Wondershare EdrawMind
Galerie de cartes mentales Notes d'étude CISSP - Domaine 6 (évaluation et tests de sécurité)
- 8
Notes d'étude CISSP - Domaine 6 (évaluation et tests de sécurité)
Il s'agit d'une carte mentale sur les notes d'étude CISSP - Domaine 6 (évaluation et tests de sécurité). Le contenu principal comprend : des questions de révision et des points de connaissances.
Modifié à 2024-04-06 10:04:44
- bacteria
This is a mind map about bacteria, and its main contents include: overview, morphology, types, structure, reproduction, distribution, application, and expansion. The summary is comprehensive and meticulous, suitable as review materials.
- Plant asexual reproduction
This is a mind map about plant asexual reproduction, and its main contents include: concept, spore reproduction, vegetative reproduction, tissue culture, and buds. The summary is comprehensive and meticulous, suitable as review materials.
- Reproductive development of animals
This is a mind map about the reproductive development of animals, and its main contents include: insects, frogs, birds, sexual reproduction, and asexual reproduction. The summary is comprehensive and meticulous, suitable as review materials.
Notes d'étude CISSP - Domaine 6 (évaluation et tests de sécurité)
- bacteria
This is a mind map about bacteria, and its main contents include: overview, morphology, types, structure, reproduction, distribution, application, and expansion. The summary is comprehensive and meticulous, suitable as review materials.
- Plant asexual reproduction
This is a mind map about plant asexual reproduction, and its main contents include: concept, spore reproduction, vegetative reproduction, tissue culture, and buds. The summary is comprehensive and meticulous, suitable as review materials.
- Reproductive development of animals
This is a mind map about the reproductive development of animals, and its main contents include: insects, frogs, birds, sexual reproduction, and asexual reproduction. The summary is comprehensive and meticulous, suitable as review materials.
- Recommandé pour vous
- Contour
Système de connaissances du chef de projet système d'information (Chapitre 3 Gestion du périmètre du projet)
- 8
Système de connaissances du chef de projet système d'information (Chapitre 10 Gestion de la communication du projet et gestion des parties prenantes)
- 9
Système de connaissances du chef de projet système d'information (Chapitre 9 Gestion des ressources humaines du projet)
- 6
Système de connaissances du chef de projet système d'information (Chapitre 11 Gestion des risques du projet)
- 8
Connaissances en matière de sécurité des expériences en matière d'électricité, de sécurité de l'eau et de chimie organique
- 10
Système de connaissances du chef de projet de système d'information (Chapitre 12 Gestion des approvisionnements de projets)
- 8
Notes d'étude CISSP - Domaine 6 (évaluation et tests de sécurité)
Points de connaissance
6.1 Planifier et valider les stratégies d'évaluation, de test et d'audit
6.1.1. Évaluation, tests et audit
6.1.1.1Essais
Activité technique qui consiste à exécuter un système pour confirmer qu'il répond à des exigences spécifiques ou à un comportement attendu. Les tests sont souvent utilisés pour détecter des problèmes et des erreurs dans un système. Dans le domaine de la sécurité, les tests comprennent l'analyse des vulnérabilités, les tests d'intrusion, etc., qui sont utilisés pour découvrir et évaluer les risques potentiels de sécurité du système.
6.1.1.2Évaluations
L'évaluation est une activité d'évaluation globale pour un objet, un système ou un processus spécifique. Elle peut être basée sur des normes quantitatives ou qualitatives. Par exemple, l'évaluation des risques consiste à évaluer la possibilité qu'un risque spécifique se produise, ou à évaluer la qualité d'un risque spécifique. le processus de sécurité de l’organisation.
6.1.1.3Vérification
Un audit est un processus plus formel et structuré dont l'objectif principal est de vérifier et de confirmer la conformité d'un objet ou d'un système selon des normes ou spécifications définies. Les audits sont généralement menés par des organismes tiers indépendants pour garantir l'impartialité et l'équité des résultats de l'audit. Par exemple, un audit système peut déterminer si un système est conforme à la norme PCI DSS (Payment Card Industry Data Security Standard).
6.1.2. Audit interne
Les évaluations et audits internes sont des activités d'évaluation et d'audit menées par le propre personnel d'une organisation. Cette activité peut être exercée de manière continue dans le cadre de la gestion de la sécurité de l'organisation.
1. Avantages et inconvénients de l'audit interne
•Avantages : parce que les internes ont une compréhension approfondie des opérations et des activités de l'organisation, ils sont en mesure d'effectuer des tests ou des évaluations avec plus de précision et d'efficacité. De plus, l’audit interne est également plus flexible et peut être réalisé à tout moment selon les besoins de l’organisation.
•Inconvénients : Il existe des conflits d'intérêts potentiels, tels que « Celui qui élabore la politique ne doit pas être audité ». En conséquence, l’audit interne peut manquer d’indépendance et d’impartialité.
2. Types de tests adaptés aux tests internes
• Analyse des vulnérabilités : effectuée régulièrement pour découvrir des logiciels non corrigés ou des actifs inconnus.
•Audits de processus et de procédures : tels que la gestion du changement, la finalisation de la formation des employés, etc.
• Simulation de phishing : testez la capacité des employés à reconnaître et à répondre aux attaques de phishing.
3. Préparez-vous aux audits externes
Avant de procéder à un audit externe, une organisation peut choisir de procéder à un audit préparatoire interne. Cela peut contribuer à améliorer les résultats des audits externes en identifiant et en corrigeant tout problème ou déficience existant avant le début de l’audit formel.
6.1.3. Audit externe
Les audits externes sont généralement menés par des organisations tierces indépendantes qui n'ont aucun intérêt direct dans l'organisation auditée. Par conséquent, les audits externes peuvent fournir des évaluations et des résultats d’audit impartiaux et indépendants, particulièrement précieux pour identifier et améliorer les problèmes que l’organisation aurait pu négliger. Mais cela peut aussi nécessiter un investissement de plus de temps et de ressources. Par conséquent, les organisations doivent peser le pour et le contre et prendre en compte leurs besoins et conditions spécifiques lorsqu’elles décident de réaliser un audit externe.
Les situations dans lesquelles l’audit externe est applicable comprennent :
• Audit de conformité : pour répondre à des exigences de conformité spécifiques, telles que la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS), la norme internationale du système de gestion de la sécurité de l'information (IS0 27001), etc., des audits externes sont requis.
Exigences légales ou réglementaires : dans certains cas, une organisation peut être tenue de procéder à un audit externe en raison d'exigences légales ou réglementaires. Par exemple, pour répondre à des exigences métier spécifiques, une évaluation de la maturité basée sur un modèle de maturité peut être nécessaire.
6.1.4. Audit tiers
Audits de tiers. Également appelé audit de la chaîne d’approvisionnement. Il s’agit d’un moyen important d’évaluation et de gestion des risques liés à la sécurité de la chaîne d’approvisionnement et peut être réalisé par l’organisation elle-même ou par un auditeur tiers. Le processus d'audit évaluera les contrôles et les politiques de sécurité dans la chaîne d'approvisionnement, identifiera les risques et proposera des mesures d'atténuation. Certains fournisseurs peuvent fournir des rapports d'audit tiers, tels que les rapports Service Organization Controls 2 (SOC2), qui peuvent aider les organisations à mieux comprendre et gérer les risques liés à la chaîne d'approvisionnement.
6.2. Effectuer des tests de contrôle de sécurité
6.2.1. Évaluation de la vulnérabilité
1. Aperçu de la stratégie
L'évaluation des vulnérabilités est un élément clé de la gestion des risques, qui se concentre sur l'identification et l'évaluation des vulnérabilités des actifs matériels et logiciels pour empêcher qu'ils ne soient exploités par des attaquants.
Les principales étapes de l’évaluation de la vulnérabilité comprennent :
1) Créez un inventaire des actifs : identifiez les actifs critiques de votre organisation et hiérarchisez les analyses de vulnérabilité.
2. Sélectionnez un outil d'analyse : choisissez un outil d'analyse des vulnérabilités approprié en fonction de facteurs tels que les exigences légales, contractuelles ou réglementaires, la compatibilité de la plateforme et le coût.
2. Foire aux questions sur l'évaluation de la vulnérabilité
1. Trafic excessif et DoS
Description : les scanners de vulnérabilités peuvent générer de grandes quantités de trafic, consommer la bande passante du réseau et potentiellement provoquer des conditions de DoS sur les réseaux et les systèmes lorsqu'ils ont du mal à traiter les informations.
solution:
1) Configuration correcte, telle que la mise en œuvre d'une limitation des requêtes pour limiter le nombre de requêtes générées par le scanner au cours d'une période de temps spécifique
2) Analyse basée sur des bons pour obtenir des informations de configuration et analyser avec précision les ports cibles
3) Planifiez des analyses pour garantir que l'analyse se produit à des moments de faible activité des utilisateurs.
2.Alertes et événements
Description : L'analyse de l'hôte simulera les tactiques couramment utilisées par les attaquants et générera des alertes de sécurité.
Solution : configurez une stratégie pour filtrer votre propre trafic de test et marquer les analyses de ports à partir de l'adresse IP du scanner de vulnérabilités comme non suspectes.
3. Propriété transversale
Description : Si le service commercial n'y prête pas attention, votre alarme de sécurité peut être ignorée.
Solution : Entretenir les relations entre les équipes et formater les résultats des commentaires d'une manière compréhensible pour les propriétaires d'actifs ;
4. Pollution
Description : Les données de test renseignées automatiquement peuvent polluer l'environnement en ligne.
Solution : Modifiez la politique de configuration pour réduire ou ignorer certaines opérations destructrices, telles que les opérations sur les formulaires, l'envoi d'e-mails, etc. Le scanner peut être configuré pour insérer des types de données de test reconnus qui peuvent être facilement ignorés ou nettoyés après la numérisation.
5. Segmentation du réseau
Description : L'utilisation de mesures de contrôle d'accès telles que des pare-feu pour segmenter ou isoler différentes parties du réseau constitue une bonne pratique de sécurité, mais peut empêcher l'analyseur d'atteindre l'adresse cible.
Solution : L'analyse distribuée place l'agent d'analyse dans un segment de réseau, permet d'analyser les points finaux du segment de réseau, puis intègre les résultats dans l'unité de contrôle centrale.
6.2.2. Tests d'intrusion
L'évaluation des vulnérabilités recherche les faiblesses qui peuvent théoriquement être exploitées, tandis que les tests d'intrusion (également appelés pen tests) vont plus loin et prouvent que ces faiblesses peuvent être exploitées.
1Types de tests d’intrusion
1) Tests d'intrusion en boîte blanche (également appelés tests de connaissances complets)
L'équipe de test comprend parfaitement l'infrastructure et son architecture, y compris les systèmes d'exploitation, la segmentation du réseau, les appareils et leurs vulnérabilités. Ce type de test permet de concentrer l'équipe de test sur un domaine d'intérêt spécifique ou une vulnérabilité spécifique.
2) Tests d'intrusion en boîte noire (également appelés tests de connaissance nulle)
L'équipe de test n'a aucune connaissance de l'infrastructure et découvre la structure du réseau et ses vulnérabilités du point de vue d'un attaquant.
3) Tests d'intrusion en boîte grise (également appelés tests de connaissances locales)
Un test d'intrusion qui fait la médiation entre les tests en boîte blanche et les tests en boîte noire, où l'équipe de test a une connaissance partielle de l'infrastructure.
2. Testeur de pénétration
1) Hacker au chapeau blanc (éthique)
Un professionnel de la sécurité qui teste un système pour déterminer ses faiblesses afin que ces faiblesses puissent être atténuées et que le système soit mieux protégé.
2) Pirates au chapeau noir (contraire à l’éthique)
Des entités malveillantes envahissent les systèmes par le biais du chantage, obtiennent des données sensibles ou perturbent le fonctionnement des infrastructures.
3) Les hackers au chapeau gris
Des hackers qui oscillent entre le monde du chapeau blanc et celui du chapeau noir. Vendant parfois leur expertise au profit de l’organisation
4) Équipe rouge
Groupes d’attaque lors de tests ou d’exercices de sécurité
5) Équipe bleue
Défenseurs lors de tests ou d’exercices de sécurité
6) Équipe blanche
L'équipe qui gère l'exercice lors d'un test ou d'un exercice de sécurité
3 règles de tests d'intrusion
Les tests d’intrusion ne doivent jamais être effectués sans autorisation appropriée. Les règles de test doivent également être claires, notamment déterminer la portée du test, identifier les participants, définir les méthodes de test et les méthodes de communication attendues, etc.
Les clients internes généralement définis dans les fichiers de règles incluent les aspects suivants :
•Quels systèmes, bureaux ou autres cibles sont concernés par les tests ?
•Des systèmes, bureaux ou autres cibles sont-ils spécifiquement exclus des tests ?
. Certaines méthodes de test sont-elles interdites, telles que l'ingénierie sociale ou le piratage de mots de passe ?
. La sécurité physique est-elle couverte ? Si oui, quels équipements ou objectifs sont inclus ?
•Quel niveau d'autorité les testeurs sont-ils accordés ? Les testeurs peuvent disposer de comptes pour évaluer les menaces internes ou mener des activités de vérification s’ils peuvent y accéder.
•Quels sont le style et la cadence de communication attendus ? Certaines organisations peuvent exiger une notification immédiate de tout problème de sécurité potentiellement critique, tandis que d'autres peuvent se contenter d'attendre un rapport final.
•Qui effectue les tests, quels équipements et logiciels sont autorisés et quand les tests auront-ils lieu ?
•Quelles procédures seront utilisées lors du traitement de données sensibles telles que les configurations de réseau interne, les enregistrements clients, etc. ?
•Comment les données sensibles seront-elles traitées en toute sécurité après les tests ?
•Quel est le niveau de service attendu. Par exemple, les testeurs refont-ils les tests immédiatement après la mise en œuvre d'un correctif ou attendent-ils un délai de retest prescrit ?
•Quelles sont les attentes en matière de documentation, en particulier les détails de tout problème détecté, montrant le travail effectué pour vérifier les résultats des tests et le format de tout rapport ?
4. Processus de test d'intrusion
5. Tests de pénétration physique
Les tests d'intrusion physique se produisent lorsqu'un testeur tente d'accéder sans autorisation à une installation telle qu'un bureau ou un centre de données dans le but de découvrir des faiblesses potentielles dans les contrôles de sécurité physique. Les tactiques d'ingénierie sociale courantes consistent à transporter des objets volumineux et à demander à quelqu'un d'ouvrir la porte, ou à apparaître habillé en fonctionnaire.
6.2.3. Examen du journal
L'examen des journaux est une partie importante de la gestion de la sécurité des informations. Il implique l'analyse et l'examen des journaux générés par les systèmes, les terminaux, les appareils et les applications. L'objectif est de capturer et d'analyser des informations significatives dans ces journaux pour faciliter la détection et la réponse aux incidents de sécurité. .
1 L'importance de l'examen des journaux
Les journaux fournissent des informations détaillées sur le comportement du système, le comportement des utilisateurs, les événements de sécurité, les erreurs système, etc. L'examen et l'analyse des journaux peuvent aider les organisations à comprendre l'état et le comportement de leurs systèmes, ainsi que tout problème de sécurité potentiel.
2) Audit et évaluation de la gestion des logs
La génération, la collecte, le stockage et le traitement des journaux eux-mêmes doivent également être audités et évalués. Cela implique de garantir l’intégrité, la disponibilité et la confidentialité des journaux, ainsi que leur conformité. Cela peut nécessiter une référence aux exigences légales applicables, aux codes de l'industrie et aux normes internationales pour garantir que les journaux sont gérés de manière conforme.
3) Stratégie de révision des journaux
Les organisations doivent développer des politiques, des procédures et des configurations techniques d’examen des journaux pour garantir l’efficacité de l’examen des journaux. Cela peut inclure la détermination de la fréquence de révision des journaux, de la profondeur de la révision, des outils et techniques à utiliser et de la manière de gérer les résultats de la révision.
6.2.4 Transactions synthétiques
Les transactions synthétiques font référence à des processus automatisés utilisés pour tester et surveiller les performances du système qui simulent des comportements ou des actions d'utilisateur spécifiques pour vérifier les performances et la fiabilité d'une application, d'un système ou d'un réseau.
6.2.4.1 Scénarios d'utilisation courants des transactions synthétiques :
• Surveillance des accords de niveau de service (SLA) : les transactions synthétiques peuvent être utilisées pour vérifier si un service hôte ou basé sur le cloud répond aux normes de niveau de service convenues.
• Surveillance de l'intégrité des données : en simulant les règles de logique métier et en traitant les données de test, les transactions synthétiques peuvent déclencher des alertes lorsque les résultats du traitement des données ne répondent pas aux attentes.
• Surveillance du système ou des services : même en l'absence d'un SLA, les systèmes ou les services peuvent être surveillés via des transactions synthétiques pour garantir qu'ils sont en ligne et réactifs.
6.2.4.2 Surveillance des utilisateurs réels (RUM)
RUM est une technologie de surveillance qui surveille les interactions des utilisateurs avec une application ou un service en temps réel. Cette surveillance peut être utilisée pour détecter des problèmes potentiels tels que des pages lentes ou qui ne répondent pas. Cependant, RUM peut soulever des problèmes de confidentialité et nécessite une attention particulière lors de son utilisation.
6.2.5. Révision et tests du code
Le logiciel est constitué de code, donc l’examen et le test du code pour identifier et corriger les défauts sont des contrôles de sécurité essentiels.
1. Classement des tests
Tests en boîte noire : le testeur ne touche pas au code source ou au principe de fonctionnement interne de l'application, mais simule et teste du point de vue d'un attaquant ou d'un utilisateur externe.
Tests en boîte blanche : les testeurs ont accès au code source ou à la structure interne de l'application pour découvrir d'éventuelles failles et erreurs en effectuant une analyse approfondie de celle-ci.
2. Méthode de test
• Examen par les pairs du code : il s'agit d'une méthode manuelle dans laquelle les développeurs examinent mutuellement le code pour trouver d'éventuelles erreurs et améliorations.
•Analyse statique du code : il s'agit d'une méthode automatisée de révision du code qui utilise un logiciel spécialisé pour simuler l'exécution du code afin d'identifier d'éventuelles vulnérabilités, telles que des débordements de tampon, etc.
• Test d'analyse dynamique : il s'agit d'une méthode de test d'exécution qui exécute le programme et observe son comportement pour identifier d'éventuels problèmes et vulnérabilités.
3. Objectifs du test
•Couverture : l'objectif des tests doit être de couvrir autant que possible l'ensemble du code et des fonctionnalités afin de garantir qu'aucun défaut ou erreur n'est oublié.
•Automation : pour équilibrer vitesse de développement et sécurité, le processus de test doit être automatisé autant que possible. Par exemple, certaines tâches courantes de test et de correction peuvent être automatisées grâce aux outils d'automatisation et de réponse de l'orchestration de la sécurité (SOAR).
6.2.6. Tests de cas d'utilisation abusive
6.2.6.1 Cas d'abus
Également appelés tests négatifs (tests néoatifs). L'objectif est d'évaluer la réponse d'un système ou d'une application à des entrées ou à des situations inattendues et d'identifier les vulnérabilités qui peuvent être exploitées dans ces situations inattendues.
Par exemple, si l'utilisateur saisit un nom d'utilisateur mais laisse le mot de passe vide, cela peut provoquer le blocage de l'application ou autoriser un accès direct au système.
6.2.6.2 Cas d'abus
Les tests de cas d'abus font partie intégrante de la modélisation des menaces, modélisant la façon dont un système ou une fonctionnalité peut être utilisé à mauvais escient et décrivant spécifiquement comment un attaquant pourrait exploiter cette vulnérabilité.
6.2.7. Analyse de la couverture des tests
1. Couverture des tests = (nombre de composants testés/nombre total de composants) x 100 %
2. Six normes communes :
1) Couverture des branches : assurez-vous que chaque branche de l'instruction de contrôle est exécutée.
2) Couverture de condition : condition qui exige que chaque expression booléenne du code soit vérifiée comme étant vraie et fausse.
3) Couverture Western Digital (couverture des fonctions) : assurez-vous que chaque fonction Western Digital du programme est appelée.
4) Couverture des instructions : vérifie l'exécution de chaque ligne de code du programme.
5) Couverture de décision : une combinaison de couverture occidentale et de succursales a été vérifiée pour tester diverses situations d'entrée et de sortie.
6) Couverture des paramètres : testez le comportement de Western Digital qui accepte la saisie des paramètres
Remarque : La situation idéale est une couverture de 100 %, mais en raison du coût, il est impossible de réaliser tous les tests dans un certain délai pour garantir une couverture de test suffisante pour les fonctions clés du système.
6.2.8. Tests d'interfaces
Les tests d'interface sont un élément clé des tests du système. Ils se concentrent principalement sur les points où le système interagit avec des éléments externes. Ces éléments peuvent être d'autres systèmes, utilisateurs ou processus.
Les principaux types d'interfaces incluent :
•Interface utilisateur (U) : Il s'agit de la principale manière dont l'utilisateur interagit avec le système et peut être soit une interface utilisateur graphique (GU), soit une interface de ligne de commande (CLI).
•Interface de programmation d'application (API) : c'est ainsi que le système interagit avec d'autres logiciels, tels que l'API REST pour les applications Web ou l'API pour la communication inter-processus (IPC) et les appels de procédure à distance (RPC).
L'objectif des tests d'interface est de garantir que les données sont transférées et converties correctement entre les entités et que toutes les conditions d'erreur sont traitées de manière appropriée. Cela implique de vérifier que les données sont correctement formatées, de vérifier l'efficacité des mécanismes de gestion des erreurs et de garantir que des contrôles d'accès corrects sont appliqués pendant la transmission. Cela peut garantir l'intégrité des données, la stabilité et la sécurité du système, et éviter la perte ou les dommages de données dus à des erreurs d'interface.
6.2.9． Simulation d'attaque de vulnérabilité
6.2.9.1 Simulation d'attaque de violation (BAS)
La simulation d'attaque de vulnérabilité est une technologie émergente de tests de sécurité automatisés dont l'objectif principal est de simuler le comportement réel d'un attaquant dans le but d'obtenir un accès non autorisé au système. Il combine les éléments de l'analyse des vulnérabilités et des tests d'intrusion automatisés, en utilisant les dernières méthodes d'attaque et les vulnérabilités récemment découvertes pour tester les capacités de défense d'une organisation contre les nouvelles menaces. Avec une solution BAS, ces tests peuvent être effectués plus fréquemment pour découvrir d'éventuelles vulnérabilités de sécurité plus rapidement que les analyses de vulnérabilités périodiques ou les tests d'intrusion traditionnels.
6.2.9.2 Catégories d'attaque BAS
•Attaques de points de terminaison
BAS effectue des actions sur ou contre les points de terminaison du réseau, telles que la création de fichiers ou de processus correspondant aux signatures de logiciels malveillants connus, pour tester les capacités de détection et de réponse des points de terminaison (EDR). Cela peut être effectué via un périphérique BAS ou une unité de contrôle, ou via un agent logiciel exécuté sur le point final.
• Attaques de réseau
BAS envoie le trafic réseau qui devrait être bloqué, déclenchant des alertes si le trafic malveillant connu n'est pas bloqué par des appareils tels que des pare-feu ou des routeurs.
• Attaques par courrier électronique
BAS génère et envoie des e-mails de test pour tester l'efficacité des filtres anti-spam, des contrôles de fraude par e-mail et des filtres de contenu. Si le message arrive avec succès dans la boîte de réception ou est ouvert par l'utilisateur, cela indique une vulnérabilité dans les contrôles de sécurité de la messagerie.
• Attaques basées sur le comportement
Les fonctionnalités avancées du BAS peuvent également tester des contrôles de sécurité basés sur le comportement, tels que la détection d'activités d'analyse réseau malveillantes ou d'interactions complexes avec des applications qui devraient normalement être bloquées par un pare-feu d'applications Web (WAF).
6.2.10. Contrôles de conformité
La conformité n'est pas synonyme de sécurité, mais elle constitue un point de départ important pour le programme de gestion des risques d'une organisation. Un cadre de conformité couvre généralement un ensemble de risques spécifiques à un secteur ou à une région, et les contrôles de sécurité mis en œuvre sont conçus pour atténuer ces risques.
Les examens de conformité font partie du processus réglementaire et l'objectif est d'identifier les contrôles devenus insuffisants ou inefficaces en raison de changements dans l'environnement de risque, ou qui ne fonctionnent plus correctement. Typiquement, cet examen s'effectue au travers d'un audit, par exemple :
• PCI-DSS (Payment Card Industry Data Security Standard) : il s'agit d'une norme de sécurité destinée aux organisations qui traitent, stockent ou transmettent des informations de carte de crédit. La norme PCI-DSS exige que les organisations effectuent un audit de conformité annuel.
SOC2 (Service Organization Control 2) : Il s'agit d'une norme qui évalue les contrôles d'une organisation de services en matière de sécurité, de disponibilité, d'intégrité du traitement, de confidentialité et de confidentialité. SOC 2 exige que les organisations effectuent un audit de conformité annuel.
- S027001 Il s'agit d'une norme internationale sur la gestion de la sécurité de l'information. 1S027001 exige que les organisations effectuent un audit de conformité tous les trois ans.
6.3. Collecte de données sur le programme de sécurité (par exemple techniques et administratives)
6.3.1. Contrôles et procédures techniques
1 source de données
Le contrôle technique ou logique est réalisé grâce à des systèmes électroniques, aboutissant souvent à des enregistrements natifs. Ces données techniques peuvent inclure des informations faisant partie des politiques de journalisation et de surveillance de l'organisation, ainsi que des données générées à partir de l'analyse de ces données de journal. Par exemple, les journaux d'accès à l'application et les journaux des périphériques réseau (tels que les routeurs ou les pare-feu).
2. Étape de collecte
En mettant en œuvre et en surveillant les contrôles et processus suivants, les organisations peuvent collecter des mesures et des données utiles sur leur posture de sécurité afin de pouvoir prendre les mesures nécessaires pour protéger leurs données et leurs systèmes :
1) Processus de prévention des pertes : le but de ces processus est de prévenir les menaces à la sécurité. Ils peuvent inclure des contrôles techniques tels que le cryptage des données, le contrôle d'accès au réseau et le contrôle des points finaux.
2) Processus de détection : Le but de ces processus est de détecter des incidents de sécurité ou des comportements anormaux. Ils peuvent inclure des contrôles techniques tels que la détection et la réponse des points finaux (EDR) et la gestion des informations et des événements de sécurité (SIEM).
3) Processus de réponse : le but de ces processus est de résoudre les problèmes de sécurité. Ils peuvent inclure des contrôles technologiques tels que la détection et la réponse des points finaux (EDR) et les systèmes de prévention des intrusions (IPS).
6.3.2. Contrôles administratifs
Les contrôles administratifs guident le comportement approprié des employés et des autres utilisateurs en établissant et en appliquant des politiques et des procédures. Ces contrôles peuvent impliquer divers codes de conduite, processus de travail et lignes directrices. Mesurer l’efficacité des contrôles administratifs nécessite souvent la collecte et l’analyse de données liées à la mise en œuvre des politiques.
Prenons, par exemple, une politique organisationnelle qui interdit l'utilisation des médias sociaux sur les appareils de l'organisation. Les données peuvent être collectées à partir de :
• Portée de la politique : combien d'utilisateurs ont lu et compris la politique et confirmé leur compréhension et leur conformité en la signant ?
•Efficacité pédagogique : combien d'utilisateurs ont tenté d'accéder à un contenu restreint ? Cela peut refléter la mesure dans laquelle les employés comprennent la politique ainsi que la diffusion et l'efficacité pédagogique de la politique.
. Disponibilité technique : en fonction du trafic réseau, combien d'utilisateurs peuvent accéder au contenu restreint ? Cela peut refléter l’efficacité des contrôles techniques dans l’application de la politique.
6.3.3. Gestion des comptes
La gestion des comptes est une composante essentielle de la sécurité du système d’information car elle affecte directement la mise en œuvre des contrôles d’accès. Les données de gestion de compte constituent un élément important lors de la collecte de données sur les processus de sécurité.
Voici quelques données clés que vous devrez peut-être collecter lors du processus de gestion de compte :
•Gestion des comptes en temps opportun : par exemple, lorsque le rôle d'un utilisateur change ou quitte l'entreprise, ses droits d'accès peuvent être ajustés ou révoqués dans un délai spécifié.
• Notifications de provisionnement ou de déprovisionnement de compte : par exemple, si les utilisateurs peuvent être avertis dans les 24 heures lorsqu'ils rejoignent ou quittent une organisation.
• Examens des comptes : des examens de comptes appropriés sont-ils effectués selon le calendrier défini par l'organisation pour garantir que tous les comptes sont toujours requis et aux niveaux d'autorisation corrects.
• Exécution correcte des procédures : par exemple, si une vérification appropriée est effectuée lors de la réinitialisation ou de l'envoi du mot de passe, ou si les contrôles d'accès au réseau sont correctement configurés.
6.3.4. Revue et approbation de la direction
L'examen et l'approbation de la direction sont un processus de sécurité critique qui implique l'évaluation, le rapport et l'approbation d'une variété de documents liés à la sécurité. Cette documentation est non seulement essentielle pour les audits et les rapprochements, mais démontre également l'approbation et l'implication de la direction dans le programme de sécurité. De plus, ces enregistrements peuvent établir une diligence raisonnable et une attention particulière pour tout problème lié au sable et aux processus de sécurité.
Le cadre suivant définit formellement le processus d’examen et d’approbation de la direction lié à la sécurité :
•ISO 27001
La direction doit régulièrement examiner « l'adéquation, la pertinence et l'efficacité continues du programme de sécurité de l'information »
•NIST et FedRAMP
Ces cadres définissent les rôles de gestion pour l'évaluation et l'autorisation ainsi que pour la surveillance continue. La direction doit examiner les plans et les résultats de l'évaluation du système d'information, puis prendre une décision formelle autorisant l'utilisation du système. La direction utilise également des données de surveillance continue pour garantir l’efficacité des mesures correctives contre les risques.
• Certification et accréditation
Cela implique des processus similaires d’évaluation et d’autorisation. La certification est une évaluation formelle d'un système ou d'un processus par rapport à un ensemble de normes, tandis que l'accréditation est une décision formelle concernant l'aptitude d'un système à remplir une fonction spécifiée. Cette approche aide les organisations à développer des processus de gouvernance pour évaluer et approuver formellement les systèmes en fonction de leurs capacités et besoins en matière de sécurité.
• SOC 2
Ce cadre exige que la direction établisse des « mesures de performance » et génère et utilise « des informations pertinentes et de haute qualité pour soutenir le fonctionnement des contrôles internes ».
• Objectifs de contrôle des technologies de l'information (COBIT)
Il s'agit d'un cadre de gestion pour les technologies de l'information et la cybersécurité qui met l'accent sur la responsabilité de la direction dans la planification des ressources, des capacités et des tâches de surveillance, ainsi que sur la tâche de révision des plans de contrôle organisationnels.
6.3.5.Indicateurs clés de performance et de risques
Les indicateurs clés de performance (KPI) et les indicateurs clés de risque (KRI) sont des outils importants pour mesurer et suivre l'efficacité de la gestion des risques d'une organisation. Les KPI sont utilisés pour surveiller l’efficacité des mesures d’atténuation des risques existantes, tandis que les KRI peuvent aider les organisations à prévoir et à se préparer aux risques qui pourraient survenir à l’avenir. Diverses organisations définiront leurs propres KPI et KRl en fonction de leurs propres situations spécifiques.
1. Indicateurs clés de performance (KPI)
Voici quelques KPI courants et importants :
•Mean Time to Detection (MTTD) : mesure le temps moyen nécessaire pour détecter un incident ou une menace de sécurité.
•Mean Time to Recovery (MTTR) : mesure le temps moyen requis pour résoudre un incident de sécurité.
• Score de sécurité : de nombreux fournisseurs proposent une carte de score ou une note de sécurité, qui peut être utilisée comme un indicateur important de la maturité des performances de sécurité d'une organisation.
• Retour sur investissement (ROI) : mesure l'efficacité des contrôles dans la réduction des risques par rapport aux coûts.
2. Indicateurs de risque clés (KRI) : voici quelques KRI précieux :
• Nombre d'incidents de sécurité. Une augmentation des incidents de sécurité peut indiquer que l'environnement des menaces a changé, ce qui peut nécessiter des outils de sécurité plus puissants ou du personnel supplémentaire pour y faire face.
-Nombre de problèmes découverts : une augmentation des résultats d'audit et d'évaluation peut indiquer des lacunes dans le programme de sécurité, qui peuvent nécessiter une attention ou des ressources supplémentaires pour être corrigées.
• Nombre de tentatives de phishing découvertes ou signalées : une augmentation des tentatives de phishing indique souvent une attaque en cours, les attaquants tentant d'obtenir des informations d'identification valides pour accéder aux ressources d'une organisation. À cet égard, les organisations devront peut-être ajouter des systèmes de surveillance, adopter une authentification multifacteur, renforcer la formation des utilisateurs et d'autres mesures.
6.3.6. Sauvegarder les données de vérification
Les données de vérification des sauvegardes peuvent provenir de journaux écrits d'occurrences de sauvegarde enregistrés manuellement par le personnel informatique, mais proviennent plus généralement de journaux produits par l'application ou le système de sauvegarde. Toutes les informations critiques doivent être sauvegardées au cas où un incident rendrait les données inutilisables ou endommagerait le système. Les événements conduisant à la perte de données doivent être bien documentés, ainsi que le processus complet de récupération des données sauvegardées. La stratégie de sauvegarde sera présentée en détail au chapitre 7.
6.3.7. Formation et sensibilisation
L'établissement et le maintien d'un programme de sensibilisation, d'éducation et de formation en matière de sécurité sont essentiels, car les utilisateurs constituent à la fois une ligne de défense importante contre les attaques et des cibles de grande valeur pour les attaques.
Voici les indicateurs clés permettant d’évaluer l’efficacité de ces programmes :
•Taux d'achèvement de la formation : les employés qui ne terminent pas leur formation peuvent avoir tendance à négliger les menaces potentielles.
• Conservation des informations et changement de comportement : une formation réussie nécessite que les employés mémorisent et appliquent les connaissances acquises sur le long terme.
•Mises à jour continues : le contenu de la formation doit être mis à jour à mesure que les menaces et les risques évoluent.
• S'adapter au public : le matériel et les méthodes de formation doivent être adaptés au niveau de compétence et aux besoins d'apprentissage des employés.
6.3.8. Reprise après sinistre (DR) et continuité des activités (BC)
Les données DR et BC doivent inclure des détails tels que les objectifs de point de récupération critique, les objectifs de temps de récupération et le temps d'arrêt maximum autorisé. Le plus important est d’évaluer dans quelle mesure l’organisation atteint ces objectifs lors d’événements réels.
Lors de l’évaluation et du suivi de l’efficacité des plans de reprise après sinistre (DR) et de continuité des activités (BC), les questions fondamentales suivantes doivent être prises en compte :
•Adaptabilité et rapidité du plan : existe-t-il un plan complet de BCDR et de continuité des opérations ? Sont-ils mis à jour régulièrement pour refléter les changements organisationnels ?
• Sensibilisation et préparation du personnel : le personnel clé comprend-il ses rôles et responsabilités dans le plan ?
• Accessibilité du plan : la dernière version du plan est-elle facilement disponible et stockée en toute sécurité ?
•Exhaustivité du plan : le plan couvre-t-il les fonctions critiques actuelles de l'organisation ?
Mises à jour ponctuelles du plan : y a-t-il des changements organisationnels majeurs qui ne sont pas reflétés dans le plan, tels que des changements majeurs dans la structure informatique ou dans les activités commerciales ?
Tests et améliorations planifiés : le plan est-il testé régulièrement et les défauts détectés sont-ils corrigés ?
• Gestion des dépendances tierces : Si l'organisation s'appuie sur des tiers ou des services critiques, ces dépendances sont-elles testées ?
•Intégration avec d'autres processus : d'autres processus, tels que la gestion du transfert, sont-ils intégrés au plan BCDR pour garantir que les changements apportés à l'organisation sont correctement réévalués ?
6.4 Analyser les résultats des tests et générer des rapports
6.4.1. Contenu typique du rapport d'audit
Les rapports d'audit comprennent généralement les sections suivantes :
•Résumé exécutif : fournit un aperçu des activités et des résultats des tests.
-Hypothèses et limites : Révéler les contraintes et les présupposés dans le processus d'évaluation, fournissant un contexte pour comprendre les résultats.
•Portée : clarifier la portée couverte par l'évaluation.
•Résumé de l'activité : fournit un aperçu de toutes les activités de test et d'audit effectuées par l'équipe d'évaluation.
• Résultats et problèmes : répertoriez tous les résultats, défauts ou problèmes et indiquez leur emplacement, leur gravité et les preuves associées.
• Suggestions : fournissez des solutions et des suggestions pour les problèmes découverts, comprenant généralement des étapes de solution et des commandes de configuration spécifiques qui peuvent être requises.
•Annexes : la bande passante de l'annexe contient des informations détaillées en dehors du corps principal du rapport, ce qui rend le rapport plus facile à lire et à comprendre tout en fournissant aux techniciens les informations détaillées dont ils ont besoin.
6.4.2. Remèdes
1. Processus de mesures correctives :
1) Identifiez les problèmes : découvrez les lacunes ou les problèmes dans le contrôle de sécurité.
2) Créer un plan : créez un plan de remédiation pour résoudre le problème.
3) Effectuer une correction : suivez le plan pour résoudre le problème.
4) Retester : Retester pour confirmer l’efficacité du remède.
2. Éléments d'un plan de remédiation :
•Détails du problème : décrivez le problème trouvé en détail.
• Mesures d'atténuation : étapes ou mesures correctives planifiées.
• Priorité : hiérarchisez les problèmes en fonction de leur gravité et de leur risque.
• Délai de résolution : temps total estimé nécessaire pour résoudre le problème.
•Ressources requises : ressources requises pour effectuer des actions correctives.
••Jalons et attentes : définissez les dates d'achèvement clés et les résultats souhaités.
3. L’importance de refaire des tests :
Les nouveaux tests sont une étape cruciale pour confirmer que les mesures correctives sont efficaces, ce qui est généralement vérifié par des analyses de vulnérabilité régulières.
6.4.3. Gestion des exceptions
1. Définition :
Désigne le traitement des problèmes découverts lors d'un audit ou d'une évaluation de sécurité qui ne peuvent pas être résolus par des mesures correctives conventionnelles.
2.Objectif :
Accordez temporairement des exceptions pour résoudre les problèmes qui ne peuvent pas être résolus directement. Ces exceptions ne devraient être accordées que sur une base temporaire et il ne devrait y avoir aucune demande d'exception permanente. Si nécessaire à long terme, les politiques pertinentes devraient être mises à jour pour s’adapter aux nouveaux besoins.
3. Informations enregistrées :
• Détails du risque : inclure des détails spécifiques sur le risque, la lacune ou le problème, ainsi que le moment et la personne qui l'a découvert.
• Raisons des anomalies : la direction doit expliquer pourquoi un risque particulier ne peut pas être atténué.
. Contrôles compensatoires : si un risque ne peut pas être traité directement pour atteindre la valeur de risque de l'organisation, envisagez d'atténuer partiellement le risque grâce à des contrôles compensatoires (tels qu'une surveillance accrue).
. Approbation des exceptions : la direction doit clairement décider de prendre des risques supplémentaires et documenter le processus d'examen et d'approbation pour clarifier les responsabilités.
•Durée de l'exception : la plupart des exceptions devraient être accordées sur une base temporaire, avec une période de validité claire pour l'autorité chargée des exceptions.
6.4.4. Divulgation éthique
1. Meilleures pratiques en matière de divulgation éthique
Les organisations doivent être prêtes à recevoir des divulgations éthiques sur les vulnérabilités. Cela implique d’élaborer une politique de divulgation, de recevoir des divulgations de vulnérabilités et de ne pas adopter une attitude hostile. En tant que chercheur en sécurité ou hacker éthique, vous devez respecter ces politiques et agir dans les limites de la loi.
2. Type de vulnérabilité divulguée :
• Non-divulgation : la divulgation d'une vulnérabilité peut être interdite en raison d'obligations contractuelles ou légales. Par exemple, la divulgation de la vulnérabilité peut nuire à une enquête criminelle en cours.
• Divulgation complète : lorsqu'une vulnérabilité est découverte, elle doit être signalée de manière complète et transparente le plus rapidement possible à l'organisation responsable de la correction. Cependant, de nombreux fournisseurs peuvent se montrer hostiles aux chercheurs qui tentent de signaler des vulnérabilités.
• Divulgation responsable : ce principe stipule que les découvreurs doivent signaler rapidement les vulnérabilités à l'organisation et donner à l'organisation le temps de corriger la vulnérabilité avant la divulgation publique.
• Déclaration obligatoire : dans certains cas, la déclaration des vulnérabilités découvertes aux forces de l'ordre ou à d'autres agences peut être obligatoire.
• Lancement d'alerte : dans le cas où une vulnérabilité de sécurité est découverte, si le lanceur d'alerte suit les canaux appropriés pour divulguer la vulnérabilité découverte, il peut être légalement protégé contre des poursuites pour violation du droit d'auteur ou d'autres lois pertinentes.
6.5. Mener ou promouvoir des audits de sécurité
6.5.1. Cadres d'audit communs
Les professionnels de la sécurité peuvent utiliser des audits pour évaluer la conformité d'une organisation à diverses normes de sécurité. Le plan d’audit doit bénéficier du soutien de la direction, de ressources appropriées, d’une surveillance efficace et de calendriers réalistes. Voici quelques cadres d’audit courants :
1)SSAE 18 (SOC 2) : se concentre sur les contrôles d'une organisation de services en matière de sécurité, de disponibilité, d'intégrité du traitement, de confidentialité et de confidentialité.
2) ISO/EC 15408-1:2009 : Fournit un cadre général pour évaluer les fonctions de sécurité des produits et systèmes informatiques.
3) 1SO/EC 18045:2008 : Fournit des méthodes pour effectuer les évaluations ISO/EC 15408.
4) 1SO/EC 27006:2015 : Spécifie les exigences pour effectuer la certification ISO/EC 27001 du système de gestion de la sécurité de l'information (ISMS).
5) NIST SP 800-53A : fournit une méthode d'évaluation des contrôles de sécurité pour les systèmes d'information fédéraux.
6) NIST CSF : fournit un cadre de gestion des risques pour améliorer la sécurité des réseaux et des systèmes d'information d'une organisation.
7 FedRAMP SAF : Cadre d'évaluation de la sécurité du programme fédéral de gestion des risques et des autorisations pour les produits et services cloud du gouvernement fédéral.
Lors d’un audit, un échantillonnage est souvent effectué pour réduire la charge de travail tout en garantissant une compréhension des éventuelles déficiences. L'échantillon doit être représentatif de l'ensemble audité.
6.5.2. Audit interne
Les audits internes sont des audits effectués par des personnes au sein d'une organisation. Il présente les caractéristiques suivantes :
• Familiarité : les auditeurs internes ont une connaissance approfondie des processus, des outils et des personnes de l'organisation, ce qui leur permet de mieux comprendre et évaluer les contrôles internes et l'efficacité opérationnelle de l'organisation.
•Risque de partialité : les auditeurs internes peuvent négliger ou mal interpréter certains aspects des opérations de l'organisation en raison de leur trop grande familiarité avec les opérations de l'organisation. Par conséquent, ils doivent essayer de rester objectifs ou de solliciter l’avis d’observateurs extérieurs.
. Problèmes d'indépendance : les auditeurs internes faisant partie de l'organisation, ils peuvent être soumis à des pressions qui affectent leur jugement indépendant et leurs rapports impartiaux.
• Préparation aux audits externes : les audits internes sont souvent utilisés pour pré-découvrir et résoudre les problèmes qui peuvent être découverts lors des audits externes afin d'obtenir de meilleurs résultats lors de l'audit externe formel.
6.5.3. Audit externe
Un audit externe est un audit réalisé par un auditeur extérieur à l'organisation. Ses principales caractéristiques comprennent :
. Indépendance : les auditeurs externes ne sont pas influencés par les pressions au sein de l'organisation et peuvent donc mener l'audit de manière objective et impartiale. Ils peuvent visualiser les opérations et les contrôles d'une organisation sans parti pris et fournir une opinion impartiale.
•Compétences spécialisées : les auditeurs externes possèdent généralement des compétences et une expérience hautement spécialisées, telles que les experts-comptables agréés (CPA). Ils peuvent effectuer des tâches d'audit complexes telles que les audits SOC 2.
• Coût et temps : les audits externes coûtent généralement plus cher que les audits internes, en partie à cause du temps requis pour comprendre les opérations et les processus de l'organisation. De plus, ils peuvent manquer certains détails en raison d’une méconnaissance de l’organisation.
•Exigences de conformité : de nombreux cadres et réglementations de conformité exigent que les organisations effectuent régulièrement des audits externes pour démontrer l'efficacité de leurs contrôles internes.
6.5.4. Audit tiers
L’audit tiers est un processus d’évaluation des risques pour les fournisseurs ou partenaires externes d’une organisation, qui comprend principalement les éléments suivants :
•Outils de gestion des risques : L'audit tiers est un outil clé pour gérer les risques dans les relations avec les tiers tels que les fournisseurs, les partenaires, etc. Il permet d'identifier et d'atténuer les risques pouvant avoir un impact sur l'organisation.
• Protection des données sensibles : Il est extrêmement important de mener des audits de sécurité des tiers qui ont accès aux données sensibles de l'organisation. Cela peut aider les organisations à réduire leur responsabilité juridique résultant d'incidents de sécurité causés par des tiers.
• Audits tiers courants : les audits tiers courants incluent les audits SOC2 et les audits CSA STAR. Au cours du processus d'audit, une attention particulière doit être portée aux normes d'audit, au partage de données, à la découverte des risques, aux méthodes de réponse aux risques des tiers et à leurs plans de réparation.
•Complexité de la chaîne d'approvisionnement : en raison de la complexité des chaînes d'approvisionnement modernes, le processus d'évaluation des risques liés aux tiers est devenu de plus en plus complexe. Les organisations doivent identifier tous les fournisseurs de leur chaîne d’approvisionnement et s’assurer qu’ils sont correctement audités et évalués afin de minimiser les risques auxquels ils sont confrontés.
Questions de révision
1. Lors d'une analyse des ports, Susan a trouvé un système exécutant des services sur les ports TCP et UDP 137-189 et TCP 445 et 1433. Si elle était connectée à cette machine, quel type de système trouverait-elle probablement ? A. Un serveur de messagerie Linux B. Un serveur Windows SQL C. Un serveur de fichiers Linux D. Poste de travail Windows un-en-un
B
139\445
2. Laquelle des méthodes suivantes est une méthode permettant de concevoir automatiquement des tests pour de nouveaux logiciels et de garantir la qualité des tests ? A. Audit des codes B. Analyse du code statique C. Tests de régression D. Tests de mutation
D
3. Lors d'une analyse de port, Naomi a découvert que le port TCP 443 était ouvert sur un système. Quel outil est le meilleur pour analyser les services susceptibles de s'exécuter sur ce port ? A.ZZUf B. Nikto C. Métasploit D.sqlmap
B
Pénétration WEB : FireBug, Autoproxy, nmap, sqlmap, metasploit, Wireshark Les tests Fuzz fournissent au logiciel une entrée invalide (entrée générée aléatoirement ou spécialement construite) zzuf analyse des vulnérabilités de la base de données sqlmap Analyse des vulnérabilités Web : Nikto Analyse des ports réseau : nmap
4. Quelle norme de journalisation des messages est couramment utilisée par les équipements réseau, les systèmes Linux et Unix et de nombreux autres appareils d'entreprise ? A. Syslog B. Netlog C. Journal des événements D. Protocole de journalisation à distance (RLP)
UN
5 Alex souhaite utiliser des outils automatisés pour remplir les formulaires d'application Web afin de tester les vulnérabilités des chaînes de format. Quel type d’outils doit-il utiliser ? A. Boîte noire B. Outils de fissuration par force brute C. Fuzzeur D. Outils d'analyse statique
C
P579 Test Fuzz : testez les limites du logiciel, ajoutez des chaînes à la fin et effectuez d'autres méthodes de manipulation de données.
6. Susan doit effectuer une analyse de vulnérabilité sur un système et souhaite utiliser un outil open source pour tester le système à distance. Lequel des outils suivants répond à ses besoins et permet une analyse des vulnérabilités ? A. Nmap B.OpenVAS C.MBSA D Nessos
B
OpenVAS, qui signifie OpenVulnerability AssessmentScanner, est un outil open source hautement fiable. Ses fonctionnalités riches et son interface facile à utiliser permettent aux utilisateurs de détecter et de corriger facilement les vulnérabilités de sécurité connues. Microsoft Baseline Security Analyzer (MBSA) peut vérifier les mises à jour du système d'exploitation et de SQL Server. MBSA peut également analyser les ordinateurs à la recherche de configurations non sécurisées. Nessus est le logiciel d'analyse et d'analyse des vulnérabilités des systèmes le plus utilisé au monde. En 2002, Renaud, Ron Gula et Jack Huffard ont fondé une organisation appelée Tenable Network Security. Lorsque la troisième version de Nessus a été publiée, l'organisation a repris les droits d'auteur et le code source du programme de Nessus (à l'origine open source) et l'a enregistré en tant que site Web de l'organisation. Cette institution est située à Columbia, dans le Maryland, aux États-Unis.
7. Morgan met en œuvre un système de notation et d'évaluation des vulnérabilités qui utilise des composants basés sur des normes pour noter et évaluer les vulnérabilités découvertes. Système de gestion. Lequel des éléments suivants est le plus couramment utilisé pour fournir un score de gravité pour une vulnérabilité ? A. CCE B.CVSS С. D.OVAL
B
• Common Vulnerabilities and Exposures (CVE) : fournit un système de dénomination pour décrire les vulnérabilités de sécurité. •Common Vulnerability Scoring System (CVSS) : fournit un système de notation standardisé qui décrit la gravité des vulnérabilités de sécurité. •Common Configuration Enumeration (CCE) : fournit un système de dénomination pour les problèmes de configuration du système. •Common Platform Enumeration (CPE) : fournit un système de dénomination pour les systèmes d'exploitation, les applications et les appareils. • Format de description de liste de contrôle de configuration extensible (XCCDF) : fournit un langage pour décrire les listes de contrôle de sécurité. •Open Vulnerability and Assessment Language (OVAL) : fournit un langage pour décrire le processus de test de sécurité.
Description de la vulnérabilité • Protocole d'automatisation du contenu de sécurité (SCAP) : SCAP est une norme commune de description et d'évaluation des vulnérabilités fournie par le NIST à la communauté de la sécurité, favorisant l'automatisation des interactions entre différents systèmes de sécurité. Les composants SCAP incluent : • Common Vulnerabilities and Exposures (CVE) : fournit un système de dénomination pour décrire les vulnérabilités de sécurité. •Common Vulnerability Scoring System (CVSS) : fournit un système de notation standardisé qui décrit la gravité des vulnérabilités de sécurité. •Common Configuration Enumeration (CCE) : fournit un système de dénomination pour les problèmes de configuration du système. •Common Platform Enumeration (CPE) : fournit un système de dénomination pour les systèmes d'exploitation, les applications et les appareils. • Format de description de liste de contrôle de configuration extensible (XCCDF) : fournit un langage pour décrire les listes de contrôle de sécurité. •Open Vulnerability and Assessment Language (OVAL) : fournit un langage pour décrire le processus de test de sécurité.
8.Jim a été chargé d’effectuer des tests d’intrusion dans la succursale principale d’une banque. Pour rendre le test aussi réaliste que possible, aucune information sur la banque mère ne lui a été fournie autre que son nom et son adresse. Quel type de tests d’intrusion Jim accepte-t-il d’effectuer ? A. Tests de pénétration de Crystal Box B. Tests d'intrusion en boîte grise C. Tests d'intrusion en boîte noire D. Tests d'intrusion en boîte blanche
C
9. En réponse à une demande de proposition, Susen a reçu un rapport SSAE 18 SOC. Si elle souhaite que le rapport inclue des détails sur l’efficacité de l’opération, sur quelle base et pourquoi devrait-elle poser des questions de suivi à Susan ? A. Un rapport SOC 2Type II car le Type I ne couvre pas l'efficacité opérationnelle B. Un rapport SOC 1 Type I car le SOC 2 ne couvre pas l'efficacité opérationnelle C. Un rapport SOC2 Type I car SOC2 Type II ne couvre pas l'efficacité opérationnelle D. Un rapport sOC3 car les rapports SOC1 et SOC2 sont obsolètes
UN
P563 Les déclarations SSAE 18 et ISAE 3402 sont communément appelées audits de contrôles des organisations de services (SOC) et se présentent sous trois formes. Déclaration SOC1 : évaluer les contrôles organisationnels susceptibles d'affecter l'exactitude des rapports financiers. Déclaration SoC2 : évaluez les contrôles de l'organisation qui ont un impact sur la sécurité (confidentialité, intégrité et disponibilité) et la confidentialité des informations stockées dans le système. Les résultats de l'audit SOC2 sont confidentiels et ne sont généralement partagés que dans le cadre d'un accord de confidentialité. Déclaration SOC3 : évaluez les contrôles de l'organisation qui ont un impact sur la sécurité (confidentialité, intégrité et disponibilité) et la confidentialité des informations stockées dans le système. Cependant, les résultats de l’audit SOC3 sont destinés à être divulgués au public.
• Rapport de type I Les rapports de type I décrivent les contrôles fournis par l'organisation auditée et l'opinion de l'auditeur basée sur cette description. Les rapports de type I sont valables à un moment donné et n'impliquent pas de tests réels des contrôles par l'auditeur. • Rapports de type II Les rapports de type II couvrent une période minimale de 6 mois et incluent également l'opinion de l'auditeur sur l'efficacité de ces contrôles sur la base des résultats réels des tests. Les rapports de type II sont généralement considérés comme plus fiables que les rapports de type I, car les rapports de type II incluent des tests indépendants des contrôles. Les rapports de type I permettent simplement à l'organisation de services de démontrer que les contrôles ont été mis en œuvre comme décrit.
10. Lors d'un test de pénétration d'un réseau sans fil, Suson utilise un fichier de mot de passe pour exécuter alrcrack-ng sur le réseau. Lequel des facteurs suivants aurait pu contribuer à l’échec de sa tentative de déchiffrer le code ? A. Utilisez le cryptage WPA2 B. Exécution du mode entreprise dans WPA2 C. Utiliser le cryptage WEP Port exécutant le mode PSK dans WPA2.
C
11. Une vulnérabilité Zero Day est apparue sur un serveur Web Apache populaire au cours d'une journée de travail. En tant qu'analyste de la sécurité des informations, Jacob doit analyser rapidement son réseau pour déterminer quels serveurs sont concernés par le problème. Jacob Quel est le moyen le plus rapide d'identifier un système vulnérable à une vulnérabilité ? A Exécutez immédiatement une analyse Nessus de tous les serveurs pour déterminer quels systèmes sont vulnérables. B. Vérifiez la base de données CVE pour obtenir des informations sur les vulnérabilités et les correctifs. C. Créez une signature IDS ou IPS personnalisée. D. Déterminez la version concernée et utilisez un outil d'analyse automatisé pour vérifier le numéro de version du système.
D
12. Quel type de tests est utilisé pour garantir que les modules logiciels développés individuellement échangent correctement des données ? A.Fuzzing (test de fuzz) B. Tests dynamiques C. Test d'interface Somme de contrôle D.API
C
13. Salen souhaite fournir des informations d'évaluation de la sécurité aux clients qui souhaitent utiliser les services cloud de l'organisation locale. Lequel des suivants Les options doivent-elles être sélectionnées pour garantir que le plus grand nombre possible de clients soient satisfaits des informations d'évaluation ? A utilise l'équipe d'audit interne 4 pour effectuer des auto-évaluations basées sur des mesures internes. B. Faites appel à un auditeur tiers. C. Utiliser du personnel technique interne qui comprend le système. D. Utiliser l'équipe d'audit interne pour effectuer des auto-évaluations par rapport aux normes couramment utilisées telles que COBIT.
B
14. Yasmine a été invitée à réfléchir à un système de simulation d'intrusion et d'attaque. Quel type de système devrait-elle rechercher ? A. Un système de ticketing et de gestion des changements conçu pour aider à gérer les incidents B. Un système pour exécuter des simulations de réponse aux incidents pour les équipes bleues afin de tester leurs compétences C. Un système automatisé qui combine les technologies Red Team et Blue Team D. Un système d’opérations et de réponse de sécurité (SOAR)
C
15.Monica souhaite collecter des informations sur la sensibilisation de l'organisation à la sécurité. Techniques les plus courantes pour évaluer la sensibilisation à la sécurité Qu'est-ce que c'est? A. Simulateur de pêche B. Applications gamifiées C. Test d'évaluation D.Questionnaire
D
16. Jim a été chargé d'effectuer un test d'intrusion en boîte grise et son client lui a fourni les informations suivantes sur leur réseau afin qu'il puisse les analyser : Centre de données : 10.10.10.0/24 Soldes : 10.10.11.0/24 Facturation : 10.10.12.0/24 Réseau sans fil : 192.168.0.0/16 Quels problèmes rencontrerait-il si on lui confiait le scanning depuis l’extérieur ? A. La plage IP est trop large et ne peut pas être analysée efficacement. B. L'adresse IP fournie ne peut pas être analysée. C. Les plages IP en double entraîneront des problèmes d'analyse. D. L'adresse IP fournie est une adresse RFC 1918.
D
17. L'entreprise de Mark a été informée que son application Web était vulnérable. Anonyme l'a informé , ils ont deux semaines pour le corriger avant de publier les détails de la vulnérabilité et un exemple de code d'exploitation. connecter Quel code de l'industrie un individu de l'entreprise de Mark a-t-il violé ? A. Rapports Zero Day B. Divulgation éthique C. Piratage éthique D.(SC)2 Déclaration éthique de divulgation de vulnérabilités
B
Pour les questions 18 à 20, considérez le scénario suivant : L'entreprise de Jennifer a mis en place une infrastructure de journalisation centralisée, comme le montre la figure suivante. utiliser Utilisez ce diagramme et vos connaissances des systèmes de journalisation pour répondre aux questions suivantes. 18.Jennifer doit s'assurer que tous les systèmes Windows fournissent les mêmes informations de journal au SIEM. Comment peut-elle garantir au mieux que tous les systèmes de bureau Windows disposent des mêmes paramètres de journalisation ? A. Effectuez des audits de configuration réguliers. B. Utilisez la stratégie de groupe. C. Utilisez les politiques locales. D. Déployez le client Windows Syslog. 19. Pendant les opérations normales, l'équipe de Jennifer utilise un appareil SIEM pour surveiller les anomalies via Syslog. Quel système affiche une situation qui ne prend pas en charge les événements Syslog ? A. Point d'accès sans fil d'entreprise B. Système de bureau Windows Serveur Web C.Linux D. Équipement de pare-feu d'entreprise 20. Pour chaque appareil illustré dans le diagramme, quelles techniques l'organisation doit-elle utiliser pour garantir une journalisation chronologique sur l'ensemble de l'infrastructure ? A. Syslog B.NTP C.Logsync D. SNAP
B
B
P582 Windows doit installer un client tiers pour prendre en charge syslog et la stratégie de groupe Windows
B
21. Lors d'un test d'intrusion, hetele doit identifier le système, mais il n'a pas encore obtenu les autorisations suffisantes pour générer des paquets bruts sur le système utilisé. Quel type d'analyse doit-elle exécuter pour vérifier les services les plus ouverts ? A. Analyse des connexions TCP B. Analyse TCP SYN C. Analyse UDP Analyse D.ICMP
UN
22. En utilisant nmap pour effectuer une analyse de port, Josezoh a trouvé un système affichant deux ports ouverts. bouche, ce qui l'inquiéta immédiatement : 21/ouvert 23/ouvert Quels services peuvent être exécutés sur ces ports ? A.SSH et FTP B. FTP et Telnet C. SMTP et Telnet D. POP3 et SMTP
B
23.Aaron souhaite vérifier la conformité de son entreprise à la norme PCI-DSS. Son entreprise est une grande organisation commerciale avec des millions de dollars de transactions chaque année. Quelle est la manière la plus courante utilisée par les grandes organisations pour effectuer ce type de tests ? A. Auto-évaluation B. Mener une évaluation indépendante de COBIT C. S'associer à une autre entreprise et procéder à un échange d'évaluation entre les deux organisations D. Faire appel à un évaluateur de sécurité qualifié pour effectuer une évaluation par un tiers
D
24. Quelle est la méthode couramment utilisée pour évaluer la couverture des tests logiciels pour l'utilisation potentielle d'une application ? A. Analyse de la couverture des tests B. Examen du code source C. Analyse floue D. Rapport de révision du code
UN
25. Les tests qui se concentrent sur des fonctionnalités que le système ne devrait pas autoriser sont des exemples de quel type de tests ? A. Tests de cas d'utilisation B. Tests manuels C. Test des cas d'abus D. Tests dynamiques
C
26. Quel type de surveillance utilise le trafic simulé vers un site Web pour surveiller les performances ? A. Analyse des journaux B. Surveillance complète des performances C. Surveillance passive D. Analyse des transactions simulées
B
27.Perek souhaite s'assurer que son organisation suit toutes les modifications apportées à tous les comptes tout au long de leur cycle de vie. Dans quel type d’outils son organisation devrait-elle investir ? A. Service d'annuaire comme LDAP Système B.IAM C. Système SIEM Système D.EDR
B
Lightweight Directory Access Protocol (anglais : Lightweight Directory Access Protocol, abréviation : LDAP) est un protocole d'application ouvert, neutre et standard de l'industrie qui fournit un contrôle d'accès et conserve les informations d'annuaire des informations distribuées via le protocole IP. Plateforme de gestion unifiée de l'authentification des identités (IAM) La gestion des informations et des événements de sécurité (SIEM) est une solution de sécurité qui aide les organisations à identifier et à résoudre les menaces et vulnérabilités potentielles en matière de sécurité avant qu'elles n'aient la possibilité de perturber leurs opérations commerciales. Les systèmes SIEM aident les équipes de sécurité des entreprises à détecter les anomalies dans le comportement des utilisateurs et à utiliser l'intelligence artificielle (IA) pour automatiser de nombreux processus manuels liés à la détection des menaces et à la réponse aux incidents. La plateforme SIEM d'origine est un outil de gestion des journaux qui combine la gestion des informations de sécurité (SIM) et la gestion des événements de sécurité (SEM) pour permettre la surveillance et l'analyse en temps réel des événements liés à la sécurité, ainsi que le suivi et l'enregistrement des données de sécurité à des fins de conformité ou d'audit. fins. (Gartner a inventé le terme SIEM en 2005 pour désigner la combinaison des technologies SIM et SEM.) Les logiciels SIEM ont évolué au fil des années pour intégrer l'analyse du comportement des utilisateurs et des entités (UEBA) et d'autres capacités avancées d'analyse de sécurité, d'intelligence artificielle et d'apprentissage automatique. , utilisé pour identifier les comportements anormaux et les indicateurs de menace avancés. Aujourd’hui, le SIEM est un incontournable des centres d’opérations de sécurité (SOC) modernes pour les cas d’utilisation de surveillance de la sécurité et de gestion de la conformité. La détection et la réponse des points finaux (EDR) sont une forme de technologie qui assure une surveillance et une réponse continues aux menaces avancées de cybersécurité contre les réseaux et les systèmes d'entreprise. L'EDR est un sous-ensemble de la sécurité des points finaux qui adopte une approche globale pour protéger les réseaux et les données de l'entreprise lorsque les employés accèdent au réseau à distance via des ordinateurs portables, des smartphones et d'autres appareils mobiles. Étant donné que ces actifs se situent à l’extrémité de la chaîne qui relie les utilisateurs à la pile technologique de l’entreprise, ils sont appelés points finaux.
28.Jm utilise un outil pour analyser le système à la recherche des services disponibles, puis se connecte à ces services pour collecter des informations sur les bannières afin de déterminer la version du service. Il fournit ensuite un rapport détaillant ce qu'il a collecté, basé sur les empreintes digitales du service, les informations de bannière et des détails similaires, combinés avec des informations CVE pour les résultats. Quel type d’outil Jim utilise-t-il ? A. Scanner de ports B. Validateur de services C. Scanner de vulnérabilité D. Outils de gestion des correctifs
C
29.Emily écrit un script pour envoyer des données à une application Web qu'elle teste. Chaque fois que le script s'exécute, il envoie une série de transactions de données qui correspondent aux exigences attendues de l'application Web pour vérifier son Réponses au comportement typique des clients. Quel type de transaction utilise-t-elle et de quel type de test s’agit-il ? A. Surveillance globale et passive B. Tests complets de cas d'utilisation C. Surveillance réelle et dynamique D. Tests réels de fuzz
B
30. Quelle technologie de surveillance passive enregistre toutes les interactions des utilisateurs avec une application ou un site Web pour garantir la qualité et les performances ? A. Tests client/serveur B. Surveillance des utilisateurs réels C. Surveillance complète des utilisateurs D. Enregistrement passif des utilisateurs
B
31Plus tôt cette année, l'équipe de sécurité des informations de l'employeur de Jim a découvert une vulnérabilité dans le serveur Web dont il était responsable de la maintenance. Il a immédiatement appliqué le correctif et était sûr qu'il avait été installé correctement, mais les analyses de vulnérabilité marquaient toujours à tort le système comme vulnérable. Pour résoudre ce problème afin qu'il ne soit plus mal étiqueté ? A. Désinstallez et réinstallez le correctif. B. Demander à l'équipe de sécurité des informations de marquer le système comme corrigé et n'hébergeant plus cette vulnérabilité spécifique. C. Mettez à jour les informations de version dans la configuration du serveur Web. D. Consultez le rapport de vulnérabilité et utilisez d'autres options de correction.
B
32 Anools souhaite utiliser des outils automatisés pour tester le traitement des données externes par les navigateurs web. Elle devrait mettre Quel outil choisir ? A. Nmap B.zzuf C. Nessus D. Nikto
B
Scanner de vulnérabilité réseau : •Nessus, un scanner de vulnérabilités largement utilisé. •QualysGuard, Qualys Corporation. •NeXpose, une société Rapid7. •OpenVAS, un scanner open source.
Les outils d'analyse des vulnérabilités des applications Web couramment utilisés incluent : • Nessus •Scanner commercial Acunetix • Scanners open source Nikto et Wapiti •Scanner open source Wapiti • Outil proxy BurpSuite
Scanner de découverte de réseau : Nmap Scan de Noël
Analyse des vulnérabilités de la base de données : carte SQL
Outils de pénétration : Métasploit
souviens-toi
33. STRIDE signifie Usurpation d'identité, falsification, refus, divulgation d'informations, déni de service, élévation de privilèges. Dans quelle partie de la modélisation des menaces applicatives est-il utile ? A. Évaluation de la vulnérabilité B. Test des cas d'utilisation abusive C.Classification des menaces D. Planification des tests d'intrusion
C
1. L'usurpation d'identité est un déguisement. Par exemple, si j'utilise l'identité de quelqu'un d'autre pour parler, c'est une usurpation d'identité. J'ai pensé à changer l'adresse IP, ce qui est une usurpation d'adresse IP. 2. La falsification signifie la falsification. Par exemple, la façon dont j'utilise l'identité de quelqu'un d'autre pour parler consiste à falsifier des packages légitimes, et son serveur ne dispose pas de mesures de vérification correspondantes. 3. La répudiation signifie refuser de l’admettre. Par exemple, si j’ai commis ces attaques et qu’ils ne savaient pas que je l’avais fait, et qu’il n’y a aucune preuve que je l’ai fait, je n’ai pas à l’admettre. 4. La divulgation d'informations est une fuite d'informations. Par exemple, leur chaîne d'images numériques ne bénéficie d'aucune protection et les informations sur les images peuvent être facilement obtenues par d'autres. 5. Le déni de services est un déni de service. Par exemple, ma publication automatique le rend indisponible pour les utilisateurs normaux. 6. L'élévation de privilèges est l'élévation de privilèges. Par exemple, lorsque j'essaie de faire des choses avec des privilèges d'administrateur, cela entre dans cette catégorie.
34. Pourquoi une analyse passive devrait-elle être effectuée en plus de la mise en œuvre de technologies de sécurité sans fil telles que des systèmes de détection d'intrusion sans fil ? R. Cela peut aider à identifier les appareils malveillants. B. Il peut tester la sécurité des réseaux sans fil via des attaques de script. C. Ils restent sur chaque canal sans fil pendant une courte période et peuvent capturer davantage de paquets de données. D. Ils peuvent aider à tester les systèmes IDS ou IPS sans fil.
UN
35.Paul examine actuellement le processus d'approbation d'un test d'intrusion et souhaite s'assurer qu'il fait l'objet d'un examen approprié par la direction. Qui doit-il s'assurer qu'il a approuvé une demande de test d'intrusion d'un système commercial ? A. Comité consultatif sur le changement B. Haute direction C. L'administrateur système du système D. Propriétaire du service
B
36. Quel terme décrit les tests logiciels conçus pour révéler de nouveaux bogues introduits par des correctifs ou des modifications de configuration ? A. Tests de non-régression B. Tests d'évolution C. Test de fumée D Tests de régression
D
37.Lequel des outils suivants n'identifie pas le système d'exploitation cible pour un testeur d'intrusion ? A. Nmap B. Nessus C. Nikto D.sqlmap
D
38 Susan doit prévoir les zones à haut risque pour son organisation et souhaite utiliser des mesures pour évaluer les tendances des risques. Que doit-elle faire pour résoudre ce problème ? A Effectuer des évaluations des risques chaque année. B. Embauchez une société de tests d’intrusion pour tester régulièrement la sécurité de votre organisation. C. Identifier et suivre les principaux indicateurs de risque. D. Utilisez un appareil SIEM pour surveiller les journaux et les événements.
C
39. Quelles sont les principales différences entre la surveillance globale et passive ? A. Une surveillance complète ne fonctionne qu’après l’apparition d’un problème. B La surveillance passive ne peut pas détecter les problèmes fonctionnels. C. La surveillance passive ne fonctionne qu'après l'apparition d'un problème. D. Une surveillance complète ne peut pas détecter les problèmes fonctionnels.
C
Pour les questions 40 à 42, considérez le scénario suivant. Chris a utilisé la méthode de test d'intrusion standard présentée ici. Utilisez cette méthode et vos connaissances en tests d'intrusion pour répondre aux questions sur l'utilisation des outils lors des tests d'intrusion. 40. Quelles sont les tâches les plus importantes de la planification de la phase 1 ? A. Construire un laboratoire de test B. Obtenir l'autorisation C. Rassembler les outils appropriés D. Déterminez si le test est une boîte blanche, une boîte noire ou une boîte grise 41. Lequel des outils suivants est le plus susceptible d'être utilisé pendant la phase de découverte ? A. Nessus B.john C. Nmap D. Nikto 42. Parmi les questions suivantes, laquelle est-elle la plus importante à aborder lors de la phase de planification pour garantir qu'aucun problème ne soit causé lors de la phase de reporting ? A. Quel format CVE utiliser B. Comment stocker et envoyer des données de vulnérabilité C. Quels buts sont interdits D. Combien de temps le rapport doit-il prendre ?
B
C
B
•La phase de planification comprend un accord sur la portée et les règles du test. La phase de planification est une étape extrêmement importante pour garantir que l’équipe de tests et la direction s’accordent sur la nature des tests et qu’il est clair que les tests sont autorisés. •La phase de collecte et de découverte d'informations combine des outils manuels et automatisés pour collecter des informations sur l'environnement cible. Cette phase comprend l'exécution Reconnaissance de base pour déterminer les fonctionnalités du système (telles que l'accès aux sites Web hébergés sur le système) et effectuer des analyses de découverte du réseau pour identifier les ports ouverts du système. •L'étape d'analyse des vulnérabilités détecte les vulnérabilités du système, combinant l'analyse des vulnérabilités du réseau, l'analyse des vulnérabilités Web et l'analyse des vulnérabilités des bases de données. •L'étape d'exploitation des vulnérabilités tente d'utiliser des outils d'exploitation des vulnérabilités manuels et automatisés pour tenter de briser les défenses de sécurité du système. •La phase de reporting résume les résultats des tests d'intrusion et formule des recommandations pour améliorer la sécurité du système.
43. Quels sont les quatre types de critères de couverture couramment utilisés lors de la vérification du travail d'une suite de tests de code ? A. Couverture des entrées, relevés, succursales et conditions B. Chiffres occidentaux, relevés, succursales et couverture des conditions C. AP, couverture des succursales, des limites et des conditions D. Limites, branches, boucles et couverture des conditions
B
44. Dans le cadre de son rôle de responsable de la sécurité, Jacob fournit le tableau suivant à l'équipe de direction de l'organisation. Quel type de mesure leur fournit-il ? A. Mesure de la couverture B. Indicateurs clés de performance C. Indicateur de temps de survie D. Indicateurs d'importance commerciale
B
45. Lors de l'examen des journaux, qu'apporte l'utilisation d'un identifiant utilisateur unique pour tous les utilisateurs ? A. Confidentialité B. Intégrité C. Disponibilité D. Responsabilité comptable
D
46. Lors des tests logiciels, lequel des éléments suivants n'est pas une interface couramment testée ? A.API B.Interface réseau C.Interface utilisateur D. Interface physique
B
P580 Trois types : Interface de programmation d'application API Interface utilisateur interface physique
47. L’organisation d’Alan utilise le Security Content Automation Protocol (SCAP) pour standardiser ses procédures de gestion des vulnérabilités. Quel composant de SCAP Alan peut-il utiliser pour réconcilier les identités des vulnérabilités générées par différents outils d'évaluation de sécurité ? A.OVAL B. XCCDF C.CVE D. SCE
C
Description de la vulnérabilité • Protocole d'automatisation du contenu de sécurité (SCAP) : SCAP est une norme commune de description et d'évaluation des vulnérabilités fournie par le NIST à la communauté de la sécurité, favorisant l'automatisation des interactions entre différents systèmes de sécurité. Les composants SCAP incluent : • Common Vulnerabilities and Exposures (CVE) : fournit un système de dénomination pour décrire les vulnérabilités de sécurité. •Common Vulnerability Scoring System (CVSS) : fournit un système de notation standardisé qui décrit la gravité des vulnérabilités de sécurité. •Common Configuration Enumeration (CCE) : fournit un système de dénomination pour les problèmes de configuration du système. •Common Platform Enumeration (CPE) : fournit un système de dénomination pour les systèmes d'exploitation, les applications et les appareils. • Format de description de liste de contrôle de configuration extensible (XCCDF) : fournit un langage pour décrire les listes de contrôle de sécurité. •Open Vulnerability and Assessment Language (OVAL) : fournit un langage pour décrire le processus de test de sécurité.
48. Susan examine les données de couverture des tests logiciels et voit les informations affichées dans le tableau suivant. Que peut-elle déterminer à propos de ce processus de test ? (Sélectionnez tout ce qui s'y rapporte.) R. Les tests ne sont pas entièrement couverts. B. Le test 4 n’a pas échoué. C Le test 2 n'a pas été exécuté correctement. D. Une cinquième exécution du test est requise.
AVANT JC.
49. Laquelle des stratégies suivantes ne constitue pas une approche raisonnable pour corriger les vulnérabilités découvertes par les scanners de vulnérabilités ? A. Installez le correctif. B. Utilisez des correctifs temporaires. C. Mettre à jour la bannière ou le numéro de version. D. Utiliser la couche application
C
50. Au cours du test d'intrusion, Selah a appelé le service d'assistance de l'entreprise cible et a affirmé être l'assistante d'un associé principal de l'entreprise. Elle a demandé au service d'assistance de réinitialiser le mot de passe de l'associé principal, car celui-ci rencontrait des problèmes avec son ordinateur portable lors d'un voyage, et elle a été persuadée de le faire. Quel type d’attaque a-t-elle réussi à réaliser ? A. Attaque sans connaissance B. Aider et tromper C. Attaques d'ingénierie sociale D. Tests en boîte noire
C
51. Dans cette image, quels problèmes peuvent survenir en raison de la configuration du traitement des journaux ? A. Les journaux peuvent être perdus lors de l'archivage. B. Les données du journal peuvent être écrasées. C. Les données du journal peuvent ne pas contenir les informations requises. D. Les données du journal peuvent remplir le disque système.
D
52. Lequel des éléments suivants ne constitue pas un risque associé aux tests d'intrusion ? A. L'application plante B. Déni de service C. Panne de courant D. Corruption des données
C
53. Quelle publication spéciale du NIST couvre l'évaluation des contrôles de sécurité et de confidentialité ? R. 800-12 B.800-53A C. 800-34 D. 800-86
B
54 Michelle mène une évaluation quantitative de l'impact sur l'entreprise et souhaite collecter des données pour déterminer le coût des temps d'arrêt. De quelles informations doit-elle recueillir les pannes de l'année précédente pour calculer le coût de ces pannes pour l'entreprise ? (Sélectionnez tout ce qui s'y rapporte.) A. Temps d'arrêt total de l'activité B. Nombre d'heures de travail nécessaires pour se remettre de la panne C. Activité perdue par heure lors d'une panne (en dollars américains) D. Salaire horaire moyen des employés
A B C D
55. Si la principale préoccupation de Kara est d'empêcher les attaques d'écoute clandestine, quel port doit-elle bloquer ? R.22 B.80 C.443 D.1433
B
56. Si la principale préoccupation de Kara est d'empêcher les connexions administratives au serveur, quel port doit-elle bloquer ? R.22 B.80 C.443 D.1433
UN
57. Au cours d'une vérification par un tiers, l'entreprise de Jim a reçu une découverte. déclare : « Les administrateurs doivent examiner quotidiennement les journaux des réussites et des échecs de sauvegarde et prendre des mesures rapides pour résoudre les anomalies signalées. De quel problème potentiel ce résultat indique-t-il ? » R. L'administrateur n'a aucun moyen de savoir si la sauvegarde a réussi ou échoué. B. La sauvegarde n'a peut-être pas été enregistrée correctement. La sauvegarde C peut ne pas être disponible. D. Les journaux de sauvegarde n'ont peut-être pas été correctement examinés.
C
58.Jim aide son organisation à décider des normes d'audit à utiliser dans son organisation internationale. Lequel des énoncés suivants n'est pas Quelles normes informatiques l'organisation de Jim pourrait-elle utiliser lors de l'examen ? A.COBIT B.SSAE-18 C.ITIL D.ISO 27001
C
59 Nicole souhaite réaliser un audit de son organisation fondé sur des normes. Lequel des énoncés suivants est couramment utilisé pour décrire les exigences courantes des systèmes d’information ? A.CEI B.COBIT C.FISA D.DMCA
B
60.L’équipe de Kely effectue des tests de régression avec chaque correctif publié. Quel indicateur de performance clé doivent-ils maintenir pour mesurer l’efficacité de leurs tests ? A. Temps de correction de la vulnérabilité B. Indicateur du taux de réapparition des défauts C. Tendances pondérées des risques D. Mesure de la couverture spécifique des tests
B
61. Lequel des types suivants de révisions de code n'est généralement pas effectué par des humains ? A. Vérification du logiciel B. Programmation en binôme C. analyse de programme statique D. Présentation du logiciel
C
Pour les questions 62 à 64, considérez le scénario suivant : Susan est à la tête de l'équipe d'assurance qualité de son entreprise. L'équipe a été chargée d'effectuer des tests pour une version majeure du produit logiciel principal de l'entreprise. 62.L'équipe de test de logiciels de Susan doit tester chaque chemin de code, y compris les chemins utilisés uniquement lorsque des conditions d'erreur se produisent. De quel type d'environnement de test son équipe a-t-elle besoin pour garantir une couverture complète du code ? A. Tests en boîte blanche B. Tests en boîte grise C. Tests en boîte noire D. Tests dynamiques 63. Dans le cadre des tests continus de leur nouvelle application, l'équipe d'assurance qualité de Susan a conçu un ensemble de cas de test pour une série de tests en boîte noire. Ces tests fonctionnels sont ensuite exécutés et un rapport est préparé expliquant ce qui s'est passé. Quels types de rapports sont généralement générés au cours de ce processus de test pour indiquer les mesures de test ? A. Rapport de couverture des tests B. Rapport de test d'intrusion C. Rapport de couverture du code D. rapport de couverture de lignes 64. Dans le cadre de ses tests de couverture de code, l'équipe de Susan utilise des outils de journalisation et de traçage pour l'analyse dans un environnement hors production. Parmi les types de problèmes de codage suivants, lesquels sont susceptibles d'être négligés en raison des changements dans l'environnement d'exploitation ? A. Vérification des limites incorrectes B. Validation des entrées Condition de course C Opérations du pointeur D
UN
UN
C
65.Robin a récemment effectué une analyse de vulnérabilité et découvert une vulnérabilité critique sur un serveur qui gère des informations sensibles. Que devrait faire Bobin ensuite ? Un patch B. Rapport C.Correction D.Vérification
D
P574 Détecter --- Vérifier --- Réparer
66. Les tests de code automatisés et les intégrations qu'Andrea exécute dans le processus CI/CD de son organisation échouent. Que doit faire Andrea si l’entreprise doit publier du code immédiatement ? A. Contournez manuellement le test. B. Consultez le journal des erreurs pour déterminer le problème. C. Réexécutez le test pour voir s'il fonctionne correctement. D. Renvoyez le code au développeur pour correction.
B
67. Michelle souhaite comparer les vulnérabilités qu'elle trouve dans son centre de données sur la base de mesures telles que l'exploitabilité des vulnérabilités, la présence de code d'exploitation et la difficulté de correction. Quel système de notation doit-elle utiliser pour comparer ces indicateurs de vulnérabilité ? A.CSV B. MVN C.VSS D.CVSS
D
Les composants SCAP incluent : • Common Vulnerabilities and Exposures (CVE) : fournit un système de dénomination pour décrire les vulnérabilités de sécurité. •Common Vulnerability Scoring System (CVSS) : fournit un système de notation standardisé qui décrit la gravité des vulnérabilités de sécurité. •Common Configuration Enumeration (CCE) : fournit un système de dénomination pour les problèmes de configuration du système. •Common Platform Enumeration (CPE) : fournit un système de dénomination pour les systèmes d'exploitation, les applications et les appareils. • Format de description de liste de contrôle de configuration extensible (XCCDF) : fournit un langage pour décrire les listes de contrôle de sécurité. •Open Vulnerability and Assessment Language (OVAL) : fournit un langage pour décrire le processus de test de sécurité.
68. En effectuant une analyse des ports sur son réseau, Alex a découvert que les ports TCP 80, 443, 515 et 9100 répondaient sur plusieurs hôtes dans divers bureaux de l'entreprise. Quel type d’appareil Alex a-t-il pu découvrir ? A. Serveur Web B. Serveur de fichiers C. Point d'accès sans fil D. Imprimante
D
69 Quels types d'outils sont Nito, Burp Sure et Woot ? A.Outils d'analyse des vulnérabilités des applications Web B. Outils de révision du code C. Outils d'analyse des vulnérabilités Outil d'analyse D.Port
UN
70 L'équipe de Frank teste les nouvelles API que les développeurs de l'entreprise créent pour leur infrastructure d'applications. Parmi les problèmes suivants, lequel n'est pas un problème d'API courant que l'équipe de Frank pourrait découvrir ? A. Cryptage incorrect B. Problèmes d'autorisation au niveau de l'objet C. Problèmes d'authentification des utilisateurs D. Absence de limitation de débit
UN
Le chiffrement n'est pas au niveau de la couche application
71Jim travaille avec un entrepreneur en tests d'intrusion qui recommande d'utiliser Métasploit. À quoi Jim doit-il s’attendre lorsqu’il utilise Metasploit ? A. Analysera le système à la recherche de vulnérabilités. B. Exploiter les vulnérabilités connues du système. C. Détecter les débordements de tampon et autres défauts inconnus dans le service. D. Effectuer des tests de vulnérabilité Zero Day sur le système.
B
72 Susan doit s'assurer que les interactions entre les différents composants de son application de commerce électronique sont gérées correctement. Elle a l'intention de valider les capacités de communication, de gestion des erreurs et de gestion de sessions dans l'ensemble de l'infrastructure. Quel type de tests compte-t-elle effectuer ? A. Test des cas d'abus B. Test de fuzz C. Tests de régression D. Test d'interface
D
73. Jim conçoit le système de gestion des journaux de l'organisation et sait qu'il doit planifier soigneusement la gestion des données des journaux de l'organisation. Lequel des éléments suivants ne constitue pas un facteur dont Jim ne devrait pas se préoccuper ? A. Quantité de données de journal B. Manque de sources de journaux suffisantes C. Exigences de sécurité pour le stockage des données D. Bande passante réseau
B
74. L'organisation de Ryan souhaite assurer une bonne gestion des comptes mais ne dispose pas d'un outil centralisé de gestion des identités et des accès. Rvan Quelle est la meilleure option lors de la vérification des processus de gestion des comptes lors d'un audit interne ? AVérifiez toutes les modifications apportées au compte au cours des 90 derniers jours. B. Sélectionnez pour vérifier les comptes d'administrateur de grande valeur. C. Vérifiez toutes les modifications apportées au compte au cours des 180 derniers jours. D. Effectuer une vérification par échantillonnage aléatoire des comptes.
D
75. Quel type de journal est généré lorsqu'un système Windows redémarre ? A. Erreur B. Avertissement C.Informations D. échec de l'examen
C
76. Au cours de l'enquête, Alex a remarqué que Michelle se connectait à son poste de travail à 8 heures chaque matin, mais qu'elle était connectée au serveur d'applications Web principal du ministère peu après 3 heures du matin ce jour-là. Quel problème de journalisation courant Alex pourrait-il rencontrer ? A. Format de journal incohérent B. Journal modifié C. Horodatages incohérents D. Plusieurs sources de journaux
C
77. Quel type d'analyse de vulnérabilité accède aux informations de configuration obtenues à partir du système sur lequel l'analyse est exécutée, ainsi qu'aux informations obtenues via les services disponibles sur le réseau ? A. Numérisation certifiée B. Analyse des applications Web C. Analyse non authentifiée Numérisation du port D.
UN
Quels types d'analyse des vulnérabilités peuvent donner accès aux informations de configuration des systèmes en cours d'exécution et des services fournis sur le réseau ? Scan authentifié (bonne réponse) Analyse d'applications Web Analyse non certifiée analyse des ports Les analyses authentifiées utilisent un accès de compte en lecture seule aux fichiers de configuration, permettant ainsi des tests plus précis des vulnérabilités. Les analyses d'applications Web, les analyses non authentifiées et les analyses de ports n'ont pas accès aux fichiers de configuration, sauf si ces fichiers sont exposés par inadvertance.
Pour les questions 78 à 80, considérez le scénario suivant : L'organisation de Ben a commencé à utiliser STRIDE pour évaluer ses logiciels et identifier les agents de menace ainsi que l'impact commercial que ces menaces peuvent avoir. Ils travaillent actuellement à identifier les contrôles appropriés pour résoudre les problèmes identifiés. 78.L'équipe de développement de Ben doit résoudre un problème d'autorisation qui pourrait conduire à une menace d'élévation de privilèges. Lequel des contrôles suivants serait le plus approprié pour ce type de problème ? A. Activez l’audit et la journalisation. B. Utilisez le contrôle d'accès basé sur les rôles pour des opérations spécifiques. C. Activez la vérification du type et du format des données. D. Effectuez des tests de liste blanche sur les entrées de l'utilisateur. 79.L'équipe de Ben tente de classifier les problèmes d'identification des transactions causés par des clés symétriques partagées par plusieurs serveurs. Dans laquelle des catégories STRIDE suivantes cela devrait-il appartenir ? A. Fuite d’informations B. Déni de service C. Falsification D. Refuser 80. Le trafic a été le plus élevé lors de l'attaque par déni de service. Ben Xizhao a utilisé un service tiers pour l'aider à évaluer le déni de service. Vulnérabilité absolue d’attaque de service. Quel type d’engagement devrait-il recommander à l’organisation ? A. Participation à l’ingénierie sociale B. Tests d'intrusion C. Test de charge ou de contrainte D. Test à l'aide de tests fuzz
B
D
C
81 Chris résout les problèmes de reporting de gestion des informations et des événements de sécurité (SIEM) de l'organisation. Après avoir analysé le problème, il a estimé que l'heure des entrées de journal dans les différents systèmes était incohérente. Quel protocole peut-il utiliser pour résoudre ce problème ? A.SSH B. FTP C.TLS D.NTP
D
82.Ryan envisage d'utiliser les tests fuzz dans son projet de test d'applications Web. Prendre une décision Parmi les affirmations suivantes concernant les tests de fuzz, laquelle Ryan devrait-il prendre en compte ? A. Les tests Fuzz ne peuvent détecter que des défauts complexes. B. Les testeurs doivent générer des entrées manuellement. C. Les tests Fuzz peuvent ne pas couvrir entièrement le code. D. Les tests Fuzz ne peuvent pas reproduire l'erreur.
C Les tests fuzz ne peuvent généralement pas couvrir complètement tout le code du programme et se limitent généralement à détecter de simples vulnérabilités qui n'impliquent pas de logique métier complexe.
83.Ken conçoit un processus de test pour le logiciel que son équipe développe. Il a conçu un test pour vérifier que chaque ligne de code a été exécutée pendant le test. Quel type d’analyse Ken mène-t-il ? A. Couverture des succursales B. Couverture des conditions C. Couverture fonctionnelle D. Couverture de la déclaration
D
Pour les questions 84 à 86, considérez le scénario suivant. Lors d'une analyse de port, Ben a utilisé les paramètres par défaut de nmap et a vu les résultats suivants. 84. Si Ben effectue un test d'intrusion, quelle devrait être sa prochaine étape après avoir reçu ces résultats ? A. Utilisez un navigateur Web pour vous connecter au serveur Web. B. Utilisez une connexion Telnet pour tester le compte vulnérable. C. Identifiez les ports intéressants pour une analyse plus approfondie. D. Utilisez sqlmap sur la base de données ouverte. 85. D'après les résultats de l'analyse, quel est le système d'exploitation (OS) le plus probable que le système analysé exécute ? A. Version de bureau Windows B. Linux C. Équipements réseau D. Serveur Windows 86.Le manager de Ben s'inquiète de la portée de son analyse. De quoi son manager pourrait-il s’inquiéter ? R. Ben n'a pas testé le service UDP. B.Ben n'a trouvé aucun port autre que les "ports bien connus". C. Ben n'a pas effectué de prise d'empreintes digitales du système d'exploitation. D.Ben n'a testé qu'un nombre limité de ports.
C
B
D
87.Lucca examine les données sur le processus de reprise après sinistre de son organisation et remarque que le site Web principal de l'entreprise Le MTD est de deux heures. Lors des tests et de la validation, qu'a-t-il appris sur le RTO du site ? R. Cela prend moins de deux heures. B. Cela prend au moins deux heures. C. Le temps MTD est court et prend plus de temps. D. Le temps RTO est trop court et prendra plus de temps.
UN
MTD est le temps d'arrêt maximum toléré. Si une vérification MTD doit être effectuée, les résultats de la vérification lui indiqueront uniquement la durée maximale pendant laquelle le système peut être hors ligne.
88.Diana a engagé un auditeur tiers et souhaite délivrer un certificat d'audit au tiers sans contenir les détails de l'audit. Quel type de rapport SSAE 18 SOC doit-elle demander ? A. SOC1 B. SOC2 C.SOC3 D.SOC4
C
89. En examinant les résultats des tests logiciels pour la nouvelle application de l'organisation, Madhuri a remarqué que l'application produisait des erreurs contenant des informations sur les répertoires et les fichiers qui étaient affichées aux testeurs d'applications Web. Quelle question devrait être incluse dans son rapport ? A. Il n’effectue pas une gestion appropriée des exceptions. B. Le logiciel ne gère pas correctement les tests de cas d'utilisation abusive. C. Les instructions de débogage doivent être supprimées. D. Le code n'a pas été entièrement testé en raison d'erreurs.
UN
90. Quelle est la première étape à effectuer avant de procéder à un test d’intrusion ? A. Collecte de données B. Analyse des ports C. Obtenir l'autorisation D.Plan
C
Le PDG de 91.JOHn est préoccupé par la forte augmentation des crypto-malwares dans le secteur. Elle a demandé l'assurance que les données de l'entreprise pourraient être récupérées si un logiciel malveillant atteignait et chiffrait ses systèmes de production. Quel processus faut-il pour lui dire que l’entreprise est prête ? A. Chiffrez toutes les données sensibles. B. Hachez toutes les données d'une organisation pour détecter les logiciels malveillants cryptographiques. C. Effectuez une vérification de sauvegarde. D. Utilisez la technologie anti-chiffrement pour empêcher les logiciels malveillants de chiffrer le lecteur.
C
92 Joanna est la RSSI de l'organisation dans un rôle de supervision des opérations de sécurité. Elle veut s’assurer que la surveillance par la direction des changements liés à la sécurité est continue. Dans la plupart des organisations, sur quel système doit-elle se concentrer sur le suivi de ce type de données ? A. Système SIEM Système B.IPS Outils C.CMS Etabli D.ITSM
D
93. Henry veut vérifier que sa sauvegarde est valide. Laquelle des options suivantes constitue le meilleur moyen de garantir que les sauvegardes sont utiles dans un véritable scénario de reprise après sinistre ? A. Restaurez périodiquement un fichier aléatoire pour vous assurer que la sauvegarde fonctionne correctement. B. Vérifiez périodiquement la configuration et les paramètres pour vérifier les paramètres de sauvegarde. C. Vérifiez le journal de sauvegarde pour vous assurer qu'aucune erreur ne s'est produite. D. Effectuez périodiquement des restaurations complètes à partir des sauvegardes pour vérifier le succès.
D
94.Quels types de vulnérabilités les scanners ne trouvent pas ? A. Vulnérabilités locales B. Vulnérabilités des services C. Vulnérabilités du jour zéro D. Vulnérabilités nécessitant une authentification
C
95.Jacinda aimerait mesurer l'efficacité de sa formation en sécurité comme l'un de ses indicateurs de sécurité. Parmi les mesures suivantes, lesquelles sont les plus utiles pour évaluer l’efficacité de la formation de sensibilisation à la sécurité ? (Sélectionnez tout ce qui s'y rapporte.) UN. Nombre de personnes participant à la formation B. Niveau de sensibilisation à la sécurité avant et après la formation C. Durée de la formation (en heures) 口.Nombre d’événements de formation auxquels chaque personne a participé cette année
UN B
96, Elaine a découvert une vulnérabilité critique jusqu'alors inconnue dans un produit utilisé par son organisation. Son organisation prend la divulgation éthique très au sérieux et Elaine suit les pratiques courantes en matière de divulgation éthique. que doit-elle faire en premier A. Élaborez des mesures ou des contrôles correctifs internes, puis divulguez publiquement la vulnérabilité pour inciter les fournisseurs à la corriger rapidement. B. Élaborez des mesures ou des contrôles correctifs internes, puis informez le fournisseur du problème. C. Informez le fournisseur et donnez-lui un délai raisonnable pour résoudre le problème. D. Divulguer publiquement les vulnérabilités afin que les fournisseurs puissent les corriger en temps opportun.
C
Pour les questions 97 à 99, considérez le scénario suivant. NIST Specral Puolircatton 800-115, Guide technique des tests d'intrusion et des tests d'intrusion, fournit le processus testé par le NIST pour les tests d'intrusion. Utilisez cette image et vos connaissances en matière de tests d'intrusion pour répondre aux questions. 97. Lequel des éléments suivants ne fait pas partie de la phase de découverte ? A. Collecte d'informations sur le nom d'hôte et l'adresse IP B. Capture des informations sur les services C. Recherche dans la corbeille D. Élévation de privilèges 98. Le NIST spécifie quatre étapes de phase d'attaque : obtenir l'accès, élever les privilèges, parcourir le système et fournir des outils. Une fois qu’un attaquant a installé des outils supplémentaires : à quelle étape un testeur d’intrusion revient-il généralement ? A. Découvrir B. Accéder C. Élévation de privilèges D. Navigation dans le système 99. Lequel des éléments suivants ne constitue pas une partie typique d'un rapport de test d'intrusion ? A. Liste des vulnérabilités identifiées B. Toutes les données sensibles collectées lors des tests C. Évaluation du risque pour chaque problème découvert D. Orientations d'atténuation pour les problèmes identifiés
D
B
B
100. Alox utilise nmnao pour effectuer une analyse de port sur le système et il a reçu trois messages d'état de port différents dans les résultats. Faites correspondre chaque message d'état numéroté à la description du message appropriée. Chaque objet ne peut être utilisé qu'une seule fois. message d'état 1.Ouvrir 2. Fermer 3. Filtrer décrire A. Le port du système distant est accessible, mais aucune application n'accepte les connexions sur le port. B. Le port du système distant n'est pas accessible. C. Le port du système distant est accessible et l'application accepte les connexions sur ce port.
ABC