4.4 - Surveillance et alertes de sécurité
L'objectif 4.4 du Security+ SY0-701 couvre la surveillance des ressources et la transformation de l'activité en alertes exploitables. Un SOC cartographie les comportements d'attaquants observés sur un catalogue commun de tactiques et techniques avec MITRE ATT&CK, qui offre un langage partagé pour la détection et la chasse. Des signaux comportementaux déclenchent des alertes : si un compte s'authentifie depuis New York et Tokyo à huit minutes d'écart, c'est un voyage impossible, un fort indicateur de risque. La surveillance s'appuie sur les journaux, les flux réseau, les postes et les applications, alimentant des outils qui agrègent, corrèlent et alertent. Tu dois aussi comprendre l'agrégation de journaux, l'analyse, les benchmarks, l'ajustement des alertes pour réduire les faux positifs, et le reporting et l'archivage. Attends-toi à des mises en situation demandant le bon cadre, signal ou source de données.
Cartographier tactiques/techniques d'attaquants = MITRE ATT&CK. Un compte, deux lieux éloignés, à quelques minutes = voyage impossible. Agréger + corréler + alerter sur les journaux = surveillance. Ajuster les alertes pour réduire les faux positifs.
Questions d'entraînement
1. Quel système agrège et corrèle les journaux de nombreuses sources pour alerter et enquêter ?
- Un serveur DHCP
- Un SIEM (bonne réponse)
- Un répartiteur de charge
- Un commutateur KVM
Un SIEM centralise les journaux, corrèle les événements et lève des alertes pour enquête. Le SOAR ajoute des playbooks de réponse automatisée.
2. Lors de la collecte de preuves numériques, pourquoi les intervenants suivent-ils l'ordre de volatilité ?
- Pour accélérer la sauvegarde forensique
- Pour capturer d'abord les données les plus volatiles (bonne réponse)
- Pour libérer de l'espace sur l'hôte
- Pour changer les clés de chiffrement du disque
L'ordre de volatilité consiste à collecter d'abord les données les plus éphémères (registres/cache CPU, RAM, puis disque, journaux, archives) avant leur perte, préservant les preuves.
3. Quand un litige est anticipé, une organisation doit émettre une conservation légale (legal hold) pour :
- Supprimer vite les vieilles données
- Préserver les données pertinentes de la suppression (bonne réponse)
- Chiffrer toutes les sauvegardes d'un coup
- Divulguer publiquement la violation
Une conservation légale suspend la suppression/rétention habituelle pour préserver les données potentiellement pertinentes (litige/e-discovery). L'ignorer peut entraîner des sanctions pour destruction de preuves.
4. Quel registre documente toute personne ayant manipulé une preuve et quand, la gardant recevable ?
- L'accord de niveau de service
- La chaîne de possession (bonne réponse)
- La politique d'usage acceptable
- L'analyse d'impact métier
La chaîne de possession consigne qui a collecté, manipulé et stocké la preuve, et quand, pour la garder inviolée et recevable au tribunal. Des lacunes la rendent inutilisable.
5. Une équipe détecte des connexions d'utilisateurs se comportant anormalement par rapport à leur historique. Quel outil profile cela ?
- Un simple analyseur de paquets réseau
- L'analyse comportementale (UEBA) (bonne réponse)
- Une liste noire d'adresses IP statiques
- Un moniteur de baux d'adresses DHCP
L'UEBA établit une base du comportement normal des utilisateurs/entités et signale les écarts (horaires anormaux, voyage impossible, téléchargements massifs), aidant à repérer comptes compromis et menaces internes.
6. Un analyste examine des relevés résumés de qui-communique-avec-qui pour repérer une exfiltration. Ces relevés sont :
- Des captures de paquets complètes
- Des relevés NetFlow (flux) (bonne réponse)
- Le code source de l'application
- Des journaux de firmware BIOS
Les données de flux (NetFlow/IPFIX) résument les échanges (src/dst, ports, octets) sans la charge complète, efficaces pour repérer exfiltration, beaconing et volumes inhabituels à grande échelle.