3.2 - Sécurisation de l'infrastructure d'entreprise
L'objectif 3.2 du Security+ SY0-701 couvre les principes de sécurisation de l'infrastructure réseau d'entreprise. Le filtrage sortant restreint vers quelles destinations externes les hôtes internes peuvent se connecter, limitant l'exfiltration de données et les rappels de malware, tandis que le filtrage entrant contrôle ce qui entre. La micro-segmentation autorise le trafic selon l'identité ou les étiquettes de charge de travail plutôt que de larges sous-réseaux, de sorte qu'un hôte compromis ne circule pas librement. Placer les serveurs exposés dans un sous-réseau isolé du LAN interne crée un sous-réseau filtré, aussi appelé DMZ. Un pare-feu nouvelle génération autorise ou refuse selon l'application réelle du trafic. Tu dois aussi considérer le placement des équipements, les modes de défaillance (fail-open vs fail-closed) et les communications sécurisées comme les VPN. Attends-toi à des mises en situation demandant le bon contrôle d'infrastructure.
Restreindre où les hôtes internes se connectent en SORTIE = filtrage sortant. Autoriser par identité/étiquette de charge = micro-segmentation. Serveurs publics isolés du LAN = sous-réseau filtré (DMZ). Autoriser/refuser par application = NGFW.
Questions d'entraînement
1. Placer les serveurs exposés dans un sous-réseau séparé, isolé du LAN interne, crée une :
- Un hôte pot de miel leurre
- Sous-réseau filtré (DMZ) (bonne réponse)
- Un tunnel VPN chiffré
- Une grappe RAID redondante
Un sous-réseau filtré (DMZ) héberge les services exposés entre deux pare-feu, pour qu'une compromission n'expose pas directement le réseau interne.
2. Un équipement de sécurité en ligne est configuré pour que, s'il tombe en panne, le trafic soit BLOQUÉ plutôt que laissé passer. Cette posture est :
- Fail-open (laisse passer)
- Mode fail-soft
- Fail-closed (fail-secure) (bonne réponse)
- Délestage de charge
Le fail-closed/fail-secure bloque le trafic en cas de panne, privilégiant la sécurité sur la disponibilité. Le fail-open laisse passer, privilégiant la disponibilité — choisir selon le risque et la criticité.
3. Un jeu de règles de pare-feu qui autorise un trafic précis et refuse tout le reste suit quel principe ?
- Autorisation implicite
- Refus implicite (bonne réponse)
- Ouvert par défaut
- Confiance à tout l'interne
Le refus implicite (deny par défaut) bloque tout ce qui n'est pas explicitement autorisé — un défaut sûr pour pare-feu et ACL. N'autoriser que le nécessaire.
4. Diviser un réseau plat en zones isolées pour limiter les mouvements latéraux s'appelle :
- La redirection de port
- La segmentation réseau (bonne réponse)
- La répartition de charge
- Le bridage de bande passante
La segmentation (VLAN, sous-réseaux, microsegmentation) isole les systèmes pour qu'une brèche ne se propage pas librement. Elle impose un accès minimal entre segments.
5. Une entreprise veut protéger une application web des injections et XSS au niveau applicatif. Déployez un :
- Un pare-feu à filtrage de paquets
- Un pare-feu applicatif web (WAF) (bonne réponse)
- Un agent relais DHCP
- Un répartiteur de charge réseau
Un WAF inspecte le HTTP/S en couche 7 pour bloquer SQLi, XSS et autres attaques web. Un pare-feu à filtrage de paquets agit en couches 3/4 et ne comprend pas le contenu applicatif.
6. Pour empêcher des portables non autorisés d'obtenir une connexion active sur une prise murale, activez :
- Un Wi-Fi invité isolé
- La sécurité de port / 802.1X (bonne réponse)
- Une plage d'adresses DHCP plus large
- Un sous-réseau DMZ exposé
La sécurité de port limite les adresses MAC autorisées sur un port, et 802.1X exige une authentification avant d'accorder l'accès — bloquant les appareils pirates à la prise.