4.3 - Équipements de sécurité réseau (NAC, NGFW, IDS)
L'objectif 4.3 du Network+ N10-009 couvre les équipements qui appliquent la sécurité réseau. Le contrôle d'accès réseau (NAC) vérifie la posture d'un appareil - correctifs, antivirus, configuration - avant d'accorder l'accès, mettant en quarantaine les hôtes non conformes. Un pare-feu nouvelle génération (NGFW) ajoute la conscience applicative, la prévention d'intrusion et l'identité au filtrage de paquets classique, décidant par application plutôt que par port. Un IDS surveille passivement une copie du trafic et alerte seulement, tandis qu'un IPS bloque en ligne ; connais cette différence. Un boîtier de gestion unifiée des menaces (UTM) regroupe pare-feu, antivirus, IPS et filtrage de contenu, pratique pour les petits sites. Tu dois aussi connaître les proxys, concentrateurs VPN et serveurs de rebond. Attends-toi à des mises en situation demandant le bon équipement - NAC, NGFW, IDS ou UTM.
Vérifier la posture avant l'accès = NAC. Pare-feu avec conscience applicative + IPS + identité = NGFW. Passif, copie du trafic, alerte seulement = IDS (IPS bloque en ligne). Tout-en-un pare-feu/AV/IPS/filtrage = UTM.
Questions d'entraînement
1. Quelle suite de protocoles crée des tunnels chiffrés pour les VPN site à site en couche 3 ?
- RADIUS
- SNMPv3
- IPsec (bonne réponse)
- HTTPS
IPsec sécurise le trafic IP avec AH (intégrité) et ESP (chiffrement), pour les VPN site à site et clients. RADIUS = AAA, SNMPv3 = gestion d'équipements, HTTPS = sessions web.
2. Quel hôte durci est le point d'entrée unique et contrôlé pour administrer les serveurs internes ?
- Hôte honeypot leurre
- Jump box (bastion) (bonne réponse)
- Hôte redirecteur DNS
- Répartiteur de charge serveur
Un jump box/hôte bastion est une passerelle durcie et journalisée par laquelle les admins passent pour atteindre les systèmes internes, réduisant l'exposition. Un honeypot est un leurre, pas un chemin d'admin.
3. Quel équipement inspecte le trafic et bloque activement les attaques détectées en ligne ?
- IDS
- Proxy
- IPS (bonne réponse)
- Serveur syslog
Un IPS est en ligne et peut abandonner le trafic malveillant en temps réel. Un IDS ne fait que détecter et alerter (hors bande) ; un proxy relaie les sessions.
4. Quel type de pare-feu suit l'état des connexions pour autoriser le trafic retour ?
- Filtre de paquets (sans état)
- Pare-feu à états (bonne réponse)
- Cache proxy
- Concentrateur
Un pare-feu à états suit l'état des connexions pour autoriser automatiquement les réponses aux sessions sortantes permises. Un filtre sans état examine chaque paquet isolément.
5. Quel équipement se place entre les utilisateurs et le web pour filtrer et mettre en cache les requêtes ?
- Répartiteur de charge
- Proxy inverse
- Proxy sortant (forward) (bonne réponse)
- Sonde IDS
Un proxy sortant (forward) se place devant les clients internes pour filtrer, journaliser et mettre en cache leurs requêtes web sortantes. Un proxy inverse protège des serveurs pour le trafic entrant.
6. Quel contrôle vérifie la conformité d'un appareil (correctifs, antivirus) avant l'accès réseau ?
- ACL
- VPN
- DMZ
- NAC (bonne réponse)
Le NAC (Network Access Control) vérifie l'identité et la conformité et peut mettre en quarantaine les appareils non conformes. Une ACL filtre le trafic ; une DMZ est une zone filtrée.