Examen final cours Défense du réseau (NetDef) Réponses

Explication: Lorsqu’une approche de défense en profondeur multicouche est utilisée, des couches de sécurité sont mises en place à l’échelle de l’entreprise: en périphérie, au sein du réseau et au niveau des terminaux. Les couches collaborent pour créer l’architecture de sécurité. Dans cet environnement, la défaillance d’un mécanisme de protection n’affecte pas l’efficacité des autres mécanismes.

Explication: Dans une approche défensive en profondeur, le routeur de bord formerait la première ligne de défense. Le pare-feu serait la deuxième ligne de défense suivie par le routeur interne constituant la troisième ligne de défense.

Explication: La sécurité sans fil dépend de multiples normes industrielles ; elle a évolué de WEP à WPA, puis enfin WPA2.

Explication: Face à des systèmes biométriques semblables, certains facteurs clés sont à privilégier: l’exactitude, la vitesse, le débit et l’acceptabilité par les utilisateurs.

Explication: Deux bonnes pratiques de sécurisation des réseaux sans fil consistent à chiffrer le trafic sans fil avec le chiffrement WPA2 et à tenir à jour le micrologiciel du routeur sans fil. Cela empêche les hackers de pouvoir lire les données et corrige les vulnérabilités et les bugs connus dans le routeur.

Explication: Les LAN virtuels (VLAN) assurent une segmentation logique en créant plusieurs domaines de diffusion sur le même commutateur réseau. Les VLAN permettent une utilisation plus élevée des ports de commutation, car un port peut être associé au domaine de diffusion nécessaire et plusieurs domaines de diffusion peuvent résider sur le même commutateur. Les périphériques réseau d’un VLAN ne peuvent pas communiquer avec les périphériques d’un autre VLAN sans la mise en œuvre d’un routage inter-VLAN.

Explication: Une attaque par transmission des privilèges exploitere les vulnérabilités des serveurs ou systèmes de contrôle d’accès afin d’accorder à un utilisateur non autorisé, ou à un processus logiciel, des niveaux de privilèges plus élevés. Une fois ce niveau de privilège accordé, le hacker peut accéder à des informations sensibles ou prendre le contrôle du système.

Explication: Le modèle de contrôle d’accès non discrétionnaire se base sur les rôles et les responsabilités de l’utilisateur pour prendre des décisions en termes d’accès.

Explication: TACACS+ et RADIUS prennent tous deux en charge le chiffrement du mot de passe (TACACS+ chiffre toutes les communications) et utilisent le protocole de couche 4 (TACACS+ utilise TCP, tandis que RADIUS utilise UDP). Le protocole TACACS+ prend en charge la séparation des processus d’authentification et d’autorisation, tandis que RADIUS regroupe l’authentification et l’autorisation au sein d’un même processus. Contrairement à TACACS+, le protocole RADIUS prend en charge la technologie d’accès à distance, telle que 802.1x et SIP.

Explication: Puisque le nouvel ACE de refus est une adresse d’hôte faisant partie du réseau 172.16.0.0 existant qui est autorisé, le routeur rejette la commande et affiche un message d’erreur. Pour que le nouvel ACE de refus prenne effet, il doit être configuré manuellement par l’administrateur avec un numéro d’ordre inférieur à 10.

Explication: Pour appliquer une liste d’accès à une interface spécifique, la commande IPv6 filtre de trafic ipv6 est équivalente à la commande IPv4 groupe d’accès. Des informations sur la direction dans laquelle le trafic est examiné (entrant ou sortant) sont également nécessaires.

Explication: Une liste ACL sortante doit être utilisée lorsque les mêmes règles de filtrage ACL seront appliquées aux paquets provenant de plusieurs interfaces d’entrée avant de quitter une interface de sortie unique. La liste ACL sortante sera appliquée à l’interface de sortie unique.

Explication: Il existe de nombreuses différences entre un pare-feu sans état et un pare-feu avec état.
Pare-feu « stateless »

• Il est vulnérable face à une usurpation d’adresse IP.
• Il filtre les paquets fragmentés.
• utilisent des listes de contrôle d’accès complexes, qui peuvent être difficiles à mettre en œuvre et à gérer.
• ne peut pas filtrer dynamiquement certains services.
• Il examine chaque paquet selon le contexte de l’état de la connexion.

Pare-feu stateful:

• sont souvent utilisés comme principal moyen de défense en filtrant le trafic indésirable, inutile ou indésirable
• renforcer le filtrage des paquets en offrant un contrôle plus strict de la sécurité
• améliorer les performances par rapport aux filtres de paquets ou aux serveurs proxy
• se défendre contre l’usurpation d’identité et les attaques DoS en déterminant si les paquets appartiennent à une connexion existante ou proviennent d’une source non autorisée
• fournissent plus d’informations de journal qu’un pare-feu filtrant les paquets

Explication: Avec une conception de pare-feu à trois interfaces avec des connexions internes, externes et DMZ, les configurations typiques comprennent les suivantes:

• Le trafic en provenance de DMZ destiné au réseau interne est normalement bloqué.
• Le trafic en provenance de la zone démilitarisée destinée à des réseaux externes est généralement autorisé en fonction des services utilisés dans la zone démilitarisée.
• Le trafic en provenance du réseau interne à destination de la zone démilitarisée est normalement inspecté et autorisé à revenir.
• Le trafic provenant de réseaux externes (le réseau public) est généralement autorisé dans la zone démilitarisée uniquement pour des services spécifiques.

Explication: Pare-feu de la passerelle d’applications (pare-feu proxy): filtre les informations au niveau des couches 3, 4, 5 et 7 du modèle de référence OSI. Quel type de pare-feu utilise un serveur proxy pour se connecter aux serveurs distants pour le compte des clients? Les serveurs distants ne verront que les connexions du serveur proxy, et non celles des clients individuels.

Explication: Chaque trafic est permis dans la zone elle-même si le trafic vient du routeur ou s’il lui est destiné.

Explication: La conception d’une ZPF comprend plusieurs étapes:

• Étape 1. Déterminer les zones: l’administrateur se concentre sur la séparation du réseau en zones. Les zones définissent les limites de sécurité d’un réseau.
• Étape 2. Établir des politiques entre les zones: pour chaque paire de zones « source-destination », définissez les sessions que les clients des zones sources peuvent demander aux serveurs des zones de destination.
• Étape 3 Concevoir l’infrastructure physique: une fois les zones identifiées et les besoins en matière de trafic documentés, l’administrateur doit concevoir l’infrastructure physique. Il s’agit notamment de déterminer le nombre de périphériques entre les zones les plus sécurisées et les moins sécurisées et de déterminer les périphériques redondants.
• Étape 4. Identifier les sous-ensembles dans les zones et fusionner les exigences en matière de trafic: pour chaque pare-feu de la conception, l’administrateur doit identifier les sous-ensembles de zones connectés à ses interfaces et fusionner les exigences en matière de trafic pour ces zones.

Explication: L’action Pass autorise le trafic dans une seule direction. Les interfaces deviennent automatiquement membres de la zone libre. Les interfaces sont attribuées aux zones en mode de configuration d’interface, mais la plupart des configurations ont lieu en mode de configuration globale et dans les sous-modes associés. Une interface ne peut appartenir qu’à une seule zone.

Explication: Le document Security Guides for Critical Areas of Focus in Cloud Computing v4 développé par la Cloud Security Alliance (CSA) couvre 14 domaines de la sécurité du cloud. Certains de ces domaines sont:

• Sécurité de l’infrastructure: décrit les aspects spécifiques au cloud de la sécurité de l’infrastructure et les bases d’un fonctionnement sécurisé dans le cloud.
• Sécurité et chiffrement des données: décrit les contrôles liés à la sécurisation des données elles-mêmes, dont le chiffrement est l’un des plus importants.
• Sécurité des applications: fournit des conseils sur la façon de créer et de déployer des applications en toute sécurité dans les environnements de cloud computing, en particulier pour les environnements PaaS et IaaS.
• La sécurité en tant que service: couvre les services de sécurité en constante évolution fournis depuis le cloud.

Explication: Les réseaux définis par logiciel (SDN) permettent de nouveaux types de contrôles de sécurité et offrent un gain global pour la sécurité du réseau, notamment:

• isolation facile du réseau sans les contraintes du matériel physique.
• Les pare-feu SDN (groupes de sécurité dans le cloud computing) s’appliquent aux ressources en fonction de critères plus flexibles que les pare-feu matériels.

Explication: Les kits de développement logiciel (SDK) fournissent un référentiel de code utile pour accélérer et réduire les coûts de développement des applications.

Explication: L’hébergement des processus de développement et de distribution des logiciels est un exemple du modèle PaaS. Dans le modèle de responsabilité partagée en matière de sécurité, le client cloud est responsable de la sécurité des données et des terminaux.

Explication: La confidentialité des données est la tâche qui consiste à s’assurer que seul le personnel autorisé peut ouvrir un fichier. Pour ce faire, une technique de chiffrement peut être utilisée. AES et 3DES sont deux algorithmes de chiffrement. HMAC peut être utilisé pour procéder à l’authentification de l’origine. MD5 et SHA-1 peuvent être utilisés pour garantir l’intégrité des données.

Explication: Un certificat numérique peut s’avérer nécessaire si sa clé est compromise ou n’est plus nécessaire. La liste de révocation de certificat (CRL) et le protocole OCSP (Protocole d’état de certificat en ligne) sont deux méthodes couramment utilisées pour vérifier l’état de révocation d’un certificat.

Explication: Il existe des technologies pour déstabiliser les pirates en modifiant les données et en dissimulant les données d’origine.

Explication: Syslog est un démon ou service exécuté sur un serveur qui accepte les messages envoyés par des périphériques réseau. Ces journaux peuvent être examinés afin de détecter des incohérences et des problèmes au sein du réseau.

Explication: HTTP (Protocole de transfert hypertexte) et HTTPS (ou HTTP sécurisé) sont deux protocoles de la couche application qui gèrent les demandes de contenus émises par les clients ainsi que les réponses du serveur web. HTML (Langage Signalétique Hyper Text) est un langage de balisage qui encode les contenus et les caractéristiques d’une page web. Le DNS sert à effectuer la résolution des noms de domaines en adresses IP. Le DHCP gère et fournit aux clients des configurations dynamiques d’adresses IP.

Explication: POP3, SMTP et IMAP sont des protocoles de messagerie. Le protocole SMTP est utilisé pour envoyer des données d’un hôte vers un serveur ou entre des serveurs. Les protocoles IMAP et POP3 sont utilisés pour télécharger des messages électroniques et peuvent être responsables de l’infection de l’hôte récepteur par des programmes malveillants.

Explication: La source de la sortie est Netflow.

Explication: Le module d’analyse réseau du système Cisco Prime Infrastructure et de Wireshark disposent d’interfaces GUI et peut afficher des captures complètes de paquets. L’outil de ligne de commande tcpdump est un analyseur de paquets.

Explication: NetFlow propose un ensemble clé de services destinés aux applications IP, notamment la gestion des comptes du trafic réseau, la facturation basée sur l’utilisation, la planification du réseau, la sécurité, la surveillance des attaques par déni de service et la surveillance générale du réseau. NetFlow fournit des informations importantes sur les applications et utilisateurs réseau, les heures d’utilisation de pointe et le routage du trafic.

Explication: Les alertes sont classées comme suit:

• Vrai positif: l’alerte correspond à un incident réel, après vérification.
• Faux positif: l’alerte ne correspond pas à un incident réel. Une activité bénigne qui entraîne un faux positif est parfois appelée un déclencheur bénin.

Il est également possible qu’une alerte ne soit pas générée. L’absence d’alerte est classée comme suivant:

• Vrai négatif: aucun incident ne s’est produit. L’activité est bénigne.
• Faux négatif: un incident n’a pas été détecté.

Explication: Les alertes sont classées comme suit:

• Vrai positif: l’alerte correspond à un incident réel, après vérification.
• Faux positif: l’alerte ne correspond pas à un incident réel. Une activité bénigne qui entraîne un faux positif est parfois appelée un déclencheur bénin.

Il est également possible qu’une alerte ne soit pas générée. Dans ce cas, l’absence d’alerte est classée comme:

• Vrai négatif: aucun incident ne s’est produit. L’activité est bénigne.
• Faux négatif: un incident n’a pas été détecté.

Explication: Renifler est à la fois un système de protection contre les intrusions réseau (NIPS) et un système de détection d’intrusions réseau (NIDS) Open Source développé par Sourcefire. Il est en mesure d’effectuer une journalisation des paquets et une analyse du trafic en temps réel sur les réseaux IP (Internet Protocol). Il peut également être utilisé pour détecter les sondes ou les attaques.