2.4 - Activité malveillante : attaques et malwares
L'objectif 2.4 du Security+ SY0-701 est le plus vaste de l'examen et couvre les indicateurs de nombreuses attaques et types de malwares. Un ver se réplique et se propage sur les réseaux sans action de l'utilisateur, contrairement à un virus. La falsification de requête côté serveur (SSRF) pousse un serveur à faire des requêtes vers des systèmes internes qu'il ne devrait pas atteindre. Le détournement de session vole le cookie de session actif d'un utilisateur et le réutilise pour accéder à son compte. La désérialisation non sécurisée de données non fiables peut permettre l'exécution de code. Tu dois aussi reconnaître rançongiciels, chevaux de Troie, rootkits, enregistreurs de frappe, attaques de l'intercepteur (man-in-the-middle), DDoS, attaques DNS et injections (SQL, cross-site scripting), plus les attaques de mots de passe comme la force brute et le spraying. Attends-toi à des mises en situation demandant l'attaque ou la famille de malware précise.
Se propage seul, sans action = ver. Serveur poussé à faire des requêtes internes = SSRF. Voler + réutiliser un cookie de session = détournement de session. Exécuter du code via données non fiables = désérialisation non sécurisée. Connais aussi : rançongiciel, intercepteur, DDoS, SQLi/XSS.
Questions d'entraînement
1. Un attaquant relaie secrètement et peut altérer le trafic entre deux parties. C'est une :
- Un déni de service distribué
- Attaque de l'intercepteur (MITM) (bonne réponse)
- Une attaque par force brute
- Un exploit d'élévation de privilèges
L'attaquant on-path (MITM) intercepte/modifie le trafic entre les extrémités. TLS, validation de certificat et VPN s'en défendent.
2. Un formulaire web laisse un attaquant injecter des commandes SQL pour vider la base. C'est :
- Cross-site scripting
- Traversée de répertoire
- Injection SQL (bonne réponse)
- Vol de session
L'injection SQL exploite une entrée non filtrée pour exécuter du SQL. Corriger par requêtes paramétrées et validation. Le XSS injecte plutôt des scripts dans les pages.
3. Des fichiers sont soudain chiffrés avec une note exigeant un paiement. Ce malware est :
- Un rootkit
- Un ransomware (bonne réponse)
- Une bombe logique
- Un adware
Le ransomware chiffre les données et exige un paiement. Réponse : isoler, signaler, restaurer depuis des sauvegardes hors ligne saines ; payer est déconseillé.
4. Un malware qui se réplique et se propage sur les réseaux sans action de l'utilisateur est un :
- Cheval de Troie
- Ver (bonne réponse)
- Bombe logique
- Enregistreur de frappe
Un ver se propage seul sur les réseaux sans interaction. Un cheval de Troie se cache dans un logiciel utile ; une bombe logique se déclenche sur condition ; un keylogger enregistre les frappes.
5. Un malware qui donne à un attaquant un contrôle distant furtif d'un hôte est décrit comme un :
- Un simple afficheur de pub
- Un coffre à mots de passe
- Cheval de Troie d'accès distant (RAT) (bonne réponse)
- Un répartiteur de charge réseau
Un RAT fournit un contrôle distant furtif (fichiers, webcam, frappes) comme malware de porte dérobée. Les rootkits le cachent à bas niveau ; les canaux C2 le pilotent.
6. Essayer quelques mots de passe courants sur de nombreux comptes pour éviter les verrouillages s'appelle :
- Une attaque par dictionnaire
- Pulvérisation de mots de passe (bonne réponse)
- Pass-the-hash
- Usage de rainbow table
La pulvérisation essaie quelques mots de passe probables sur de nombreux comptes, sous les seuils de verrouillage. La force brute matraque un compte avec de nombreux essais.