Examen Checkpoint: Examen de Groupe Protocoles et Fichiers Journaux

Explication: Le paquet ICMP par écho ne doit pas être autorisé en amont sur une interface. La réponse d’écho doit être autorisée pour que lorsqu’un appareil interne envoie un signal à un appareil externe, le retour de la réponse soit autorisé.

Explication: Le chiffrement des données est nécessaire pour garantir un transfert à la fois sécurisé et confidentiel avec des réseaux privés virtuels (VPN).

Explication: HTTP (Hypertext Transfer Protocol) et HTTPS (ou HTTP sécurisé) sont deux protocoles de la couche application qui gèrent les demandes de contenus émises par les clients ainsi que les réponses du serveur web. HTML (Hypertext Mark-up Language) est un langage de balisage qui encode les contenus et les caractéristiques d’une page web. Le DNS sert à effectuer la résolution des noms de domaines en adresses IP. Le DHCP gère et fournit aux clients des configurations dynamiques d’adresses IP.

Explication: Un élément HTML connu sous le nom d’iFrame permet au navigateur de charger une page web différente à partir d’une autre source.

Explication: Les hackers peuvent essayer d’empêcher les clients d’envoyer des données vers le serveur syslog, de manipuler ou d’effacer les données journalisées, ou encore de manipuler le logiciel utilisé pour transmettre des messages entre les clients et le serveur. Syslog-ng représente la nouvelle génération de syslog. Cette solution s’accompagne d’améliorations pour éviter certains des exploits.

Explication: Syslog est un démon ou service exécuté sur un serveur qui accepte les messages envoyés par des périphériques réseau. Ces journaux peuvent être examinés afin de détecter des incohérences et des problèmes au sein du réseau.

Explication: Bitcoin est utilisé pour partager un grand livre ou une base de données répartie. BitTorrent est utilisé pour le partage de fichiers.

Explication: Un navigateur spécial est utilisé pour accéder au réseau Tor. Il permet aux utilisateurs de naviguer de manière anonyme sur Internet

Explication: Le protocole NTP (Network Time Protocol) utilise une hiérarchie de sources de temps pour fournir une horloge temporelle cohérente aux périphériques de l’infrastructure réseau. Les hackers peuvent tenter d’attaquer l’infrastructure NTP afin de corrompre les informations horaires permettant de corréler des événements réseau consignés,

Explication: Le protocole DNS (Domain Name Service) est utilisé pour convertir les noms de domaine en adresses IP. Pour se protéger contre les menaces DNS, certaines entreprises appliquent des politiques moins strictes que celles mises en place pour d’autres exploits.

Explication: Le trafic ICMP de l’intérieur de l’entreprise est également une menace. Certaines variétés de logiciels malveillants utilisent des paquets ICMP pour transférer des fichiers des hôtes infectés aux acteurs de menace via le tunnelisation ICMP.

Explication: POP3, SMTP et IMAP sont des protocoles de messagerie. Le protocole SMTP est utilisé pour envoyer des données d’un hôte vers un serveur ou entre des serveurs. Les protocoles IMAP et POP3 sont utilisés pour télécharger des messages électroniques et peuvent être responsables de l’infection de l’hôte récepteur par des programmes malveillants.

Explication: Des applications telles que Snorby et Sguil permettent de lire les messages d’alerte générés par JNV/NIPS et d’y effectuer des recherches.

Explication: Les données de session constituent un enregistrement d’une conversation entre deux terminaux connectés au réseau.

Explication: À l’instar des données de session, les données statistiques concernent le trafic réseau. Les données statistiques sont créées dans le cadre de l’analyse des autres formes de données sur le réseau.

Explication: L’analyse du comportement sur le réseau (NBA) et la détection des comportements anormaux sur le réseau (NBAD) sont deux méthodes de surveillance de la sécurité du réseau qui appliquent des techniques avancées pour analyser les données de télémétrie du réseau NetFlow ou IPFIX.

Explication: Classez les réponses dans l’ordre suivant :

Explication: Sur les ordinateurs Windows, le service LSASS (Local Security Authority Subsystem Service), exécuté sous la forme lsass.exe, est en charge de l’application des stratégies de sécurité et de la surveillance de la sécurité. Il doit être exécuté à partir du répertoire Windows\System32. Si un fichier portant ce nom ou un nom camouflé, tel que 1sass.exe, est en cours d’exécution ou s’exécute dans un autre répertoire, il pourrait s’agir d’un malware.

Explication: La section HEADER du message contient l’horodatage. Un horodatage précédé par un point (.) ou un astérisque (*) indique un problème lié à NTP.

Explication: NetFlow propose un ensemble clé de services destinés aux applications IP, notamment la gestion des comptes du trafic réseau, la facturation basée sur l’utilisation, la planification du réseau, la sécurité, la surveillance des attaques par déni de service et la surveillance générale du réseau. NetFlow fournit des informations importantes sur les applications et utilisateurs réseau, les heures d’utilisation de pointe et le routage du trafic.

Explication: La technologie NetFlow est déployée dans le module Collecte d’indicateurs de mesure d’un système Cisco AVC afin de collecter des mesures de flux réseau et de les exporter vers des outils de gestion.

Explication: Appliance Cisco pour la sécurité du web (WSA) fournit un large éventail de fonctionnalités dédiées à la surveillance de la sécurité. WSA agit efficacement comme un proxy web. Il consigne toutes les informations de transactions entrantes et sortantes pour le trafic HTTP.

Explication: Un dispositif de proxy web peut inspecter le trafic sortant pour offrir un moyen de prévention des pertes de données (DLP). Cela suppose l’analyse du trafic sortant afin de détecter si les données qui quittent le réseau de l’entreprise contiennent des informations sensibles, confidentielles ou secrètes.

Explication: L’appliance Cisco pour la sécurité du web (WSA) fonctionne comme un proxy web pour un réseau d’entreprise. Cette appliance peut fournir de nombreux types de journaux associés à la sécurité du trafic web, dont des journaux de décisions ACL, des journaux d’analyse des programmes malveillants ou encore des journaux de filtrage de réputation sur le web. L’appliance Cisco pour la sécurité de la messagerie (ASE) est un outil permettant de surveiller la plupart des aspects de la diffusion d’e-mails, le fonctionnement du système, les activités antispam et antivirus, ainsi que les décisions relatives aux listes blanches et aux listes noires. Cisco ASA est une application de pare-feu. Le système Visibilité et contrôle d’application Cisco (AVC) combine plusieurs technologies pour reconnaître, analyser et surveiller plus de 1 000 applications.

Explication: Le module d’analyse réseau du système Cisco Prime Infrastructure et de Wireshark disposent d’interfaces GUI et peut afficher des captures complètes de paquets. L’outil de ligne de commande tcpdump est un analyseur de paquets.

Explication: Les ACL de filtrage de paquets appliquent des règles pour filtrer le trafic entrant et sortant. Ces règles sont définies en indiquant les adresses IP, les numéros de port et les protocoles à mettre en corrélation. Les hackers peuvent mener une attaque de reconnaissance consistant en un balayage de ports ou un test d’intrusion pour déterminer les adresses IP, les protocoles et les ports autorisés par des listes de contrôle d’accès (ACL).

Explication: Avec le protocole HTTPS, une clé symétrique est générée par le client une fois que celui-ci a vérifié la fiabilité du serveur web. La clé symétrique est chiffrée avec la clé publique du serveur web, puis envoyée à ce dernier. Le serveur web utilise sa clé publique pour déchiffrer la clé. La clé est ensuite utilisée pour chiffrer les données demandées par le client et celles qui lui sont envoyées. Ce chiffrement de bout en bout complique la surveillance de la sécurité du réseau en ligne. Le numéro de port HTTPS (qui est généralement 443) est configuré de manière statique sur le serveur web.

Explication: Dans le cas du flux de trafic présenté, le port source est 53 et le port de destination est 1025. Le port 53 est utilisé pour DNS. Le numéro du port source étant 53, ce trafic répond à un ordinateur client à partir d’un serveur DNS. Le protocole IP est 17. Il indique que le protocole UDP est utilisé et que l’indicateur TCP est défini sur 0.

Explication: Sur un hôte Windows, les journaux d’installation consignent des informations sur l’installation de logiciels, y compris les mises à jour Windows.

Explication: Disposez les options dans l’ordre suivant :