2.1 - Acteurs de menace et surfaces d'attaque
L'objectif 2.1 du Security+ SY0-701 couvre qui attaque et par où ils entrent. Les acteurs de menace varient en ressources et motivation : un acteur étatique est généralement le mieux doté et le plus persistant, derrière les menaces persistantes avancées (APT), tandis que d'autres incluent le crime organisé, les hacktivistes, les initiés et les attaquants peu qualifiés utilisant des outils prêts à l'emploi. La surface d'attaque est la somme de tous les points où un attaquant pourrait tenter d'entrer ou d'extraire des données ; la réduire diminue le risque. Parmi les faiblesses qui l'agrandissent : le shadow IT - des applis non approuvées installées pour contourner l'informatique - et les mauvaises configurations, comme un bucket de stockage cloud laissé public qui fuit des fichiers. Attends-toi à des mises en situation nommant les traits d'un attaquant ou une faille et demandant le terme correct.
Le mieux doté, persistant (APT) = État-nation. Tous les points d'entrée/sortie possibles = surface d'attaque. Applis non approuvées contournant l'informatique = shadow IT. Bucket cloud public qui fuit = mauvaise configuration.
Questions d'entraînement
1. Quel acteur de menace est généralement le mieux doté et le plus persistant (une APT) ?
- Un script kiddie
- Un hacktiviste isolé
- Un acteur étatique (bonne réponse)
- Un employé négligent
Les acteurs étatiques (APT) ont de gros budgets, des outils avancés et des objectifs de long terme (espionnage/sabotage). Les script kiddies utilisent les outils d'autrui, peu qualifiés.
2. La somme de tous les points où un attaquant pourrait entrer ou extraire des données est la :
- Le flux de renseignement sur les menaces
- Surface d'attaque (bonne réponse)
- La base de sécurité
- L'objectif de point de récupération
La surface d'attaque regroupe tous les points d'entrée exposés (services, ports, API, utilisateurs). La réduire en désactivant les services inutiles, par segmentation et moindre fonctionnalité.
3. Un employé installe une app cloud non approuvée pour partager des fichiers, contournant l'IT. C'est un exemple de :
- Une APT étatique
- Shadow IT (informatique fantôme) (bonne réponse)
- Un hacktiviste externe
- Une attaque de chaîne d'appro
Le shadow IT est une technologie utilisée sans approbation/visibilité de l'IT, créant un risque non géré (fuites, pas de correctifs). Traiter par découverte, politique et alternatives autorisées.
4. Un bucket de stockage cloud laissé lisible publiquement fuit des fichiers clients. La cause racine est :
- Un exploit zero-day
- Une mauvaise configuration de sécurité (bonne réponse)
- Une attaque de chaîne d'appro
- Une attaque par force brute
Les buckets exposés publiquement sont une mauvaise configuration classique. Corriger par des politiques au moindre privilège, la désactivation de l'accès public et le CSPM pour détecter les dérives.
5. Un employé enregistre des données clients sur un cloud personnel pour travailler à domicile, contournant les contrôles. Le risque PRINCIPAL est :
- Un Internet domestique plus lent
- Une exposition de données non maîtrisée (shadow IT) (bonne réponse)
- Un tout nouvel exploit zero-day
- Une panne d'un composant matériel local
Copier des données d'entreprise sur un cloud personnel non autorisé est du shadow IT : données non surveillées, hors DLP — fort risque de fuite/conformité. Fournir des outils autorisés.
6. Un analyste rattache une intrusion à des phases comme reconnaissance, livraison, exploitation et actions sur les objectifs. Ce cadre est :
- Le modèle réseau OSI
- La cyber kill chain (bonne réponse)
- La règle de sauvegarde 3-2-1
- La triade CIA
La cyber kill chain décrit les phases d'attaque (reconnaissance → armement → livraison → exploitation → installation → C2 → actions), aidant les défenseurs à détecter et interrompre à chaque étape. MITRE ATT&CK cartographie les TTP détaillés.