4.3 - Gestion des vulnérabilités
L'objectif 4.3 du Security+ SY0-701 couvre l'identification et la gestion des vulnérabilités dans le temps. L'analyse de vulnérabilités trouve et priorise les faiblesses connues en scannant les systèmes contre une base de signatures, et doit être exécutée à intervalles réguliers pour détecter les nouveaux problèmes sur tout le parc. Quand une vulnérabilité critique nouvellement découverte touche des serveurs exposés, la première étape est généralement de tester le correctif en préproduction avant de le déployer, pour que le correctif ne casse pas la production. Tu dois aussi comprendre l'analyse des résultats, les faux positifs, le score CVSS, les flux de menaces, les tests d'intrusion, la divulgation responsable, ainsi que la remédiation, la validation et le reporting. Attends-toi à des mises en situation demandant la bonne activité ou la bonne première action de gestion des vulnérabilités.
Trouver + prioriser les faiblesses connues = analyse de vulnérabilités (récurrente). Correctif critique pour serveurs exposés = tester en préproduction D'ABORD. Puis remédier, valider, reporter. Score de gravité = CVSS.
Questions d'entraînement
1. Quelle activité identifie et priorise les faiblesses connues en scannant les systèmes face à une base de vulnérabilités ?
- Exploitation d'intrusion
- Analyse de vulnérabilités (bonne réponse)
- Classification des données
- Répartition de charge
L'analyse de vulnérabilités identifie les failles/mauvaises configs connues (avec ou sans authentification) et aide à prioriser la remédiation. Les pentests vont plus loin et les exploitent.
2. Une vulnérabilité critique nouvellement découverte touche des serveurs exposés. La PREMIÈRE étape du processus de correctif doit être de :
- Déployer le correctif partout
- Tester le correctif en préproduction (bonne réponse)
- Sauter les tests pour gagner du temps
- Attendre un trimestre complet
La gestion des correctifs teste d'abord en préproduction pour éviter les régressions, puis déploie de façon contrôlée et priorisée (avec plan de retour) — les systèmes exposés critiques sont traités en urgence.
3. Une entreprise veut un provisionnement cohérent et sans erreur de centaines de ressources cloud avec la sécurité intégrée. La MEILLEURE approche est :
- Des clics manuels en console à chaque fois
- L'infrastructure as code avec vérifs de politique (bonne réponse)
- Des scripts shell ad hoc ponctuels
- Envoyer les consignes de config par e-mail
L'infrastructure as code avec vérifications de politique automatisées provisionne les ressources de façon cohérente et sûre à l'échelle, réduisant les erreurs manuelles. Versionner les modèles.
4. Pour repérer et prioriser régulièrement les faiblesses connues sur tout le parc, une organisation doit planifier :
- Un pique-nique annuel du personnel
- Des analyses de vulnérabilités récurrentes (bonne réponse)
- Une règle de pare-feu ponctuelle
- Une campagne marketing
Des analyses de vulnérabilités authentifiées récurrentes (plus une surveillance continue) trouvent et classent les failles connues dans le temps, alimentant une remédiation priorisée. À coupler avec la gestion des correctifs et la validation.
5. Une organisation déploie les correctifs d'abord à un petit groupe pilote, puis à des vagues plus larges seulement si aucun souci n'apparaît. Cette approche est :
- Un déploiement immédiat sur tout le parc
- Un déploiement par phases (patch rings) (bonne réponse)
- Sauter tous les tests
- Une copie manuelle par machine
Le déploiement par phases/patch rings diffuse les correctifs à des groupes progressivement plus larges, détectant les problèmes en pilote avant le déploiement large — équilibrant rapidité et stabilité. Garder un plan de retour.
6. Une organisation crée une image de base unique, durcie, corrigée et standardisée, et déploie tous les nouveaux serveurs à partir d'elle. Cette image est appelée :
- Un instantané de sauvegarde
- Une image maître (golden image) (bonne réponse)
- Un vidage mémoire
- Un fichier d'échange
Une image maître (golden image) est un modèle pré-durci, corrigé et standardisé pour provisionner des systèmes cohérents et sûrs, réduisant la dérive de configuration. La maintenir à jour et refaire la base périodiquement.