être modifiée, effacée
ou chiffrée par un rançongiciel.
D. Que les sauvegardes sont uniquement stockées hors-site (dans un
lieu distant).

27) La vulnérabilité OWASP A01: Injection concerne principalement

quel type d'attaque ?

A. L'usurpation d'identité via l'Ingénierie Sociale (Phishing).

B. L'exposition de données sensibles non chiffrées (mots de passe,
cartes de crédit).
C. La défaillance d'Authentification due à une mauvaise gestion des
sessions utilisateur.
D. L'envoi de données non fiables à un interpréteur pour exécuter des
commandes non prévues, comme l'Injection SQL.

28) Que signifie la faille OWASP A07: Faille de Contrôle d'Accès ?

A. Le mot de passe de l'administrateur est 'admin123'.

 10

B. Un utilisateur accède à des ressources qui ne lui sont pas autorisées

(ex : lire les factures d'un autre client).
C. Le système d'information n'a pas de plan de reprise d'activité (PRA).
D. Le logiciel n'a pas été testé pour les injections SQL.

29) Quel est le principe fondamental du Security by Design dans

l'approche DevSecOps ?

A. Les exigences de sécurité sont intégrées dès la phase de

conception du logiciel.
B. L'application doit être capable de se défendre seule contre toute
attaque DDoS.
C. L'équipe de sécurité et l'équipe de développement sont fusionnées
en une seule équipe.
D. La sécurité est assurée par des tests d'intrusion réalisés juste avant le
déploiement de l'application.

30) Quel type d'outil d'analyse de code est utilisé pendant la Phase de
Codage du cycle DevSecOps pour détecter les failles avant le
déploiement ?

A. Outil d'Analyse de Code Statique (SAST)

B. Outil de Gestion des Correctifs (Patch Management)
C. Outil de Surveillance des Logs (SIEM)
D. Outil d'Analyse de Code Dynamique (DAST)

31) Quel est l'objectif principal d'un Test d'Intrusion (Penetration

Testing) ?

A. Fournir des identifiants et des mots de passe temporaires aux

auditeurs externes.
B. S'assurer que toutes les données sont stockées dans des conteneurs
isolés.
C. Simuler une tentative autorisée de pénétrer le système
d'information pour identifier les vulnérabilités existantes.
D. Rédiger la Politique de Sécurité du Système d'Information (PSSI) de
l'organisation.
 11

32) Dans le triptyque du Contrôle d'Accès (I.A.A.), à quelle étape

correspond la question : 'Êtes-vous bien celui que vous prétendez être
?'

A. Identification
B. Autorisation
C. Audit
D. Authentification

33) Quel modèle de contrôle d'accès est le plus souple et est basé sur
l'attribution de permissions en fonction du rôle de l'utilisateur dans
l'organisation (ex : 'Comptable', 'Manager') ?

A. MAC (Mandatory Access Control)

B. ABAC (Attribute-Based Access Control)
C. RBAC (Role-Based Access Control)
D. DAC (Discretionary Access Control)

34) Dans quel modèle de contrôle d'accès le propriétaire d'une

ressource (fichier ou dossier) a-t-il la liberté de définir ou de modifier
les permissions d'accès pour les autres utilisateurs ?

A. Role-Based Access Control (RBAC)

B. Discretionary Access Control (DAC)
C. Mandatory Access Control (MAC)
D. Time-Based Access Control (TBAC)

35) Quelle est la principale caractéristique du Chiffrement Symétrique

?

A. Il utilise une clé publique et une clé privée.

B. Il utilise la même clé (clé secrète) pour le chiffrement et le
déchiffrement.
C. Il est plus lent que le chiffrement Asymétrique.
D. La clé de chiffrement est différente de la clé de déchiffrement.
 12

36) Dans la Cryptographie Asymétrique (à Clé Publique), quelle clé

est utilisée par l'émetteur pour chiffrer un message destiné au
destinataire ?

A. La clé privée du destinataire.

B. La clé secrète du destinataire.
C. La clé publique du destinataire.
D. La clé publique de l'émetteur.

37) Quelle propriété essentielle d'une fonction de hachage garantit

l'Intégrité des données, en rendant extrêmement difficile de trouver
deux entrées différentes qui produisent la même sortie (hash) ?

A. Taille Fixe de la Sortie

B. Résistance aux Collisions
C. Unidirectionnalité
D. Déterminisme

38) Pourquoi les systèmes d'information ne stockent-ils jamais les mots

de passe des utilisateurs en clair, mais seulement leur hash salé (salt)
?

A. Pour garantir l'Intégrité des données de l'utilisateur, et non la

Confidentialité.
B. Pour permettre la récupération du mot de passe en cas d'oubli par
l'utilisateur.
C. Pour protéger la Confidentialité des mots de passe en cas de vol
de la base de données.
D. Pour accélérer le processus de chiffrement asymétrique au
moment de la connexion.

39) Quelle est la fonction principale de la Politique de Sécurité du

Système d'Information (PSSI) ?

A. Être le document technique détaillant les configurations des pare-

feux.
B. Former et sensibiliser le personnel aux risques d'Ingénierie Sociale.
 13

C. Décrire les étapes techniques de restauration du SI après une

catastrophe.
D. Formaliser la stratégie de l'organisation en matière de cybersécurité
et définir le niveau de protection requis pour les actifs.

40) Pour garantir son autorité et son financement, par qui la Politique
de Sécurité du Système d'Information (PSSI) doit-elle être approuvée
?

A. Les auditeurs externes et les organismes de certification.

B. Les administrateurs systèmes et réseaux.
C. Le Responsable de la Sécurité des Systèmes d'Information (RSSI).
D. La Haute Direction (Direction Générale ou Comité de Direction).

41) Le cours stipule que l'humain est le maillon le plus faible de la

chaîne de sécurité. Quelle contre-mesure est considérée comme
cruciale pour pallier cette vulnérabilité ?

A. La mise en place de la stratégie de sauvegarde 3-2-1.

B. La Sensibilisation et la Formation Continue des Utilisateurs.
C. Le chiffrement de bout en bout de toutes les communications.
D. L'utilisation systématique de l'Authentification Multi-Facteurs (MFA).

42) Quel est l'objectif principal du Plan de Continuité d'Activité (PCA)

?

A. Maintenir les fonctions métier essentielles de l'entreprise pendant

l'incident, en mode dégradé si nécessaire.
B. Rétablir complètement le Système d'Information dans un
environnement opérationnel après une crise.
C. Analyser les vulnérabilités des applications Web (OWASP Top 10).
D. Documenter la politique de sécurité des mots de passe.

43) Dans l'élaboration d'un Plan de Continuité d'Activité (PCA), que

représente l'indicateur DMIA (Délai Max. d'Interruption Admissible) ?

A. Le coût maximal des dommages financiers résultant d'un incident.

B. Le nombre maximal d'incidents de sécurité admissibles par an.
 14

C. Le délai maximal pendant lequel une fonction vitale de l'entreprise

peut être interrompue sans causer de préjudice inacceptable.
D. Le délai maximal après lequel la restauration des données doit être
achevée.

44) Selon le règlement RGPD (Règlement Général sur la Protection des

Données), quel est le délai légal maximum pour notifier l'autorité de
contrôle (comme la CNIL) en cas de violation de données
personnelles (fuite) ?

A. 7 jours ouvrés.
B. 1 mois, uniquement si l'incident est de nature criminelle.
C. 72 heures après avoir pris connaissance de la violation.
D. Dès que l'incident est maîtrisé, sans délai spécifique.
 15

QUESTIONS APPROFONDIES DE SÉCURITÉ INFORMATIQUE

Chapitre I : Fondements de la Sécurité Informatique et Menaces (14

Questions)

1. Modèle C.I.A.A.N. : Expliquez en détail les trois piliers du triangle

C.I.A. (Confidentialité, Intégrité, Disponibilité) et analysez un
scénario où une attaque par rançongiciel compromet
simultanément deux de ces objectifs.

2. Authentification vs. Non-Répudiation : Distinguez clairement

l'objectif d'Authentification de celui de la Non-Répudiation. Quel
mécanisme cryptographique est indispensable pour la Non-
Répudiation et comment cela est-il lié à la notion de preuve ?

3. Analyse des Risques : Décrivez comment la formule

fondamentale $Risque = Probabilité \times Impact$ est utilisée
pour hiérarchiser les efforts de sécurité. Fournissez un exemple de
contre-mesure qui réduit la Probabilité et un autre qui réduit
l'Impact.

4. Risques Humains : Justifiez l'affirmation du cours selon laquelle les

Risques Humains sont les plus importants. Donnez deux exemples
illustrant comment la maladresse (erreur non malveillante) d'un
employé peut causer un incident critique.

5. Menace vs. Vulnérabilité : Définissez et distinguez la Menace de

la Vulnérabilité. Expliquez comment une Contre-mesure peut
cibler l'une ou l'autre pour réduire le risque global.

6. Attaques Passives vs. Actives : Établissez une distinction

opérationnelle entre une Attaque Passive (ex: Sniffing) et une
Attaque Active (ex: Injection SQL). Quel objectif C.I.A. est ciblé
 16

par l'attaque Passive et pourquoi est-elle plus difficile à détecter

?

7. Ingénierie Sociale : Décrivez l'Ingénierie Sociale et expliquez en

quoi l'exploitation de la vulnérabilité humaine rend cette
méthode souvent plus efficace que les attaques techniques
complexes.

8. Virus vs. Ver (Worm) : Expliquez la différence fondamentale entre

un Virus et un Ver en termes de mécanisme de propagation et
d'autonomie. Quel est l'impact typique de la propagation d'un
Ver sur les performances d'un réseau ?

9. Cheval de Troie d'Accès à Distance (RAT) : Décrivez la nature

d'un Cheval de Troie (Trojan) et comment un RAT (Remote
Access Trojan) permet à un attaquant de transformer la
machine compromise en « machine zombie ».

10. Rançongiciel (Ransomware) : Décrivez la technique de la

Double Extorsion utilisée par les groupes de rançongiciels. Quel
objectif de sécurité supplémentaire est ciblé par l'extorsion de
données, en plus de la Disponibilité ?

11. Déni de Service (DoS/DDoS) : Quel est l'objectif principal

d'une attaque par Déni de Service (DoS/DDoS) ? Expliquez en
quoi la technique du DDoS (Distribué) aggrave l'impact et la
difficulté de défense par rapport à un simple DoS.

12. Zero-Day : Définissez ce qu'est une vulnérabilité 'Zero-Day'

et analysez pourquoi sa découverte et son exploitation sont
considérées comme l'un des risques les plus critiques pour la
sécurité.
 17

13. Keylogger : Décrivez le rôle et le fonctionnement d'un

Keylogger. Quel type de donnée confidentielle est-il le plus
souvent conçu pour voler ?

14. Spoofing : Définissez le Spoofing (usurpation d'identité) et

décrivez brièvement comment cela pourrait être utilisé comme
première étape dans une attaque d'Ingénierie Sociale.

Chapitre II : Techniques de Défense et Sécurité des Applications (13

Questions)

15. Pare-feu vs. IDS/IPS : Établissez la distinction fonctionnelle

entre un Pare-feu (Firewall) et un Système de Détection et de
Prévention d'Intrusion (IDS/IPS). Expliquez pourquoi ces deux
outils sont nécessaires pour une défense en profondeur.

16. VPN : Quel est l'objectif principal d'un Réseau Privé Virtuel
(VPN) ? Décrivez comment il garantit les objectifs de
Confidentialité et d'Intégrité sur un réseau non sécurisé comme
Internet.

17. Sécurité Wi-Fi : Expliquez pourquoi le protocole WEP est

considéré comme totalement obsolète. Quelle amélioration
majeure en termes de chiffrement et de résistance aux attaques
a été apportée par la norme WPA2/WPA3 ?

18. Contrôle d'Accès Wi-Fi : Comparez le mode WPA-PSK (Pre-

Shared Key) au mode WPA-Enterprise (802.1X). Justifiez pourquoi
le mode Enterprise est obligatoire pour les grandes organisations.

19. Stratégie de Sauvegarde : Expliquez en détail la règle des

bonnes pratiques '3-2-1' en matière de sauvegarde. Quel
élément de cette règle est la contre-mesure essentielle contre
un sinistre géographique majeur ?
 18

20. Sauvegardes Immuables : Décrivez le concept de

Sauvegardes Immuables. Comment cette fonctionnalité
protège-t-elle spécifiquement l'organisation contre la menace
d'un rançongiciel qui aurait réussi à pénétrer le réseau de
sauvegarde ?

21. Classification des Données : Définissez l'importance de la

Classification des Données pour la sécurité. Donnez un exemple
de donnée classée 'Secret' et décrivez les contrôles de sécurité
(ex. : chiffrement fort, MAC) qui sont justifiés pour ce niveau.

22. OWASP A01 : Injection : Décrivez la faille OWASP A01:

Injection (ex: Injection SQL). Proposez la méthode de défense la
plus efficace contre cette menace pour le développement
d'applications Web.

23. OWASP A07 : Faille de Contrôle d'Accès : Expliquez ce que

signifie une Faille de Contrôle d'Accès (OWASP A07). Donnez un
scénario où un utilisateur non privilégié pourrait exploiter cette
faille.

24. DevSecOps : Définissez le principe de 'Security by Design'.

Justifiez l'intégration de la sécurité dès le début du cycle de
développement par opposition à des tests réalisés uniquement
avant le déploiement (approche traditionnelle).

25. SAST : Quel est le rôle d'un outil d'Analyse Statique de Code
(SAST) ? À quelle phase du cycle DevSecOps cet outil est-il le plus
utile, et pourquoi ?

26. Tests d'Intrusion : Comparez les approches 'Boîte Blanche

(White-Box)' et 'Boîte Noire (Black-Box)' des tests d'intrusion. Dans
quel cas l'approche White-Box est-elle préférée, et pourquoi ?
 19

27. Patch Management : Pourquoi la gestion et l'application

régulière des correctifs (patchs) sont-elles une mesure de
sécurité essentielle, même si elles présentent un risque pour la
stabilité du système ?

Chapitre III : Gestion et Organisation de la Sécurité (13 Questions)

28. PSSI : Quel est l'objectif principal de la Politique de Sécurité

du Système d'Information (PSSI) ? Expliquez pourquoi elle doit
être un document de haut niveau validé par la Direction
Générale.

29. PCA vs. PRA : Distinguez le rôle du Plan de Continuité

d'Activité (PCA) de celui du Plan de Reprise d'Activité (PRA).
Expliquez la chronologie de leur activation suite à un sinistre.

30. DMIA et RTO : Définissez les indicateurs DMIA (Délai Max.

d'Interruption Admissible) et RTO (Recovery Time Objective).
Expliquez pourquoi le RTO doit toujours être inférieur au DMIA.

31. Chiffrement Symétrique vs. Asymétrique : Comparez le

chiffrement symétrique et le chiffrement asymétrique en termes
de nombre de clés et de performance (vitesse). Quel est le défi
principal du chiffrement symétrique ?

32. Cryptographie Asymétrique : Décrivez comment la

cryptographie asymétrique (clé publique et clé privée) permet
à un émetteur de garantir la Confidentialité d'un message
destiné à un seul destinataire, et non au reste du monde.

33. PKI et Confiance : Quel est le rôle d'une Infrastructure à Clé

Publique (PKI) ? Expliquez comment un Certificat Numérique
(dans HTTPS par exemple) permet d'établir la confiance dans
l'identité d'un serveur Web.
 20

34. Hachage (Propriétés) : Quelles sont les deux propriétés

essentielles des fonctions de hachage cryptographique qui
garantissent l'Intégrité : la Résistance aux Collisions et
l'Unidirectionnalité ? Expliquez-les brièvement.

35. Mot de Passe Haché et Salé : Justifiez pourquoi il est

impératif de stocker les mots de passe sous forme de hachage
salé (salted hash). Quel type d'attaque la simple utilisation d'une
fonction de hachage sans salage ne permet-elle pas de contrer
?

36. Contrôle d'Accès DAC : Décrivez le modèle DAC

(Discretionary Access Control). Quel est son principal
inconvénient pour un environnement d'entreprise où la politique
de sécurité doit être uniforme et stricte ?

37. Contrôle d'Accès RBAC : Expliquez l'avantage du modèle

RBAC (Role-Based Access Control) par rapport au modèle DAC.
Comment le RBAC simplifie-t-il la gestion des droits d'accès à
grande échelle ?

38. Formation et Sensibilisation : Pourquoi la formation et la

sensibilisation continue des employés sont-elles considérées
comme la contre-mesure la plus essentielle pour la défense
contre l'Ingénierie Sociale et les menaces internes ?

39. RGPD : Dans le cadre du Règlement Général sur la

Protection des Données (RGPD), décrivez l'obligation et le délai
légal maximum de notification en cas de violation de données
personnelles à l'autorité de contrôle compétente (CNIL en
France).

40. Principe du Moindre Privilège : Définissez le Principe du

Moindre Privilège. Comment l'application de ce principe
 21

contribue-t-elle à réduire l'Impact potentiel des Attaques

Internes ou des systèmes compromis ?
 22

EXERCICES PRATIQUES AVEC SIMULATEURS ET LOGICIELS DE SÉCURITÉ

Ces exercices visent à vous donner une expérience concrète dans la

configuration, le test et l'analyse des systèmes de sécurité.

Chapitre I : Fondements et Menaces (Analyse et Détection)

L'accent est mis sur la compréhension du trafic réseau, la détection

des vulnérabilités et l'analyse de l'Intégrité.

N° Objectif Outil Suggéré Tâche Spécifique

Pratique

P1.1 Analyse de la Wireshark (ou Capturer le trafic réseau lors

Confidentialité un simulateur d'une connexion HTTP (non
réseau comme chiffrée). Identifier et
Cisco Packet extraire des informations en
Tracer) clair (ex: un mot de passe
ou un nom d'utilisateur)
pour illustrer la faille de la
Confidentialité.

P1.2 Vérification Tout OS (via Calculer l'empreinte de

d'Intégrité certutil sur hachage (SHA-256) d'un
(Hashing) Windows ou fichier. Modifier le fichier
sha256sum sur (ajouter un seul caractère)
Linux/macOS) et recalculer l'empreinte.
Observer le changement
drastique pour illustrer la
propriété de l'Intégrité.

P1.3 Identification Nmap (ou Scanner un réseau local de

de Zenmap pour test (ou une machine
Vulnérabilités l'interface virtuelle que vous contrôlez)
graphique) pour identifier les ports
ouverts (services actifs) et
 23

les versions des systèmes

d'exploitation/services.
Identifier une version de
service connue comme
vulnérable.

P1.4 Phishing Gophish Créer une fausse page de

(Ingénierie (Plateforme de connexion (clone de
Sociale) simulation Google ou Outlook) et
d'attaques de envoyer un e-mail de test à
phishing) votre propre adresse pour
comprendre comment les
attaquants conçoivent des
attaques de Phishing
crédibles.

Chapitre II : Techniques de Défense (Configuration et Durcissement)

L'accent est mis sur l'implémentation des contre-mesures techniques

(Firewall, Accès, Chiffrement).

N° Objectif Outil Suggéré Tâche Spécifique

Pratique

P2.1 Configuration pfSense (ou un Configurer le pare-feu

de Pare-feu firewall intégré à pour : 1) Bloquer tout le
l'OS : Windows trafic entrant par défaut.
Firewall/iptables 2) Autoriser uniquement
sur Linux) le trafic SSH (port 22) et
HTTP/S (ports 80/443) vers
un serveur spécifique.
 24

P2.2 Sécurité Wi-Fi Machine Virtuelle Simuler la configuration

(WPA- (avec un serveur d'un réseau sans fil pour
Enterprise) FreeRADIUS utiliser le protocole
simulé) 802.1X/WPA-Enterprise
au lieu d'une simple clé
PSK. Expliquer pourquoi
cela renforce
l'Authentification.

P2.3 Mise en place OpenVPN (ou tout Configurer un tunnel VPN

d'un VPN autre simple entre deux
client/serveur machines virtuelles.
VPN) Vérifier, à l'aide de
Wireshark, que le trafic à
l'intérieur du tunnel est
chiffré, illustrant la
garantie de la
Confidentialité en transit.

P2.4 Chiffrement BitLocker Chiffrer une partition ou

de Disque (Windows) ou un disque virtuel
VeraCrypt (Multi- complet. Expliquer
plateforme) pourquoi le chiffrement
au repos est essentiel
pour la Confidentialité en
cas de vol matériel.

Chapitre III : Gestion et Organisation (Accès et Gestion des Clés)

L'accent est mis sur la gestion des accès, la gestion des identités et la
PKI (Infrastructure à Clé Publique).

N° Objectif Outil Suggéré Tâche Spécifique

Pratique
 25

P3.1 Contrôle Active Directory Créer trois utilisateurs et

d'Accès (via Windows deux groupes (Rôles :
(RBAC) Server Administrateurs, Utilisateurs
Virtualisé) ou standards). Appliquer des
Linux (gestion permissions d'accès aux
des groupes) fichiers (ex: lire/écrire)
différentes pour chaque
groupe pour illustrer le
modèle RBAC.

P3.2 Gestion des KeePass (ou un Générer un mot de passe

Mots de Passe autre long et complexe (via
gestionnaire de l'outil). Expliquer comment
mots de passe) l'utilisation d'un
gestionnaire de mots de
passe permet de renforcer
l'Authentification malgré le
risque humain.

P3.3 PKI (Certificats OpenSSL (ligne Générer une paire de clés

Numériques) de commande) (publique/privée) et créer
un certificat autosigné
(Self-Signed Certificate).
Expliquer comment la clé
publique permet de vérifier
la Non-Répudiation d'un
message signé.

P3.4 Sauvegarde et Logiciel de Simuler une défaillance

Récupération Sauvegarde (supprimer un fichier
(Disponibilité) (ex: Veeam, ou critique) et utiliser la
scripts simples) sauvegarde pour le
restaurer. Mesurer le temps
nécessaire à la restauration
 26

(RTO partiel) pour un fichier

donné.

Configuration de l'Environnement

Il est fortement recommandé d'utiliser des Machines Virtuelles (VM)

(avec des outils comme VirtualBox ou VMware Workstation Player)
pour isoler l'environnement de test de votre système principal. Cela
vous permet d'installer des outils d'attaque ou de configuration sans
risque pour votre ordinateur personnel.
 27

PROJET : AUDIT INITIAL DES RISQUES ET VULNÉRABILITÉS D'UNE

ORGANISATION (3 à 6 personnes par groupe)

L'objectif de ce projet est de réaliser une analyse de risques

préliminaire (basée sur une observation et une recherche réaliste, sans
intrusion réelle) pour une entreprise de votre choix, en se concentrant
sur les concepts du Chapitre I.

Phase 1 : Choix de l'Organisation et Identification des Actifs

1. Choix de l'Entreprise :

• Sélectionnez une entreprise ou une institution de taille moyenne

(PME, clinique, école, agence locale d'une multinationale, etc.).
Évitez les géants, car leurs architectures sont trop complexes et
opaques.
• Justification : Expliquez pourquoi cette entreprise est pertinente
pour une étude de sécurité (ex : elle gère des données
personnelles, elle utilise des systèmes de paiement en ligne, sa
notoriété en fait une cible potentielle, etc.).

2. Inventaire Matériel et Logiciel (Actifs) :

• Matériels (Exemples) : Listez les types de matériels critiques ou

sensibles (Serveurs de données, Postes de travail/Laptops,
Imprimantes réseau, Périphériques mobiles, Matériel réseau
comme les commutateurs et routeurs Wi-Fi).
• Systèmes et Logiciels (Exemples) : Listez les systèmes
d'exploitation (Windows Server, Linux, macOS), les logiciels
critiques (ERP, CRM, Base de données, Système de messagerie).
• Actifs Informationnels (Données) : Identifiez les types de données
gérées (Données clients, Données financières, Propriété
intellectuelle, Données d'employés).
 28

Phase 2 : Architecture Réseau et Adressage

3. Représentation et Architecture Réseau :

• Schéma Conceptuel : Décrivez ou représentez

schématiquement l'architecture du réseau. Identifiez au moins
deux zones distinctes :
o Zone Interne (LAN) : Le réseau des employés.
o Zone Démilitarisée (DMZ) : S'il y a un serveur Web ou un
serveur de messagerie accessible depuis Internet
(approximatif si non connu).
o Périmètre de Sécurité : L'équipement qui sert de porte
d'entrée et de sortie (Pare-feu/Routeur).
• Topologie : Précisez si le réseau utilise principalement des
connexions filaires, sans fil (Wi-Fi), ou les deux.

4. Adressage Réseau (Approximation) :

• Classes/Plages IP : Donnez une idée approximative des plages

d'adresses IP internes utilisées (ex : Un réseau interne en
[Link]/24 ou [Link]/8).
• Services Clés : Identifiez les protocoles de communication
essentiels (ex : HTTP/S pour le Web, SMTP/POP3/IMAP pour la
messagerie, RDP pour l'accès à distance).

Phase 3 : Détection des Failles et Évaluation des Risques

Appliquez les concepts du Chapitre I (Menaces, Vulnérabilités,

Risques) pour évaluer la sécurité des actifs identifiés.

5. Failles Matérielles et Logiciels :

• Matériel : Identifiez une vulnérabilité potentielle liée à la panne

matérielle (ex : Serveurs non redondants, absence d'onduleurs).
• Systèmes/OS : Identifiez une faille liée au Patch Management (ex
: Les mises à jour de l'OS sont-elles appliquées en retard ?).
• Réseau : Identifiez une vulnérabilité réseau (ex : Utilisation du Wi-
Fi en WEP ou WPA-PSK avec un mot de passe faible, absence
d'un Pare-feu efficace).
 29

6. Failles Humaines (Les plus importantes) :

• Identifiez deux vulnérabilités comportementales (ex : L'absence

de formation à la sensibilisation ; la non-application de
l'Authentification Multi-Facteurs (MFA) ; le non-respect du
principe du Moindre Privilège).
• Scénario d'Ingénierie Sociale : Proposez un scénario d'Ingénierie
Sociale (Phishing) qui pourrait exploiter une de ces failles
humaines.

7. Risques et Menaces (Analyse C.I.A.) :

Actif Ciblé Menace Vulnérabilité Objectif C.I.A. Impact

Potentielle Exploitée Compromis (Faible,
(Ex. : Moyen,
Ransomware Critique
, Phishing, )
Vol)

Base de Attaque par Absence de Confidentialité Critique

données Injection SQL validation et Intégrité
Clients des entrées

Serveur de Défaillance Absence de Disponibilité Critique

Fichiers matérielle redondance
(Disque) et de
sauvegarde
s

Ordinateu Phishing / Absence de Authentificatio Moyen

r de Ingénierie formation / n / à
l'employé Sociale Non- Confidentialité Critique
utilisation du
MFA
 30

• Remplissez et analysez un tableau similaire pour au moins cinq

actifs ou situations critiques de l'entreprise.

Livrable (Rapport d'Analyse Préliminaire)

Le rapport final doit être structuré en sections claires, totalisant entre 5

et 10 pages, et doit démontrer votre maîtrise des terminologies et
concepts introduits dans le Chapitre I.

1. Introduction et Présentation de l'Entreprise (Phase 1).

2. Description de l'Architecture et de l'Adressage Réseau (Phase 2).
3. Tableau d'Analyse des Risques (Phase 3, point 7).
4. Conclusion : Classement des trois risques prioritaires identifiés
(justification par la formule $Risque = Probabilité \times Impact$).
 31

PROJET 2 : PLAN DE REMÉDIATION ET DE POLITIQUES DE SÉCURITÉ

(CHAPITRES II & III) (3 à 6 personnes par groupe)

L'objectif de ce projet est de concevoir un plan de mise en œuvre de

contre-mesures techniques, organisationnelles et procédurales pour
sécuriser l'organisation analysée précédemment.

Phase 1 : Plan de Défense Technique (Chapitre II : Mesures et

Techniques)

Cette phase adresse les failles directement liées aux systèmes, réseaux
et applications. L'étudiant doit proposer des solutions concrètes et
justifier leur choix.

Domaine de Faille Solution Proposée Justification

Remédiation Identifiée (Mesure de (Objectifs C.I.A.
(Projet 1) Défense C2) ciblés)

Systèmes & Retard dans Mise en place Réduit la

OS l'application d'une politique de Vulnérabilité
des Patch (Probabilité de
correctifs de Management compromission) et
sécurité. (Gestion des protège l'Intégrité
Correctifs) des systèmes.
centralisée et
automatisée.

Sécurité du Utilisation de Migration Garantit

Réseau la norme immédiate vers l'Authentification
WEP/WPA- WPA3-Enterprise individuelle et
PSK pour le (802.1X) avec un renforce la
Wi-Fi. serveur RADIUS (si Confidentialité
possible). des
communications
réseau.
 32

Périmètre Absence de Installation et Assure la

(Filtrage) détection configuration d'un Disponibilité et
des attaques IPS (Système de l'Intégrité en
par Prévention bloquant les
signature. d'Intrusion) attaques en
derrière le pare- temps réel
feu. (différent du Pare-
feu).

Sécurité des Absence de Implémentation Assure la

Données copie de de la stratégie 3- Disponibilité post-
sauvegarde 2-1 des sinistre (3-2-1) et
hors-site. sauvegardes, en l'Intégrité contre
ajoutant la les rançongiciels
propriété (Immuabilité).
d'Immuabilité.

Sécurité Absence de Intégration d'outils Contre les

Applicative vérification SAST/DAST et attaques OWASP
des entrées formation à la A01: Injection,
utilisateur. sécurité par la protégeant
mise en place de l'Intégrité des
la validation des bases de
entrées (requêtes données.
paramétrées).

Tâche : Remplir un tableau similaire pour au moins cinq failles

techniques identifiées, en s'appuyant sur les solutions des sections II.1
à II.4 du cours (Antivirus, Pare-feu, VPN, Cryptographie, etc.).
 33

Phase 2 : Politiques, Accès et Organisation (Chapitre III : Autres

Mesures et Politiques)

Cette phase concerne les mesures organisationnelles, le contrôle

d'accès et la gestion des processus.

1. Contrôle d'Accès et Gestion des Identités (I.A.A.) :

• Proposition de Modèle : Proposez et justifiez l'adoption du

modèle RBAC (Role-Based Access Control) pour les employés,
en définissant 3 à 5 rôles types (ex : Opérateur de Saisie,
Manager, Administrateur). Expliquez l'avantage du RBAC sur le
DAC (Discretionary Access Control) dans ce contexte.
• Authentification Forte : Proposez l'implémentation de
l'Authentification Multi-Facteurs (MFA) pour l'accès aux systèmes
critiques. Justifiez le choix des facteurs MFA (ex : mot de passe +
token physique ou application mobile).
• Principe du Moindre Privilège : Expliquez comment la nouvelle
politique d'accès met en œuvre le Principe du Moindre Privilège
pour les administrateurs systèmes.

2. Gestion de la Cryptographie et de l'Intégrité :

• Chiffrement des Données : Déterminez quelles données doivent

être chiffrées au repos (stockage) et quelles communications
doivent être chiffrées en transit (réseau). Justifiez l'utilisation du
chiffrement symétrique ou asymétrique pour chacun des cas (ex
: chiffrement d'une base de données vs. Établissement d'un
tunnel VPN).
• Vérification d'Intégrité : Définissez une politique d'utilisation des
fonctions de hachage (ex : SHA-256) pour vérifier l'intégrité des
fichiers sensibles téléchargés depuis l'extérieur.

3. Sécurité Physique et Processus (PSSI, PCA/PRA) :

• Plan de Continuité : Proposez un indicateur DMIA (Délai Max.

d'Interruption Admissible) réaliste (en heures ou jours) pour le
service le plus critique de l'entreprise (ex : Serveur de
 34

production). Déduisez le RTO (Recovery Time Objective) pour le

PRA (Plan de Reprise d'Activité) de ce service.
• PSSI (Politique de Sécurité) : Proposez un plan pour la création de
la PSSI. Décrivez deux chapitres obligatoires que ce document
devra couvrir (ex : Politique d'utilisation des mots de passe,
Politique d'utilisation des médias amovibles).
• Sensibilisation : Proposez un plan annuel de Sensibilisation des
Utilisateurs (la contre-mesure au Risque Humain). Listez au moins
trois thèmes de formation (ex : Reconnaissance du Phishing,
Gestion des mots de passe, Signalement d'incident).

Livrable (Plan de Remédiation et de Politiques)

Le rapport final doit être un Plan d'Action Sécurité clair et

professionnel, basé sur les conclusions du Projet 1 et structuré en deux
parties principales :

1. Partie Technique : Le tableau de Remédiation technique (Phase

1) complété avec des justifications claires et précises.
2. Partie Organisationnelle : La description des nouvelles politiques
de gestion des accès, de cryptographie et de continuité (Phase
2), incluant le plan de formation et les objectifs RTO/DMIA.

L'évaluation portera sur la pertinence des solutions proposées par

rapport aux failles et sur la justification de l'utilisation des concepts des
Chapitres II et III.
 35

TABLE DES MATIERES

INTRODUCTION ..................................................................................................................... 1
QUESTIONS A CHOIX MULTIPLES ........................................................................................ 3
QUESTIONS APPROFONDIES DE SÉCURITÉ INFORMATIQUE ....................................... 15
Chapitre I : Fondements de la Sécurité Informatique et Menaces (14
Questions) ....................................................................................................................... 15
Chapitre II : Techniques de Défense et Sécurité des Applications (13
Questions) ....................................................................................................................... 17
Chapitre III : Gestion et Organisation de la Sécurité (13 Questions) ................... 19
EXERCICES PRATIQUES AVEC SIMULATEURS ET LOGICIELS DE SÉCURITÉ ................... 22
Chapitre I : Fondements et Menaces (Analyse et Détection) ......................... 22
Chapitre II : Techniques de Défense (Configuration et Durcissement) .......... 23
Chapitre III : Gestion et Organisation (Accès et Gestion des Clés) ................ 24
Configuration de l'Environnement......................................................................... 26
PROJET : AUDIT INITIAL DES RISQUES ET VULNÉRABILITÉS D'UNE ORGANISATION ..... 27
Phase 1 : Choix de l'Organisation et Identification des Actifs .......................... 27
Phase 2 : Architecture Réseau et Adressage ...................................................... 28
Phase 3 : Détection des Failles et Évaluation des Risques ................................ 28
Livrable (Rapport d'Analyse Préliminaire) ............................................................ 30
Projet 2 : Plan de Remédiation et de Politiques de Sécurité ..................................... 31
(Chapitres II & III) ................................................................................................................ 31
Phase 1 : Plan de Défense Technique (Chapitre II : Mesures et Techniques)31
Phase 2 : Politiques, Accès et Organisation (Chapitre III : Autres Mesures et
Politiques) ................................................................................................................... 33
Livrable (Plan de Remédiation et de Politiques)................................................. 34