Examen Checkpoint: Évaluation de la vulnérabilité et gestion des risques réponses

Explication : La loi GLBA (Gramm-Leach-Bliley Act) contient des dispositions pour les individus et fournit des méthodes de retrait afin de restreindre la transmission d’informations à des entreprises tierces.

Explication : Les domaines de la cybersécurité fournissent un cadre pour l’évaluation et la mise en œuvre des contrôles visant à protéger les actifs d’une entreprise. Chaque domaine dispose de contre-mesures diverses pour gérer les menaces.

Explication : Les utilisateurs n’ont souvent pas conscience des conséquences de leurs actions. C’est pourquoi il faut les former à une bonne utilisation de leur ordinateur. Les menaces peuvent être réduites en mettant en œuvre différentes pratiques techniques et non techniques.

Explication : La catégorie « Analyser » du cadre pour l’embauche de collaborateurs inclut les domaines de spécialité assurant l’examen et l’évaluation ultra spécialisés des informations de cybersécurité entrantes afin de déterminer si elles sont utiles.

Explication : La Norme PCIDSS (Norme de sécurité des données de l’industrie des cartes de paiement) encadre la protection des données de carte de crédit dans les transactions bancaires et commerciales.

Explication : Les scanners de vulnérabilité sont souvent utilisés pour rechercher les vulnérabilités suivantes :

• Utilisation de mots de passe par défaut ou des mots de passe communs
• Correctifs manquants
• Ports ouverts
• Mauvaise configuration des systèmes d’exploitation et des logiciels
• Adresses IP actives

Explication : Le système SIEM, qui combine des produits de gestion des informations de sécurité et de gestion des événements liés à la sécurité, est utilisé pour l’analyse judiciaire et fournit des rapports en temps réel sur les événements liés à la sécurité.

Explication : Il existe de nombreux tests de sécurité qui peuvent être utilisés pour évaluer un réseau. Les tests de pénétration sont utilisés pour déterminer les conséquences possibles d’attaques réussies sur le réseau. La vérification de l’intégrité est utilisée pour détecter et signaler les modifications apportées aux systèmes. L’analyse de vulnérabilité est utilisée pour trouver les faiblesses et les erreurs de configuration sur les systèmes de réseau. L’analyse de réseau est utilisée pour détecter les ressources disponibles sur le réseau.

Explication : Il existe divers outils de sécurité du réseau disponibles pour les tests et l’évaluation de la sécurité du réseau. L0phtcrack peut être utilisé pour effectuer la vérification et la récupération de mot de passe. Nessus peut analyser les systèmes pour détecter les vulnérabilités des logiciels. Metasploit est utilisé pour les tests de pénétration et le développement de la signature IDS. Tripwire est utilisé pour évaluer si les périphériques du réseau sont conformes aux politiques de sécurité du réseau.

Explication : De nombreux tests sont utilisés par les spécialistes de la sécurité pour évaluer l’état d’un système. On trouve notamment les produits suivants :

• des tests de pénétration pour déterminer la faisabilité des attaques
• analyse du réseau pour rechercher et identifier les ports TCP ouverts
• vérification de l’intégrité pour détecter les modifications apportées au système
• analyse des vulnérabilités pour détecter les faiblesses potentielles des systèmes

Explication : TAXII (Échange automatisé fiable d’informations sur les indicateurs) est une spécification pour un protocole de couche application qui permet de communiquer des données d’informations sur les CTI via HTTPS. TAXII est conçu pour prendre en charge STIX (Expression structurée des informations sur les menaces).

Explication : Le gouvernement des États-Unis a parrainé MITRE Corporation pour créer et gérer un catalogue des menaces de sécurité connues appelé Vulnérabilités et expositions courantes (CVE). La base de données CVE fait office de dictionnaire des noms communs (c.-à-d., identificateurs CVE) pour définir les vulnérabilités de cybersécurité connues.

Explication : L’AIS réagit à une nouvelle menace dès qu’elle est reconnue en la partageant immédiatement avec le gouvernement fédéral américain et le secteur privé pour les aider à protéger leurs réseaux contre cette menace particulière.

Explication : Un profil de réseau doit comprendre certains éléments importants, notamment :

• Débit total – la quantité de données passant d’une source donnée à une destination donnée dans une période de temps donnée.
• Durée de la session – le temps entre l’établissement d’un flux de données et sa fin.
• Ports utilisés – une liste de processus TCP ou UDP disponibles pour accepter des données.
• Espace d’adressage des biens essentiels – les adresses IP ou l’emplacement logique des systèmes ou des données essentiels.

Explication : Le système CVSS (Système commun de notation des vulnérabilités) est un cadre ouvert standard et indépendant du fournisseur, utilisé pour évaluer les risques d’une vulnérabilité à l’aide de diverses métriques. Le système CVSS utilise trois groupes de métriques pour évaluer une vulnérabilité : le groupe de métriques de base, le groupe de métriques temporelles et le groupe de métriques environnementales. Le groupe de métriques de base se compose de deux catégories de métriques : exploitabilité et impact. Les métriques d’impact sont ancrées dans les domaines suivants : confidentialité, intégrité et disponibilité.

Explication : Voici les six étapes du cycle de vie de gestion des vulnérabilités:

• Découvrir
• Hiérarchiser les actifs
• Évaluation
• Rapport
• Correction
• Vérification

Explication : Il existe quatre stratégies potentielles pour répondre à des risques identifiés:

• Éviter les risques – Cesser d’effectuer les activités qui créent des risques.
• Réduction du risque – Diminuer le risque en prenant des mesures pour réduire la vulnérabilité.
• Partage des risques – Transférer une partie des risques à d’autres parties.
• Rétention du risque – Accepter le risque et ses conséquences.

Explication : Voici les étapes du cycle de vie de gestion des vulnérabilités:

• Détection : inventorier toutes les ressources du réseau et identifier les détails de l’hôte, y compris les systèmes d’exploitation et les services ouverts, afin d’identifier les vulnérabilités
• Hiérarchisation des ressources: classer les ressources dans des groupes ou unités organisationnelles, et assigner une valeur commerciale aux groupes de ressources selon leur niveau d’importance pour le bon fonctionnement de l’entreprise
• Évaluation: établir un profil de risque de base afin d’éliminer les risques selon le niveau d’importance des ressources, les menaces de vulnérabilité et la classification des ressources
• Rapport : mesurer le niveau de risque commercial associé aux ressources en fonction des stratégies de sécurité. Documentez un plan de sécurité, surveillez les activités suspectes et décrivez les vulnérabilités connues.
• Résolution des problèmes: hiérarchiser les vulnérabilités selon le niveau de risque pour l’entreprise et les corriger par ordre d’importance
• Vérification: vérifier que les menaces ont été éliminées par le biais d’audits de suivi

Explication : La mesure d’étendue est affectée par une vulnérabilité exploitée qui peut affecter des ressources au-delà des privilèges autorisés du composant vulnérable ou qui sont gérées par une autre autorité de sécurité.

Explication : Le contrôle d’accès interdit aux intrus d’accéder aux données sensibles et aux réseaux. Il existe différentes technologies pour implémenter des stratégies de contrôle d’accès efficaces.

Explication : Une stratégie de réduction des risques permet de diminuer l’exposition d’une entreprise aux menaces et aux vulnérabilités en transférant, en acceptant, en évitant ou en prenant des mesures pour réduire les risques.

Explication : On recourt à l’analyse des risques qualitative et quantitative pour identifier et hiérarchiser les menaces qui visent l’entreprise.

Explication : L’analyse quantitative des risques répertorie les principales menaces, attribue une valeur de coût à chaque menace si elle s’est réellement produite et classe la liste de la plus coûteuse à la moins coûteuse. Cette liste de priorités permet à la direction de déterminer où appliquer les ressources actuelles à la ou aux menaces qui coûteraient le plus cher à l’entreprise. L’analyse quantitative des risques est basée sur le coût, mais ce dernier ne doit pas être le seul critère appliqué lorsque, par exemple, l’évaluation d’un système qui assure ou implique la sécurité nationale.

Explication : La perte attendue unique, le taux annuel d’occurrence et la perte attendue annuelle sont utilisées dans le cadre d’une analyse des risques quantitative

Explication : Parmi les formules utilisées dans l’analyse quantitative des risques, le facteur d’exposition est utilisé pour estimer le degré de destruction qui pourrait se produire suite à un événement tel qu’une inondation ou une erreur de saisie de données.