Examen Checkpoint: Examen du Groupe Menaces et Attaques

Explication: Le US-CISA utilisent un système de partage automatique des indicateurs appelé AIS «Automated Indicator Sharing». Le système AIS partage les vecteurs et indicateurs d’attaque vérifiés avec les secteurs privé et public.

Explication: Les pirates du chapeau gris peuvent faire des choses contraires à l’éthique ou illégales, mais pas à des fins personnelles ou pour causer des dommages. Les hacktivistes utilisent leur piratage comme une forme de protestation politique ou sociale, et les courtiers de vulnérabilité piratent pour découvrir les faiblesses et les signaler aux fournisseurs. Selon le perspective que l’on possède, les pirates parrainés par l’état sont des opérateurs de chapeau blanc ou de chapeau noir. Les script kiddies créent des scripts de piratage pour causer des dommages ou des interruptions. Les cybercriminels utilisent le piratage pour obtenir un gain financier par des moyens illégaux.

Explication: Classez les options dans l’ordre suivant:

Explication: Classez les options dans l’ordre suivant:

Explication: Classez les options dans l’ordre suivant:

Explication: Les attaques de reconnaissance visent à recueillir des informations sur les cibles. Les balayages ping indiquent quels hôtes sont en service et répondent aux pings, tandis que les balayages de ports indiquent sur quels ports TCP et UDP la cible écoute pour les connexions entrantes. Les attaques d’homme au milieu et les attaques par force brute sont deux exemples d’attaques d’accès, et une inondation de SYN est un exemple d’attaque par déni de service (DoS).

Explication: Le hacker lance une attaque de type Cheval de Troie Proxy pour infiltrer un périphérique, puis utiliser ce dernier pour lancer des attaques sur d’autres périphériques. Une attaque de type Cheval de Troie DoS ralentit ou bloque le trafic réseau. Une attaque de type Cheval de Troie FTP active des services de transfert de fichiers non autorisés lorsque le port 21 a été infecté. Une attaque de type Cheval de Troie avec envoi de données retransmet au hacker des données qui peuvent inclure des mots de passe.

Explication: Un cheval de Troie est un logiciel qui fait quelque chose de nuisible, mais qui se dissimule dans du code logiciel légitime. Une attaque par déni de service (DoS) se traduit par l’interruption des services réseau proposés aux utilisateurs, périphériques réseau ou applications. Une attaque par force brute implique généralement une tentative d’accès à un périphérique réseau. Un débordement de tampon (buffer overflow) se produit lorsqu’un programme tente de stocker davantage de données que la capacité de stockage d’un emplacement mémoire.

Explication: Les attaques DoS de type buffer overflow et ping fatal exploitent les failles dans la mémoire système d’un serveur en lui envoyant une quantité de données inattendue ou des données malformées.

Explication: La manipulation psychologique consiste à gagner la confiance d’un employé et à le persuader de divulguer des informations confidentielles et sensibles, comme ses noms d’utilisateur et mots de passe. Les attaques DDoS, le courrier indésirable et l’enregistrement des frappes sont des exemples de menaces pour la sécurité des logiciels, et non de la manipulation psychologique.

Explication: Classez les options dans l’ordre suivant:

Explication: Pour analyser le trafic transitant par un commutateur, l’analyseur de port commuté (SPAN) peut être utilisé. Le SPAN peut envoyer une copie du trafic d’un port à un autre port sur le même commutateur auquel un analyseur de réseau ou un dispositif de surveillance est connecté. Le SPAN n’est pas nécessaire pour syslog ou SNMP. Le SPAN est utilisé pour la mise en miroir du trafic alors que syslog et SNMP sont configurés pour envoyer des données directement au serveur approprié.

Explication: NetFlow est une technologie Cisco IOS qui fournit des statistiques et des pistes d’audit complètes sur les flux TCP/IP dans le réseau. Parmi les caractéristiques de NetFlow, on peut citer : la surveillance du réseau et de la sécurité 24×7, la planification du réseau, l’analyse du trafic, l’identification des goulets d’étranglement du réseau ainsi que la comptabilité IP à des fins de facturation.

Explication: NetFlow ne capture pas l’intégralité du contenu d’un paquet. Il collecte des métadonnées ou des données sur le flux, mais pas les données de flux proprement dites. Les informations NetFlow peuvent être visualisées à l’aide d’outils tels que nfdump et FlowViewer.

Explication: SIEM (acronyme anglais de Security Information Event Management, gestion des événements et des informations liés à la sécurité) est une technologie utilisée au sein des entreprises pour fournir des rapports en temps réel et une analyse à long terme des événements liés à la sécurité. Splunk est un système SIEM propriétaire.

Explication: L’usurpation d’adresse MAC est utilisée pour contourner les mesures de sécurité en permettant à un attaquant d’emprunter l’identité d’un périphérique hôte légitime, généralement dans le but de collecter le trafic réseau.

Explication: Une attaque de reconnaissance consiste à rassembler des informations concernant un réseau et à effectuer un balayage pour obtenir l’accès à ce réseau. Empêcher l’accès des autres utilisateurs à un système constitue une attaque par déni de service. Tenter d’extraire et de modifier des données et tenter de contourner les privilèges d’accès sont des types d’attaques d’accès.

Explication: Les acteurs de menace s’intéressent notamment aux messages ICMP courants suivants:

• Requête d’écho et réponse par écho ICMP: utilisés pour les attaques de vérification de l’hôte et pour les attaques DoS.
• ICMP inaccessible: est utilisé pour les attaques de reconnaissance et d’analyse.
• Réponse de masque ICMP: est utilisé pour cartographier un réseau IP interne.
• Redirection ICMP: utilisé pour inciter l’hôte cible à envoyer l’ensemble du trafic via un appareil compromis et pour créer une attaque MITM.
• Détection de routeur ICMP: utilisé pour introduire de fausses entrées de route dans la table de routage d’un hôte cible.

Explication: Les ACL de filtrage de paquets appliquent des règles pour filtrer le trafic entrant et sortant. Ces règles sont définies en indiquant les adresses IP, les numéros de port et les protocoles à mettre en corrélation. Les hackers peuvent mener une attaque de reconnaissance consistant en un balayage de ports ou un test d’intrusion pour déterminer les adresses IP, les protocoles et les ports autorisés par des listes de contrôle d’accès (ACL).

Explication: Une attaque de reconnaissance est la découverte et le mappage non autorisés de systèmes, services ou vulnérabilités. L’une des attaques de reconnaissance les plus courantes s’effectue à l’aide d’utilitaires qui détectent automatiquement les hôtes sur les réseaux et déterminent quels ports écoutent actuellement des connexions.

Explication: Le cross-site scripting (XSS) consiste à injecter du script contenant du code malveillant dans des applications web.

Explication: DDoS est l’acronyme anglais de Distributed Denial of Service, c’est-à-dire une attaque par déni de service distribué. Ce type d’attaque est lancé à partir de plusieurs sources coordonnées. Ces sources sont des hôtes zombies que le cybercriminel a regroupés au sein d’un réseau. Une fois que tout est en place, le cybercriminel ordonne au réseau de zombies d’attaquer la cible choisie.

Explication: Les algorithmes de génération de domaine, fast flux et double IP flux sont utilisés par les cybercriminels pour attaquer des serveurs DNS et perturber les services DNS. Fast flux est une technique utilisée pour dissimuler des sites d’hameçonnage et de diffusion de logiciels malveillants derrière un réseau en constante évolution d’hôtes DNS infectés (robots à l’intérieur de réseaux de zombies). La technique « double IP flux » change rapidement les mappages nom d’hôte-adresse IP, ainsi que le serveur de noms faisant autorité. Les algorithmes de génération de domaine génèrent, de manière aléatoire, des noms de domaine à utiliser comme point de rendez-vous.

Explication: Une attaque par épuisement de ressources DHCP crée un déni de service pour les clients réseau. Le hacker envoie des messages de détection DHCP contenant de fausses adresses MAC dans le but de louer l’ensemble des adresses IP. On parle de spoofing DHCP lorsqu’un cybercriminel configure un serveur DHCP non autorisé pour fournir aux clients du réseau des informations de configuration IP incorrectes.

Explication: Pour arrêter les attaques DNS par tunnellisation, il faut utiliser un filtre inspectant le trafic DNS. Par ailleurs, les solutions DNS (Cisco OpenDNS, p.ex.) bloquent une grande partie du trafic des attaques DNS par tunnellisation en identifiant les domaines suspects.

Explication: Les courtiers en vulnérabilités sont généralement des hackers chapeau gris qui recherchent des exploits pour les signaler aux fournisseurs, parfois en contrepartie d’un prix ou d’une récompense.

Explication: L’objectif d’un hacker qui lance une attaque par déni de service ou DoS est d’empêcher les utilisateurs légitimes d’accéder à des services réseau.

Explication: Les hackers utilisent des rootkits pour éviter d’être détectés, ainsi que pour dissimuler des logiciels qu’ils ont installés.

Explication: Un virus est un code malveillant qui est attaché à des fichiers exécutables ou des programmes légitimes. La plupart des virus nécessitent une activation de la part de l’utilisateur final. Ils peuvent rester en sommeil pendant une période prolongée, puis s’activer à une heure ou une date spécifique. Un ver, en revanche, exécute un code arbitraire et installe des copies de lui-même dans la mémoire de l’ordinateur infecté. Le principal objectif d’un ver est de se répliquer automatiquement afin de se propager rapidement sur un réseau. Un ver ne nécessite aucun programme hôte pour s’exécuter.

Explication: L’envoi d’une quantité trop importante de données vers une zone de mémoire spécifique entraîne l’écrasement des emplacements mémoire adjacents. Cela provoque un problème de sécurité, dans la mesure où le programme qui se trouve à l’emplacement écrasé est affecté.

Explication: Un ordinateur peut être infecté par un ver par le biais d’une pièce jointe, d’un fichier de programme exécutable ou d’un cheval de Troie. L’attaque du ver ne se limite pas à un seul ordinateur, mais se propage à d’autres machines. La charge utile désigne ce que le ver laisse derrière lui ; il s’agit d’un code qui donne lieu à une action.

Explication: Les plates-formes de sécurité SOAR offrent les fonctionnalités suivantes:

• Recueillir les données d’alarme de chaque composant du système
• Fournir des outils permettant de rechercher,
• d’évaluer et d’enquêter des cas. Workflows complexes de réponse aux incidents qui permettent une réponse plus rapide et des stratégies de défense adaptatives
• Inclure des playbooks prédéfinis permettant une réponse automatique à des menaces spécifiques

Explication: Des informations de couche 3 facultatives relatives à la fragmentation, la sécurité et la mobilité sont véhiculées dans les en-têtes d’extension d’un paquet IPv6. Le champ d’en-tête suivant de l’en-tête IPv6 fait office de pointeur vers ces en-têtes d’extension facultatifs, le cas échéant.

Explication: Une attaque TCP SYN par saturation exploite la connexion en trois étapes du protocole TCP. L’acteur de menace envoyant continuellement des paquets de demande de session TCP SYN avec une adresse IP source falsifiée de manière aléatoire à une cible. L’appareil cible répond avec un paquet SYN-ACK TCP à l’adresse IP usurpée et attend un paquet ACK TCP. Ces réponses n’arrivent jamais. En définitive, l’hôte cible est saturé de connexions TCP semi-ouvertes et refuse les services TCP.

Explication: Un élément HTML connu sous le nom d’iFrame permet au navigateur de charger une page web différente à partir d’une autre source.

Explication: Un ARP gratuit est souvent envoyé lors du premier démarrage d’un appareil pour informer tous les autres appareils du réseau local de l’adresse MAC du nouvel appareil.

Explication: SQL est le langage utilisé pour interroger une base de données relationnelle. Les cybercriminels utilisent des injections de code SQL pour obtenir des informations, créer des requêtes fausses ou malveillantes, ou infiltrer une base de données par un autre moyen.

Explication: Classez les options dans l’ordre suivant:

Explication: Acceptation des risques est le choix optimal lorsque le coût des options de gestion des risques est supérieur au coût représenté par le risque concerné.

Explication: Les attaques par déni de service (DoS) tentent de perturber le service sur le réseau en submergeant de données un périphérique en particulier, de sorte qu’aucun autre périphérique ne puisse y accéder, ou en envoyant des paquets malformés.

Explication: Un ver peut s’exécuter et se répliquer sans être déclenché par un programme hôte. Il s’agit d’une menace importante pour la sécurité du réseau et sur Internet.

Explication: SPAN est une technologie Cisco utilisée par les administrateurs réseau pour surveiller le trafic suspect ou pour capturer le trafic à analyser.

Explication: L’attaque de l’homme-au-milieu est une attaque liée à l’IP courante où les acteurs de menace se positionnent entre une source et une destination pour surveiller, capturer et contrôler la communication de manière transparente.

Explication: Les vers sont des éléments logiciels qui se dupliquent automatiquement et qui consomment la bande passante du réseau sur lequel ils se propagent d’un système à l’autre. Ils n’ont pas besoin d’application hôte, contrairement à un virus. Les virus, en revanche, contiennent du code malveillant exécutable qui nuit à l’ordinateur cible sur lequel ils résident.

Explication: Voici quelques symptômes courants d’ordinateurs infectés par des logiciels malveillants :

• Apparition de fichiers, d’applications ou d’icônes sur le Bureau
• Désactivation ou modification d’outils de sécurité tels que des antivirus ou des pare-feu
• Blocages du système
• Envoi spontané d’e-mails
• Fichiers modifiés ou manquants
• Lenteur du système ou du navigateur
• Exécution de processus ou de services inhabituels
• Ports TCP ou UDP inconnus ouverts
• Connexions à des périphériques distants inconnus

Explication: Les attaques par empoisonnement ARP peuvent être passives ou actives. Une attaque passive se traduit par le vol d’informations confidentielles par les cybercriminels. Lors d’une attaque active, les cybercriminels modifient les données en transit ou injectent des données malveillantes.

Explication: Les attaques sur la couche 2 telles que les usurpations d’adresse MAC peuvent être évitées en sécurisant les périphériques de la couche 2.

Explication: Les hackers white hat sont en fait des bienfaiteurs. Ils sont payés par les organismes publics et les entreprises pour tester les vulnérabilités de sécurité afin que les données soient mieux protégées.

Explication: Dans les attaques d’usurpation DHCP, un acteur de menace configure un faux serveur DHCP sur le réseau pour émettre des adresses DHCP aux clients dans le but de forcer les clients à utiliser une passerelle par défaut fausse ou non valide. L’espionnage DHCP est une fonctionnalité de commutateur Cisco qui peut atténuer les attaques DHCP. L’insuffisance d’adresse MAC et l’espionnage d’adresse MAC ne sont pas des attaques de sécurité reconnues. L’usurpation d’adresse MAC est une menace pour la sécurité du réseau.

Explication: Hameçonnage, logiciel espion et piratage psychologique sont des attaques de sécurité permettant de recueillir des informations sur le réseau et sur les utilisateurs. Un publiciel consiste généralement en des fenêtres contextuelles incommodantes. Contrairement à une attaque par déni de service distribué (attaque « DDoS »), aucune de ces attaques ne génère d’importants trafics de données pouvant limiter l’accès aux services de réseaux.

Explication: Les méthodes suivantes sont utilisées par les hackers pour éviter d’être détecté :

• Chiffrement et tunneling : cacher ou brouiller le contenu du malware
• Épuisement des ressources : ce type d’attaque fait en sorte que le périphérique hôte soit trop occupé pour détecter l’invasion
• Fragmentation du trafic : le programme malveillant est scindé en plusieurs paquets
• Mauvaise interprétation au niveau du protocole : intrusion furtive par le pare-feu
• Pivot : utilisation d’un périphérique réseau infecté pour tenter d’accéder à un autre périphérique
• Rootkit : permet au hacker d’être indétectable et de masquer le logiciel qu’il a installé