Résumer cour Sécurité

• Pourquoi la sécurité réseau ne doit pas reposer sur un seul équipement :

La sécurité réseau ne doit pas reposer sur un seul équipement car aucun système
n’est invulnérable. Une approche défense en profondeur (layered defense) combine
plusieurs contrôles de sécurité (pare-feu, IDS/IPS, segmentation, contrôles d’accès,
etc.) pour ralentir, détecter et bloquer les attaques à différents niveaux, réduisant
ainsi le risque en cas de défaillance d’un seul élément.
• Le fonctionnement de l’inspection avec état (stateful inspection) :
Un pare-feu à inspection avec état (stateful) suit l’état des connexions (ex. sessions
TCP). Contrairement au filtrage statique (ACL) qui n’analyse que les en-têtes de
paquets, il vérifie si un paquet fait partie d’une connexion légitime déjà établie. Cela
permet de mieux bloquer les attaques (ex. scans, paquets hors contexte) et
d’autoriser dynamiquement le trafic de retour sans règles explicites pour chaque
flux.
• Comment un IDS comportemental détecte une activité suspecte :
Un IDS comportemental établit un profil de comportement “normal” du réseau/hôte
et signale tout écart significatif (anomalie).
-Vrai positif : Attaque détectée à juste titre.
-Faux positif : Alerte déclenchée sur une activité normale.
-Vrai négatif : Absence d’alerte quand il n’y a pas d’attaque.
-Faux négatif : Attaque non détectée.
• L’importance du positionnement d’un IDS ou IPS :
Avant le pare-feu : Surveillance de tout le trafic entrant (y compris attaques filtrées
ensuite).
Après le pare-feu : Analyse du trafic ayant franchi le pare-feu, moins de bruit.
En DMZ : Surveillance des serveurs exposés.
Sur le LAN : Détection des menaces internes.
Un IPS est généralement placé en ligne après le pare-feu pour bloquer le trafic
malveillant filtré.
• Type de pare-feu est capable d’analyser le contenu des paquets au delà des en
têtes H3/H4 : Pare-feu à inspection approfondie (DPI)

• La principale différence entre un IDS et un IPS : L’IDS détecte les attaques

tandis que l’IPS les bloque automatiquement.
• Type d’IDS est le plus efficace contre les attaques inconnues (zero day) : IDS
basé sur le comportement.
• Critère peut être vérifié par une solution NAC avant d’autoriser l’accès réseau :
La conformité de sécurité du poste.
• Mesure empêche un équipement non autorisé de se connecter à un port de
switch actif : Port security
• Règle décrit correctement le principe de l’implicit deny : Tout est bloqué sauf ce
qui est explicitement autorisé.
• Pourquoi désactiver les ports de switch inutilisés : Les ports inutilisés doivent être
désactivés pour éviter qu’un attaquant y branche un périphérique non autorisé (ex.
poste pirate, point d’accès rogue). Cela réduit la surface d’attaque en supprimant
des points d’entrée potentiels.
• Comment la segmentation réseau limite t elle la propagation d’une attaque : La
segmentation réseau divise le réseau en zones (ex. VLANs, sous-réseaux) avec des
contrôles d’accès entre elles. Si une zone est compromise, l’attaque est limitée à ce
segment.
Techniques : VLANs, pare-feu interne, microsegmentation (SDN), ACLs.
• Décris une attaque SYN Flood et ses contremesures :
SYN Flood : L’attaquant envoie une multitude de requêtes SYN TCP sans compléter
le handshake (pas de ACK), épuisant les ressources du serveur.
- Contre mesures :
- SYN cookies
- Limitation du taux de connexions (rate limiting)
- Pare-feu/IPS avec détection d’anomalies
- Services de mitigation DDoS (au niveau fournisseur)
• Pourquoi un pare feu local reste indispensable
Un pare-feu local (host‑based) :
- Protège l’hôte même en dehors du réseau (ex. nomade).
- Contrôle les communications inter‑processus et les applications.
- Applique des politiques spécifiques à l’hôte (complément au pare-feu réseau).
- Détecte les activités suspectes depuis la machine elle‑même.
• Le principe de l’implicit deny : Tout trafic non explicitement autorisé est bloqué,
réduisant les accès non voulus.
• Rôle du chiffrement asymétrique en HTTPS : Échanger la clé de session
• Rôle d’une PKI : Gestion certificats, authentification, chiffrement, signature.
• Différence CA racine / intermédiaire :
-CA racine : Clé privée stockée hors ligne, émet les certificats des CA intermédiaires.
-CA intermédiaire : Émet les certificats finaux (serveurs, utilisateurs). En cas de
compromission, seule la CA intermédiaire est révoquée, pas la racine.
• Cycle de vie d’un certificat :
Demande : Le demandeur génère une CSR avec sa clé publique.

Validation : La CA vérifie l’identité du demandeur.

Émission : La CA signe le certificat avec sa clé privée.

Distribution : Installation du certificat sur le serveur/équipement.

Utilisation : Le certificat est utilisé pour authentifier/chiffrer.

Renouvellement : Avant expiration, nouveau cycle.

Révocation : Si compromis, annulation via CRL/OCSP.

• comment révoquer un certificat :

La révocation est nécessaire si la clé privée est compromise, l’entité n’est plus fiable,
ou le certificat est mal utilisé.

CRL : Liste des certificats révoqués, périodiquement mise à jour (latence possible).

OCSP : Vérification en temps réel (requête/réponse), plus réactif mais charge

serveur.

• Usages des certificats en entreprise :

HTTPS : Authentification du serveur web et chiffrement.
VPN (IPsec/SSL) : Authentification des équipements/tunnels.
Signature électronique : Validation légale de documents (non-répudiation).
• Composant central d’une PKI : Autorité de certification (CA)
• Standard des certificats numériques : X.509
• Vérification un certificate en temps réel de validité : OCSP
• Clé utilisée pour signer un certificat : Clé privée de la CA

• serveur reçoit beaucoup de requêtes HTTP depuis plusieurs IP : Attaque DDoS

• E mail ciblé se faisant passer pour le PDG : Spear phishing.
• OR '1'='1' : Contournement de l’authentification.
• Malware qui modifie le noyau et se cache: Rootkit.
• Attaque testant toutes les combinaisons possibles : Brute force.
• Exploitation de la négociation TCP sans terminaison : SYN Flood.
• Lien cliqué → fichier → données chiffrées: Spear phishing + Ransomware.
• Commande Metasploit sous Kali Linux: msfconsole.
• Recherche exploits SMB Windows : search smb windows.
• Charger EternalBlue dans MSF. use exploit/windows/smb/ms17_010_eternalblue
• Explique l’ARP Cache Poisoning: Empoisonnement ARP pour MITM, interception ou
DoS.
• Objectifs fondamentaux de la cryptographie: Confidentialité, intégrité,
authentification, non répudiation.
• Comparer chiffrement symétrique et asymétrique: Symétrique rapide (AES),
asymétrique lent mais utile pour échange de clés (RSA)
• Rôle de Diffie Hellman: Établir une clé secrète commune sur un réseau non sûr
• Pourquoi ne pas chiffrer de gros volumes en asymétrique: Trop lent, on utilise une
clé symétrique après échange
• Propriété garantissant l’irréversibilité d’un hash.: Résistance à la préimage.
• Mécanisme pour vérifier que les données ne sont pas modifiées: Hachage +
signature ou HMAC.
 Qu’est-ce qu’un RAT ? et comment il diffère d’un Trojan ? (1.5 points)
• RAT (Remote Access Trojan / Remote Access Tool) : Un type de logiciel
malveillant qui offre à un attaquant un contrôle administratif complet et à
distance sur l'ordinateur de la victime.
• Différence avec un Trojan (Cheval de Troie) :
o Un Trojan est un terme générique pour tout logiciel malveillant qui se fait
passer pour quelque chose de légitime pour tromper l'utilisateur. Son
objectif principal peut varier : vol de données, création de porte dérobée,
etc.
o Un RAT est une sous-catégorie spécifique de Trojan. Sa fonctionnalité
principale et distinctive est de fournir un contrôle à distance complet et
souvent silencieux, comme si l'attaquant était physiquement devant la
machine.
• Dans les tests de sécurité, qu’est-ce que les programmes de divulgation
responsables ?
Les programmes de divulgation responsables (ou bug bounty programs) sont
des cadres formels établis par les organisations pour encourager les chercheurs
en sécurité (éthiciens) à leur signaler des vulnérabilités de manière confidentielle
et responsable. En échange, l'organisation peut offrir une récompense, une
reconnaissance, et s'engage à corriger la faille sans poursuites judiciaires,
évitant ainsi une divulgation publique prématurée.

Quels sont les 3 types d’audits qui existent ? Expliquer pour chacun quelle entité
est responsable pour sa conduite (réalisation).

• Audit Interne : Réalisé par des auditeurs internes à l'organisation (salariés

ou département dédié). Son objectif est d'évaluer en continu les contrôles et
processus pour une amélioration interne.
• Audit Externe : Réalisé par une organisation indépendante et
tierce (comme un cabinet d'audit). Il fournit une opinion objective sur la
conformité aux normes (ISO, réglementations) ou sur les états financiers, pour
rassurer les parties prenantes externes.
• Audit Réglementaire / Légal : Réalisé par ou pour le compte d'autorités de
régulation ou gouvernementales (ex : commission bancaire, autorité de
protection des données). Il vérifie la conformité stricte aux lois et règlements
en vigueur.

• Laquelle des mesures suivantes n’est pas couramment utilisée pour évaluer
les renseignements sur les menaces : Ponctualité (opportun)

• éléments suivants n’est probablement pas un IoC utile pour un rootkit :

Pop-ups demanding a ransom
• la manière la plus probable par laquelle un étudiant aurait pu accéder au
mot de passe d’un membre du personnel : -Un keylogger
(Justification : Un keylogger enregistre les frappes au clavier, ce qui permettrait de
capturer un mot de passe. Un rootkit ou un spyware pourraient aussi le faire, mais
le scénario décrit (accès unique pour modifier des notes) correspond plus à un
vol de credentials qu'à une infection persistante. Une bombe logique n'est pas
conçue pour voler des mots de passe.)

• Glenn a récemment obtenu un certificat générique pour .[Link]. Lequel

des domaines suivants ne serait pas couvert par ce certificat
- [Link]

• Quel type de chiffre opère sur un caractère de texte à la fois ?

-Chiffrement de flux:
Un chiffrement de flux (stream cipher) traite les données (souvent du texte en
clair) bit par bit ou caractère par caractère en temps réel, contrairement au
chiffrement par bloc qui travaille sur des groupes de bits de taille fixe.)
• Quelle technique l'individu pourrait-il utiliser pour cacher des informations
sensibles dans ces images ?
- Stéganographie
La stéganographie est l'art de dissimuler des informations à l'intérieur d'un autre
fichier (comme une image) sans en altérer l'apparence perceptible.)
• Lequel des serveurs suivants est presque toujours une autorité de
certification hors ligne dans un déploiement PKI important ?
- Root CA (CA Racine)
La Root CA est l'ancêtre de confiance de toute la PKI. Pour la protéger au
maximum des compromissions, elle est maintenue hors ligne (offline) et n'est
utilisée que pour signer les certificats des CA intermédiaires.)
• Amanda remarque du trafic entre ses systèmes et un hôte malveillant connu
sur le port TCP 6667. Quel type de trafic est-elle le plus susceptible de
détecter ?
-Command and control
Le port TCP 6667 est traditionnellement associé à IRC (Internet Relay Chat), un
protocole historiquement et couramment utilisé par les logiciels malveillants
pour leurs communications de commande et contrôle (C&C).)
• Un système de l'entreprise d'Elaïne a soudainement affiché un message
exigeant un paiement en Bitcoin et affirmant que les données du système
ont été cryptées. Quel type de malware Elaine a-t-elle probablement
rencontré ?
- Ransomware
(Justification : Un logiciel qui chiffre les données et demande une rançon pour les
déchiffrer est la définition même d'un ransomware.)
• Laquelle des techniques d'évaluation suivantes est conçue pour solliciter la
participation d'experts en sécurité externes et les récompenser pour la
découverte de vulnérabilités ?
-Bug bounty
Un programme de bug bounty est précisément un cadre qui encourage des
chercheurs externes à trouver et signaler des vulnérabilités en échange d'une
récompense financière ou autre.)
• Lors d'un test d'intrusion, Patrick déploie une boîte à outils sur un système
compromis et l'utilise pour accéder à d'autres systèmes sur le même réseau.
Quel terme décrit le mieux cette activité ?
- Mouvement latéral
(Justification : Le mouvement latéral (lateral movement) désigne la technique
utilisée par un attaquant pour se déplacer d'un système initialement compromis
vers d'autres systèmes au sein du même réseau, afin d'étendre son contrôle et
d'accéder à des ressources ou données sensibles.)

• David aimerait envoyer à Mike un message utilisant un algorithme de

cryptage asymétrique. Quelle clé doit-il utiliser pour chiffrer le message ?
-Clé publique de Mike
(Justification : En cryptographie asymétrique, pour garantir la confidentialité, on
chiffre le message avec la clé publique du destinataire. Seule la clé privée
correspondante de Mike pourra le déchiffrer.)

• Lorsque Mike reçoit le message que David a chiffré pour lui, quelle clé
doit-il utiliser pour déchiffrer le message ?
-Clé privée de Mike
(Justification : Suite à la, Mike doit utiliser sa propre clé privée, qui est la seule
capable de déchiffrer un message chiffré avec sa clé publique.)

• Si David souhaite signer numériquement le message qu'il envoie à Mike,

quelle clé utiliserait-il pour créer la signature numérique ?
- Clé privée de David
(Justification : Pour créer une signature numérique qui prouve l'authenticité et
l'intégrité du message, l'expéditeur (David) signe avec sa clé privée. Le
destinataire (Mike) vérifiera ensuite cette signature à l'aide de la clé publique de
David.)