Examen Checkpoint: Examen de Groupe d’analyse des données de sécurité

Explication: Snort est à la fois un système de protection contre les intrusions réseau (NIPS) et un système de détection d’intrusions réseau (NIDS) Open Source développé par Sourcefire. Il est en mesure d’effectuer une journalisation des paquets et une analyse du trafic en temps réel sur les réseaux IP (Internet Protocol). Il peut également être utilisé pour détecter les sondes ou les attaques.

Explication: Disposez les options dans l’ordre suivant:

Explication: Plusieurs champs de la fenêtre d’application Sguil donnent des informations sur un événement. Le champ ST indique l’état d’un événement suivant quatre niveaux de priorité allant du jaune clair au rouge.

Explication: Le champ SID dans un message d’alerte Snort indique la règle de sécurité Snort qui est déclenchée.

Explication:

• Vrai positif: l’alerte correspond à un incident réel, après vérification.
• Faux positif: l’alerte ne correspond pas à un incident réel. Une activité bénigne qui entraîne un faux positif est parfois appelée un déclencheur bénin.
• Vrai négatif: aucun incident ne s’est produit. L’activité est bénigne.
• Faux négatif: un incident n’a pas été détecté.

Explication: Les pare-feu traditionnels fournissent généralement des journaux d’événements liés à la sécurité basés sur les quintuplets adresse IP source et numéro de port, adresse IP de destination et numéro de port, et protocole en cours d’utilisation.

Explication: La priorité d’un analyste en cybersécurité est la vérification des alertes de sécurité. Dans le système Security Onion, Sguil est l’outil que l’analyste doit consulter en priorité pour vérifier les alertes, car il fournit une console de haut niveau pour examiner des alertes de sécurité provenant d’un large éventail de sources.

Explication: On parle de faux négatif lorsqu’aucune alerte n’est générée et que l’exploit n’est pas détecté par les systèmes de sécurité en place.

Explication: Sguil comprend sept catégories prédéfinies auxquelles peuvent être attribués des événements qui ont été identifiés comme « vrais positifs ».

Explication: Avec la normalisation des données, diverses sources de données sont regroupées au sein d’un format d’affichage commun, ce qui simplifie la recherche des événements semblables ou pertinents.

Explication: Les tableaux de bord regroupent des données et des visualisations afin de faciliter l’accès des utilisateurs à de grandes quantités d’informations. Kibana permet de concevoir des tableaux de bord personnalisés. En outre, d’autres outils inclus dans Security Onion, tels que Squert, fournissent une interface visuelle aux données NSM.

Explication: Une expression régulière (regex) est une combinaison de symboles décrivant les données à mettre en correspondance dans une requête ou d’autres opérations. Les expressions régulières sont construites de la même façon que des expressions arithmétiques. Elles utilisent divers opérateurs pour combiner des expressions de plus petite taille. Il existe deux standards principaux en matière d’expression régulière, POSIX et Perl.

Explication: Dans le cadre du traitement des entrées de journal, la normalisation des données permet d’organiser et de convertir, dans un format commun, des valeurs de données provenant de différentes sources. Cette normalisation facilite la génération de rapports et permet une analyse approfondie des données.

Explication: OSSEC est un système de détection des intrusions basé sur l’hôte (HIDS) qui est intégré dans Security Onion et qui surveille activement le fonctionnement du système hôte.

Explication: Dans Sguil, si un analyste en cybersécurité trouve le fichier suspect, la valeur de hash peut être transmise à un site, tel que VirusTotal, afin de déterminer s’il s’agit d’un programme malveillant connu.

Explication: Le volume de trafic réseau recueilli par les captures de paquets, ainsi que le nombre d’entrées de fichiers journaux et d’alertes générées par les appliances de sécurité et les périphériques réseau peuvent être énormes. Pour cette raison, il est important d’identifier les données liées aux NSM qui doivent être collectées. Ce processus est appelé réduction des données.

Explication: Lorsqu’un hacker prépare une arme en vue d’une attaque, il choisit un outil automatisé (arme d’attaque) qui peut être déployé par le biais des vulnérabilités détectées. Le programme malveillant qui servira de vecteur aux attaques est ensuite créé dans l’outil en tant que charge utile. L’arme (c’est-à-dire l’outil plus la charge utile du programme malveillant) est diffusée sur le système cible. En utilisant un outil de type 0-day, le hacker espère que l’arme passera inaperçue, dans la mesure où elle est toujours inconnue des professionnels de la sécurité et où aucune méthode de détection n’a encore été mise au point.

Explication: Au cours de la phase d’installation de la chaîne de frappe, le hacker crée une porte dérobée dans le système afin de bénéficier d’un accès continu à la cible. Entre autres mesures, l’utilisation d’un système de prévention des intrusions basé sur l’hôte (HIPS) pour signaler ou bloquer les intrusions sur les chemins d’installation courants et l’audit des terminaux pour détecter les fichiers créés de façon anormale peuvent contribuer à bloquer la création d’une porte dérobée.

Explication: Lors de la phase de commande et de contrôle de la chaîne de frappe, le hacker établit une connexion de type commande et contrôle (C&C) avec le système cible. Avec le canal de communication bidirectionnelle, le hacker a la possibilité d’envoyer des commandes au logiciel malveillant installé sur la cible.

Explication: D’après le NIST, le processus d’investigation numérique se compose des quatre étapes suivantes :

• Collecte : identification des sources potentielles de données d’investigation et acquisition, traitement et stockage de ces données.
• Examen : évaluation et extraction des informations pertinentes à partir des données recueillies. La décompression ou le déchiffrement des données peuvent faire partie du processus.
• Analyse : déduction de conclusions à partir des données. Les principales caractéristiques, telles que les personnes, les lieux, les dates et heures, les événements et ainsi de suite, doivent être documentées.
• Reporting : préparation et présentation des informations issues de l’analyse. Les rapports doivent être impartiaux et doivent inclure des explications, le cas échéant.

Explication: Au cours de la phase de détection et d’analyse du cycle de vie de gestion des incidents NIST, l’équipe CSIRT doit immédiatement effectuer une analyse initiale afin de déterminer les réseaux, systèmes ou applications touchés, la personne ou l’entité à l’origine de l’incident, ainsi que le modus operandi.

Explication: Suivant le modèle de chaîne de frappe, c’est au cours de la phase de reconnaissance que le hacker effectue des recherches, rassemble des renseignements et choisit ses cibles.

Explication: L’équipe de direction crée les politiques, prévoit le budget et est responsable de la répartition des effectifs dans les services. La direction est également chargée de coordonner la réponse aux incidents avec d’autres intervenants et de minimiser les dégâts causés par un incident.

Explication: Une copie de fichier normale ne récupère pas toutes les données sur un périphérique de stockage. Aussi, une image disque non altérée est-elle généralement créée. Une image disque non altérée préserve la preuve originale, empêchant ainsi toute altération accidentelle pendant la phase de détection. Elle permet également de recréer la preuve originale.

Explication: Les résultats de l’élément de méta-caractéristique sont utilisés pour déterminer ce que le hacker a pu obtenir de l’événement d’intrusion.

Explication: Les techniques générales de surveillance de la sécurité permettent d’identifier le moment où la pièce jointe malveillante pénètre le réseau, ainsi que le premier hôte infecté. L’analyse rétrospective constitue l’étape suivante. Ainsi, elle effectue le suivi du comportement du programme malveillant depuis le point d’identification.

Explication: Les règles Snort se composent de deux sections: l’en-tête et les options. La section des options de règle d’une règle de snort comprend le texte des messages affichés pour décrire une alerte ainsi que les métadonnées relatives à l’alerte.

Explication: Les applications interagissent avec le système d’exploitation par le biais d’appels système vers l’interface de programmation (API) de ce dernier. Ces appels permettent d’accéder à de nombreux aspects du fonctionnement du système tels que le contrôle des processus logiciels, la gestion des fichiers, la gestion des périphériques et l’accès au réseau.

Explication: Classez les réponses dans l’ordre suivant :

Explication: Un modèle CSIRT comprend les procédures d’exploitation standard qui sont appliquées dans le cadre de la gestion d’un incident. Elles consistent à appliquer des processus techniques, à compléter des formulaires et à suivre des listes de contrôle.

Explication: Le NIST définit quatre phases dans le cycle de vie de gestion des incidents. C’est au cours de la phase de confinement, d’éradication et de restauration que des preuves sont recueillies pour résoudre un incident et faciliter les enquêtes qui seront menées ultérieurement.

Explication: OSSEC est un HIDS intégré au Security Onion et utilise les règles pour détecter les changements apportés aux paramètres d’hôte comme l’exécution de processus logiciels, ainsi que les modifications des privilèges de l’utilisateur et du registre, entre autres. Les règles OSSEC déclenchent des événements qui se sont produits sur l’hôte, y compris des indicateurs indiquant que les logiciels malveillants peuvent avoir interagi avec le noyau du système d’exploitation. Bro, Snort et Suricata sont des exemples de systèmes NIDS.

Explication: Les tableaux de bord sont généralement interactifs et fournissent une combinaison de données et de visualisations conçues pour améliorer l’accès des individus à de grandes quantités d’informations. Kibana permet de concevoir des tableaux de bord personnalisés.

Explication: Les activités d’évaluation effectuées par l’équipe CSIRT à la suite d’un incident permettent de déterminer les réseaux, systèmes ou applications affectés, la personne ou l’entité à l’origine de l’incident, ainsi que le modus operandi.

Explication: Dans un centre opérationnel de sécurité, le travail d’un analyste de niveau 1 consiste notamment à contrôler les alertes entrantes et à vérifier qu’un incident s’est réellement produit.

Explication:

• Vrai positif: l’alerte correspond à un incident réel, après vérification.
• Faux positif: l’alerte ne correspond pas à un incident réel. Une activité bénigne qui entraîne un faux positif est parfois appelée un déclencheur bénin.
• Vrai négatif: aucun incident ne s’est produit. L’activité est bénigne.
• Faux négatif: un incident n’a pas été détecté.

Explication: Le cadre MITRE utilise des informations stockées sur les tactiques, techniques et procédures des attaquants (TTP) dans le cadre de la défense des menaces et de l’attribution des attaques. Ceci est fait en cartographiant les étapes d’une attaque à une matrice de tactiques généralisées et en décrivant les techniques utilisées dans chaque tactique. Ces sources d’information créent des modèles qui aident à attribuer une menace.