Examen Checkpoint: réponse aux incidents réponses

Explication : Attribuer une menace consiste à identifier l’individu, l’entreprise ou le pays responsable d’une intrusion ou d’une attaque. L’équipe en charge de l’enquête met en corrélation toutes les preuves afin d’identifier les points communs entre les tactiques, techniques et procédures (TTP) des hackers connus et inconnus.

Explication : Les données volatiles sont soit des données stockées en mémoire, telles que les registres, le cache et la mémoire vive, soit des données qui existent en transit. Le contenu de la mémoire volatile est effacé lorsque l’ordinateur est éteint.

Explication : Lors de la phase de commande et de contrôle de la chaîne de frappe, le hacker établit une connexion de type commande et contrôle (C&C) avec le système cible. Avec le canal de communication bidirectionnelle, le hacker a la possibilité d’envoyer des commandes au logiciel malveillant installé sur la cible.

Explication : Le précurseur est une catégorie qui indique qu’un incident risque de se produire à l’avenir. Des entrées de journal affichant une réponse à un balayage de ports et une vulnérabilité récemment découverte dans les serveurs web Apache sont deux exemples de précurseurs.

Explication : Des exercices opérationnels interrompent les services pour vérifier que les plans conçus sont suffisants pour répondre à l’incident simulé.

Explication : D’après le NIST, le processus d’investigation numérique se compose des quatre étapes suivantes:

• Collecte – l’identification des sources potentielles de données médico-légales et l’acquisition, la manipulation et le stockage de ces données.
• Examen – évaluer et extraire des informations pertinentes des données collectées. La décompression ou le déchiffrement des données peuvent faire partie du processus.
• Analyse – tirer des conclusions à partir des données. Les principales caractéristiques, telles que les personnes, les lieux, les dates et heures, les événements et ainsi de suite, doivent être documentées.
• Rapport – préparation et présentation des informations résultant de l’analyse. Les rapports doivent être impartiaux et doivent inclure des explications, le cas échéant.

Explication : Une fois le système cible compromis, le hacker va y créer une porte dérobée afin de bénéficier d’un accès continu à la cible. L’ajout de services et de clés d’exécution automatique permet de créer un point d’accès permanent.

Explication : Une chaîne de responsabilité désigne la documentation des preuves recueillies sur un incident et utilisées par les autorités dans le cadre d’une enquête.

Explication : Les contrôles correctifs restaurent le système après un sinistre ou un événement.
Les contrôles de détection découvrent les événements indésirables et les nouvelles menaces potentielles.
Les contrôles préventifs empêchent une catastrophe de se produire.

Explication : L’équipe de direction crée les politiques, prévoit le budget et est responsable de la répartition des effectifs dans les services. La direction est également chargée de coordonner la réponse aux incidents avec d’autres intervenants et de minimiser les dégâts causés par un incident.

Explication : Placez le Choix dans l’ordre suivant :

Explication : Placez les Choix dans l’ordre suivant :

Explication : Au cours de la phase d’installation de la chaîne de frappe, le hacker crée une porte dérobée dans le système afin de bénéficier d’un accès continu à la cible.

Explication : Le NIST recommande de définir des politiques, des plans et des procédures pour créer et mettre en œuvre un modèle CSIRT. L’élément de plan consiste notamment à élaborer des métriques pour mesurer la capacité de gestion des incidents et son efficacité.

Explication : Au cours de la phase de détection et d’analyse du cycle de vie de gestion des incidents NIST, l’équipe CSIRT doit immédiatement effectuer une analyse initiale afin de déterminer les réseaux, systèmes ou applications touchés, la personne ou l’entité à l’origine de l’incident, ainsi que le modus operandi.

Explication : La chaîne de frappe spécifie les sept étapes (ou phases) et séquences qu’un hacker doit effectuer pour exécuter une attaque :

• Reconnaissance – L’acteur menaçant effectue des recherches, recueille des renseignements et sélectionne des cibles.
• Armement – L’acteur de la menace utilise les informations de la phase de reconnaissance pour développer une arme contre des systèmes spécifiques ciblés.
• Livraison – L’arme est transmise à la cible à l’aide d’un vecteur de livraison.
• Exploitation – L’acteur de la menace utilise l’arme fournie pour combler la vulnérabilité et prendre le contrôle de la cible.
• Installation – L’acteur de la menace établit une porte dérobée dans le système pour permettre un accès continu à la cible.
• Commandement et contrôle (CnC) – L’acteur menaçant établit un commandement et un contrôle (CnC) avec le système cible.
• Action sur les objectifs – L’acteur de la menace est en mesure d’agir sur le système cible, atteignant ainsi l’objectif initial.

Explication : Une preuve corroborante étaye une proposition déjà soutenue par un élément de preuve initial, confirmant ainsi la proposition d’origine. Une preuve circonstancielle est une preuve autre que les récits de première main rapportés par les témoins.

Explication : Le plan de gestion des incidents permet à l’entreprise de se préparer aux désastres potentiels et de minimiser les interruptions associées.

Explication : Une copie de fichier normale ne récupère pas toutes les données sur un périphérique de stockage. Aussi, une image disque non altérée est-elle généralement créée. Une image disque non altérée préserve la preuve originale, empêchant ainsi toute altération accidentelle pendant la phase de détection. Elle permet également de recréer la preuve originale.

Explication : Placez le Choix dans l’ordre suivant :