I85PREP
⌘ K
BTS CIEL study materials
BTS CIEL study resources

BTS CIEL practice questions

One question at a time. Build your BTS CIEL understanding.

First 50 of 200 questions. Each one lists the choices, the correct answer, and an explanation. The checker at the top of this page saves progress in this browser when it is available.

Continue in the practice tool above to load more questions, 50 at a time.

Question 1Cybersécurité

Dans un réseau d'entreprise segmenté en VLAN, quel équipement applique principalement les règles de filtrage entre les VLAN ?

  1. Le serveur DHCP qui attribue les adresses IP
  2. Le routeur ou pare-feu qui assure le routage inter-VLAN Correct answer.
  3. Le commutateur de niveau 2 en mode transparent
  4. Le concentrateur qui répète les trames sur tous les ports

Explanation

Le trafic entre VLAN doit être routé, et c'est l'équipement de niveau 3 (routeur ou pare-feu) qui décide d'autoriser ou de bloquer les flux selon ses listes de contrôle d'accès. Un commutateur de niveau 2 ne fait que commuter à l'intérieur d'un même VLAN et ne peut pas filtrer entre VLAN sans fonction de routage.

Question 2Cybersécurité

Quel est le rôle principal d'un DMZ dans une architecture réseau d'entreprise ?

  1. Sauvegarder les configurations des équipements réseau
  2. Chiffrer tous les flux internes entre les postes de travail
  3. Héberger les services accessibles depuis Internet en les isolant du réseau interne Correct answer.
  4. Centraliser l'authentification des utilisateurs du domaine

Explanation

La DMZ est une zone tampon où l'on place les serveurs exposés à Internet (serveur web, messagerie, reverse proxy) afin qu'une compromission de ces services ne donne pas un accès direct au réseau interne. Elle est séparée du LAN par un filtrage renforcé.

Question 3Cybersécurité

Un utilisateur reçoit un courriel l'invitant à saisir ses identifiants sur une page imitant le portail de l'entreprise. Quel type d'attaque est décrit ?

  1. Hameçonnage Correct answer.
  2. Déni de service distribué
  3. Élévation de privilèges locale
  4. Injection SQL

Explanation

L'hameçonnage (phishing) consiste à tromper la victime avec un message usurpant une entité de confiance pour lui faire divulguer des informations confidentielles. La copie d'une page légitime pour collecter les identifiants est une technique classique de ce type d'attaque.

Question 4Cybersécurité

Quelle propriété de la sécurité de l'information garantit qu'un message n'a pas été modifié en transit ?

  1. L'intégrité Correct answer.
  2. La confidentialité
  3. La traçabilité
  4. La disponibilité

Explanation

L'intégrité assure que les données n'ont pas été altérées de manière non détectée, ce que l'on vérifie généralement par une empreinte cryptographique ou un code d'authentification de message. La confidentialité protège la lecture, la disponibilité garantit l'accès au service.

Question 5Cybersécurité

Quel protocole permet de chiffrer le trafic d'un navigateur vers un serveur web et d'authentifier ce serveur ?

  1. TLS utilisé par HTTPS sur le port 443 Correct answer.
  2. HTTP en clair sur le port 80
  3. FTP sur le port 21
  4. SNMP sur le port 161

Explanation

HTTPS encapsule HTTP dans TLS, ce qui assure confidentialité et intégrité des échanges et permet au client de vérifier l'identité du serveur via son certificat. HTTP seul transmet les données en clair.

Question 6Cybersécurité

Dans la norme ISO/IEC 27001, à quoi correspond un « actif » dans une analyse de risques ?

  1. Une mesure de sécurité déjà déployée sur le réseau
  2. Un incident de sécurité clôturé par l'équipe d'exploitation
  3. Un élément ayant de la valeur pour l'organisation et devant être protégé Correct answer.
  4. Une vulnérabilité logicielle recensée dans un bulletin de sécurité

Explanation

Un actif est tout élément qui a de la valeur pour l'organisation : information, matériel, logiciel, service, personnel ou site. L'analyse de risques évalue les menaces qui pèsent sur ces actifs en s'appuyant sur leurs vulnérabilités.

Question 7Cybersécurité

Quel est l'effet d'une politique de mot de passe imposant une longueur minimale élevée plutôt qu'un renouvellement fréquent ?

  1. Elle réduit la résistance aux attaques par force brute
  2. Elle empêche toute réutilisation de mot de passe entre services
  3. Elle rend les attaques par dictionnaire et force brute plus coûteuses Correct answer.
  4. Elle supprime le besoin d'authentification multifacteur

Explanation

La longueur augmente considérablement l'espace de recherche d'un attaquant, ce qui rend les attaques par force brute ou par dictionnaire beaucoup plus coûteuses. Les recommandations actuelles privilégient des phrases de passe longues et uniques plutôt qu'un changement périodique systématique.

Question 8Cybersécurité

Quelle commande permet de connaître les ports en écoute sur une machine Linux ainsi que le processus associé ?

  1. arp -a
  2. ping -c 4 localhost
  3. ss -tulpn Correct answer.
  4. traceroute 192.168.1.1

Explanation

La commande ss affiche les sockets réseau ; les options -tulpn restreignent aux ports TCP et UDP en écoute et associent le numéro de processus. C'est un outil de diagnostic courant pour repérer un service exposé indûment.

Question 9Cybersécurité

Une application web affiche un champ de recherche dont la valeur est directement concaténée dans une requête SQL. Quelle mesure corrige le plus directement cette vulnérabilité ?

  1. Augmenter la longueur maximale du champ de saisie
  2. Utiliser des requêtes préparées avec des paramètres liés Correct answer.
  3. Ajouter une bannière de consentement aux cookies
  4. Activer le protocole HTTPS sur le site

Explanation

Les requêtes préparées séparent la structure de la requête des données fournies par l'utilisateur, ce qui empêche l'interprétation de la saisie comme du code SQL. C'est la parade de référence contre l'injection SQL, complétée par la validation des entrées et le moindre privilège sur la base.

Question 10Cybersécurité

Un attaquant obtient un accès au réseau d'entreprise via le compte d'un prestataire, puis tente de se déplacer vers d'autres machines. Comment nomme-t-on cette phase ?

  1. L'exfiltration de données
  2. Le déni de service
  3. Le déplacement latéral Correct answer.
  4. Le balayage de ports initial

Explanation

Le déplacement latéral (lateral movement) désigne les actions menées depuis un premier accès compromis pour atteindre d'autres systèmes et élever ses privilèges. La segmentation réseau et le moindre privilège visent précisément à limiter cette progression.

Question 11Cybersécurité

Quel est l'intérêt principal de la segmentation réseau dans une démarche de cybersécurité ?

  1. Elle limite la propagation d'un poste compromis vers les autres zones Correct answer.
  2. Elle garantit la confidentialité des données par chiffrement automatique
  3. Elle supprime le besoin de journalisation des équipements
  4. Elle remplace l'authentification des utilisateurs sur le domaine

Explanation

En cloisonnant le réseau en zones et en filtrant les flux entre elles, on empêche un attaquant de rebondir librement depuis une machine compromise. La segmentation réduit la surface d'attaque et ralentit la progression, mais ne chiffre ni ne journalise à elle seule.

Question 12Cybersécurité

Dans un journal d'un serveur web, vous observez des requêtes répétées contenant « ../ » dans les paramètres d'URL. Quelle tentative d'attaque est la plus probable ?

  1. Une attaque par rebond DNS
  2. Une traversée de répertoire pour lire des fichiers hors du dossier web Correct answer.
  3. Une injection de commandes dans le système d'exploitation
  4. Une attaque par force brute sur le formulaire de connexion

Explanation

La séquence ../ sert à remonter l'arborescence et à sortir du répertoire autorisé, ce qui caractérise une traversée de répertoire (path traversal). L'attaquant cherche à lire des fichiers de configuration ou des secrets situés hors de la racine web.

Question 13Cybersécurité

Quel est le principe d'un pare-feu applicatif web (WAF) en mode reverse proxy ?

  1. Il attribue les adresses IP aux postes via DHCP
  2. Il chiffre les sauvegardes des bases de données
  3. Il inspecte les requêtes HTTP et bloque celles qui correspondent à des signatures d'attaque Correct answer.
  4. Il filtre les paquets selon les adresses IP et les ports uniquement

Explanation

Un WAF analyse le contenu applicatif des requêtes HTTP, par exemple pour détecter des motifs d'injection ou de traversée de répertoire, et peut bloquer ou journaliser ces requêtes. Placé en reverse proxy, il s'interpose entre les clients et le serveur protégé.

Question 14Cybersécurité

Un attaquant modifie le champ caché d'un formulaire web contenant le prix d'un article avant de le valider. Quelle faiblesse l'application présente-t-elle ?

  1. Elle fait confiance à des données fournies par le client pour des décisions sensibles Correct answer.
  2. Elle ne dispose pas de certificat TLS valide
  3. Elle utilise un algorithme de chiffrement obsolète
  4. Elle ne journalise pas les accès au serveur web

Explanation

Toute donnée provenant du navigateur peut être modifiée par l'utilisateur, y compris un champ caché. L'application doit recalculer ou vérifier côté serveur les valeurs sensibles comme un prix, sinon elle subit une falsification de paramètres.

Question 15Cybersécurité

Quel est l'objectif d'un test d'intrusion réalisé dans le cadre d'un contrat avec un auditeur externe ?

  1. Évaluer la sécurité réelle du système par des attaques simulées et autorisées Correct answer.
  2. Corriger automatiquement les vulnérabilités découvertes
  3. Certifier la conformité ISO 27001 de l'entreprise
  4. Remplacer la politique de sauvegarde des données

Explanation

Le test d'intrusion simule les techniques d'un attaquant, dans un périmètre et un cadre juridique définis, pour identifier des faiblesses exploitables et prioriser les corrections. Il produit un rapport, mais la remédiation revient aux équipes d'exploitation.

Question 16Cybersécurité

Sur un poste Windows, quelle fonctionnalité permet de restreindre l'exécution aux logiciels autorisés par une liste ?

  1. BitLocker sur le volume système
  2. Le gestionnaire des tâches
  3. AppLocker avec des règles d'exécution Correct answer.
  4. Le pare-feu Windows Defender en mode blocage entrant

Explanation

AppLocker applique une liste blanche d'applications autorisées à s'exécuter, ce qui bloque les logiciels non approuvés, y compris certains malwares. C'est une mesure de maîtrise de l'exécution complémentaire de l'antivirus.

Question 17Cybersécurité

Quel protocole d'authentification centralisée est couramment utilisé pour qu'un utilisateur accède à un portail Wi-Fi d'entreprise avec ses identifiants d'annuaire ?

  1. SMTP
  2. NTP
  3. ICMP
  4. RADIUS Correct answer.

Explanation

RADIUS centralise l'authentification, l'autorisation et la comptabilisation des accès réseau, notamment pour le Wi-Fi d'entreprise via le standard 802.1X. Le serveur RADIUS vérifie les identifiants auprès de l'annuaire et renvoie la décision au point d'accès.

Question 18Cybersécurité

Quel est le rôle d'une fonction de hachage comme SHA-256 dans la vérification d'intégrité d'un fichier ?

  1. Comprimer le fichier pour réduire sa taille
  2. Produire une empreinte courte permettant de détecter toute modification Correct answer.
  3. Chiffrer le fichier pour le rendre illisible
  4. Signer le fichier avec la clé privée de l'émetteur

Explanation

Une fonction de hachage produit une empreinte de taille fixe : si le fichier change, l'empreinte change aussi, ce qui permet de détecter une altération. Le hachage ne chiffre pas et ne signe pas à lui seul, la signature ajoute l'usage d'une clé privée.

Question 19Cybersécurité

Un serveur web tombe en panne après avoir reçu un flux massif de requêtes provenant de milliers d'adresses IP différentes. Quelle mesure est la plus adaptée en amont ?

  1. Changer le mot de passe administrateur du serveur
  2. Mettre en place une protection anti-DDoS avec limitation de débit et filtrage Correct answer.
  3. Désactiver les journaux du serveur pour libérer des ressources
  4. Passer le site en HTTP au lieu de HTTPS

Explanation

Une attaque DDoS distribuée sature le service par le volume ; une protection dédiée, avec limitation de débit, filtrage et éventuellement un service de mitigation, absorbe ou filtre le trafic malveillant. Les autres mesures ne réduisent pas la charge reçue.

Question 20Cybersécurité

Dans une démarche de défense en profondeur, pourquoi multiplie-t-on les mesures de sécurité indépendantes ?

  1. Pour supprimer la nécessité de mises à jour régulières
  2. Pour qu'une seule défaillance ne compromette pas tout le système Correct answer.
  3. Pour éviter d'avoir à journaliser les événements
  4. Pour réduire le nombre d'utilisateurs à former

Explanation

La défense en profondeur superpose des contrôles de natures différentes afin qu'un contournement d'une mesure soit arrêté par une autre. Cette redondance réduit la probabilité qu'une seule faille entraîne une compromission totale.

Question 21Cybersécurité

Quel est l'effet d'un enregistrement DNS de type SPF correctement configuré sur un domaine ?

  1. Il indique les serveurs autorisés à envoyer du courriel pour ce domaine Correct answer.
  2. Il authentifie les visiteurs du site web du domaine
  3. Il bloque toutes les pièces jointes dangereuses
  4. Il chiffre les courriels échangés avec ce domaine

Explanation

SPF publie la liste des serveurs habilités à émettre du courriel au nom du domaine ; un serveur récepteur peut rejeter ou marquer les messages provenant d'autres sources. Cela réduit l'usurpation d'adresse d'expéditeur, mais ne chiffre ni ne filtre les pièces jointes.

Question 22Cybersécurité

Un attaquant exploite une faille dans une bibliothèque tierce utilisée par une application, alors que le code de l'application n'a pas changé. Quelle pratique réduit le mieux ce risque ?

  1. Renommer les comptes administrateurs de la base
  2. Suivre les avis de sécurité des dépendances et les mettre à jour rapidement Correct answer.
  3. Augmenter la taille des sauvegardes quotidiennes
  4. Faire une revue de code uniquement sur les fichiers écrits en interne

Explanation

Les dépendances tierces représentent une surface d'attaque qui évolue indépendamment du code interne ; il faut donc surveiller les vulnérabilités publiées et appliquer les correctifs. Un inventaire des composants (SBOM) facilite cette veille.

Question 23Cybersécurité

Que permet de vérifier l'analyse d'un fichier binaire par calcul d'empreinte puis consultation d'une base publique de renseignement sur les menaces ?

  1. La conformité du fichier au RGPD
  2. La correspondance éventuelle du fichier avec un échantillon déjà connu comme malveillant Correct answer.
  3. La qualité du code source du programme
  4. La validité du certificat TLS du serveur de téléchargement

Explanation

Comparer l'empreinte d'un fichier à des bases de renseignement permet de savoir si un échantillon identique a déjà été analysé et classé comme malveillant. Cela ne prouve pas l'innocuité d'un fichier inconnu, qui nécessite une analyse plus poussée.

Question 24Cybersécurité

Une entreprise applique le moindre privilège sur les comptes de service. Quel risque cette mesure réduit-elle en priorité ?

  1. La perte de données due à une panne de disque
  2. La saturation de la bande passante Internet
  3. L'usurpation d'adresse IP sur le réseau local
  4. L'impact d'une compromission d'un compte de service sur le reste du système Correct answer.

Explanation

Un compte de service disposant uniquement des droits nécessaires limite ce qu'un attaquant peut faire s'il en prend le contrôle. Le moindre privilège réduit ainsi le périmètre d'action et l'élévation possible vers des ressources sensibles.

Question 25Cybersécurité

Un poste a été compromis et l'attaquant a installé un accès persistant. Quelle action est prioritaire avant de remettre le poste en production ?

  1. Supprimer uniquement le fichier malveillant identifié par l'antivirus
  2. Augmenter la mémoire allouée au poste
  3. Réinstaller le système à partir d'une image saine et révoquer les secrets exposés Correct answer.
  4. Changer le fond d'écran pour signaler l'incident aux utilisateurs

Explanation

Après une compromission avec persistance, on ne peut pas garantir qu'aucune porte dérobée ne subsiste ; une réinstallation depuis une source saine et la révocation des secrets exposés sont nécessaires. La suppression d'un seul fichier identifié laisse souvent d'autres mécanismes actifs.

Question 26Cybersécurité

Dans le référentiel EBIOS Risk Manager, quelle est la première étape du processus de gestion des risques ?

  1. La validation par l'auditeur externe
  2. Le traitement des risques résiduels
  3. La mise en œuvre des mesures de sécurité
  4. Le cadrage et la définition du périmètre de l'étude Correct answer.

Explanation

EBIOS RM commence par le cadrage, qui fixe le périmètre, les objectifs et les acteurs de l'étude de risque. Sans ce cadrage, les ateliers suivants (sources de risque, scénarios) n'ont pas de base cohérente. Les mesures de sécurité et le traitement viennent bien plus tard dans la démarche.

Question 27Cybersécurité

Quel type d'attaquant se caractérise par des moyens financiers importants, une persistance dans le temps et des cibles souvent étatiques ou industrielles ?

  1. Le spammeur
  2. Le script kiddie
  3. L'attaquant APT (Advanced Persistent Threat) Correct answer.
  4. Le hacker éthique

Explanation

L'APT désigne un groupe structuré, soutenu par des moyens importants, qui mène des campagnes durables et discrètes contre des cibles ciblées. Sa persistance et ses ressources le distinguent d'un individu isolé. Les autres profils cités n'ont ni cette organisation ni cette endurance.

Question 28Cybersécurité

Quelle propriété de la sécurité de l'information garantit qu'une donnée n'a pas été modifiée de manière non autorisée ?

  1. La traçabilité
  2. L'intégrité Correct answer.
  3. La disponibilité
  4. La confidentialité

Explanation

L'intégrité garantit que les données restent exactes et complètes, et qu'aucune modification non autorisée n'a eu lieu. Elle se vérifie par exemple par des empreintes ou des signatures. La confidentialité protège l'accès, la disponibilité assure l'accès au service.

Question 29Cybersécurité

Un utilisateur reçoit un courriel l'invitant à saisir ses identifiants sur une page qui imite le portail de son entreprise. Quelle attaque est décrite ?

  1. L'élévation de privilèges
  2. L'hameçonnage (phishing) Correct answer.
  3. L'injection SQL
  4. Le déni de service

Explanation

L'hameçonnage consiste à tromper la victime par un message usurpant une entité de confiance pour lui faire livrer des informations sensibles. Ici, la fausse page de connexion capte les identifiants. Les autres attaques citées visent le service ou l'application, pas la tromperie de l'utilisateur.

Question 30Cybersécurité

Quelle est la fonction d'un IDS en mode passif sur un réseau ?

  1. Bloquer automatiquement le trafic malveillant identifié
  2. Attribuer des adresses IP aux postes du réseau
  3. Chiffrer les flux entre deux sites distants
  4. Analyser une copie du trafic et alerter en cas de signature suspecte Correct answer.

Explanation

Un IDS passif observe une copie du trafic et génère des alertes selon des signatures ou des comportements anormaux, sans couper le flux. Le blocage relève d'un IPS ou d'une configuration active. Le chiffrement et l'adressage sont des fonctions d'autres équipements.

Question 31Cybersécurité

Quel est le rôle d'un coffre-fort de mots de passe dans une entreprise ?

  1. Héberger les sauvegardes des serveurs
  2. Stocker des secrets chiffrés et partager l'accès de façon contrôlée Correct answer.
  3. Générer les journaux d'accès au système
  4. Remplacer le pare-feu périmétrique

Explanation

Un coffre-fort de mots de passe conserve les secrets (comptes, clés) sous forme chiffrée et gère les droits d'accès et l'audit des consultations. Il ne remplace ni le filtrage réseau ni la sauvegarde. Sa valeur réside dans la centralisation protégée des secrets.

Question 32Cybersécurité

Que désigne la surface d'attaque d'un système d'information ?

  1. L'ensemble des points d'entrée exploitables par un attaquant Correct answer.
  2. Le nombre de serveurs physiques dans la salle machine
  3. Le débit maximal du lien Internet
  4. La liste des utilisateurs disposant d'un compte

Explanation

La surface d'attaque regroupe tous les points d'entrée potentiels : services exposés, ports, applications, comptes, interfaces. Réduire cette surface consiste à fermer ce qui n'est pas nécessaire. Le nombre de serveurs ou d'utilisateurs ne résume pas cette notion.

Question 33Cybersécurité

Quel est le but d'une politique de sauvegarde définissant RPO et RTO ?

  1. Définir les règles de filtrage du pare-feu
  2. Cadrer la perte de données acceptable et le délai de rétablissement visé Correct answer.
  3. Choisir le fournisseur de stockage cloud
  4. Établir les mots de passe des comptes administrateurs

Explanation

Le RPO (Recovery Point Objective) fixe la perte de données maximale acceptable en temps, et le RTO (Recovery Time Objective) le délai de remise en service visé. Ces objectifs guident la fréquence des sauvegardes et les moyens de restauration. Ils n'ont pas trait au filtrage ni aux identifiants.

Question 34Cybersécurité

Un serveur web expose une page de connexion accessible depuis Internet. L'administrateur constate de nombreuses tentatives avec des identifiants courants. Quelle mesure réduit le plus directement ce risque sans gêner les utilisateurs légitimes ?

  1. Supprimer la page de connexion
  2. Désactiver le chiffrement TLS sur la page
  3. Changer l'adresse IP du serveur chaque jour
  4. Limiter le nombre de tentatives et verrouiller temporairement le compte Correct answer.

Explanation

La limitation du nombre de tentatives et le verrouillage temporaire freinent le bourrage d'identifiants (credential stuffing) tout en laissant les utilisateurs légitimes se connecter. Supprimer la page ou désactiver TLS dégrade le service ou la sécurité. Changer d'adresse IP ne traite pas la cause.

Question 35Cybersécurité

Un développeur doit stocker les mots de passe des utilisateurs en base. Quelle pratique est conforme aux bonnes pratiques actuelles ?

  1. Hachage avec un algorithme lent et salé comme bcrypt ou Argon2 Correct answer.
  2. Chiffrement réversible avec une clé stockée dans le code
  3. Hachage MD5 sans sel
  4. Encodage en base64

Explanation

Les mots de passe doivent être hachés avec une fonction lente et salée (bcrypt, Argon2, scrypt) pour résister aux attaques par dictionnaire et par tables précalculées. Le chiffrement réversible ou l'encodage ne protègent pas réellement. MD5 sans sel est cassable très rapidement.

Question 36Cybersécurité

Un administrateur souhaite qu'un serveur Linux n'accepte les connexions SSH que par clé publique. Quelle modification de configuration est la plus appropriée ?

  1. Désactiver l'authentification par mot de passe et conserver les clés Correct answer.
  2. Passer le port SSH à 22 par défaut
  3. Désactiver le service SSH
  4. Autoriser la connexion root par mot de passe

Explanation

Pour n'accepter que les clés, on désactive l'authentification par mot de passe (PasswordAuthentication no) tout en gardant les clés publiques déclarées. Désactiver SSH supprimerait l'accès distant, et autoriser root par mot de passe aggrave le risque. Le changement de port n'apporte pas de sécurité réelle.

Question 37Cybersécurité

Un attaquant envoie à un utilisateur un lien contenant un script qui s'exécute dans le navigateur d'autres visiteurs d'un forum. Quelle vulnérabilité est exploitée ?

  1. Injection de commandes système
  2. Cross-Site Request Forgery (CSRF)
  3. Cross-Site Scripting (XSS) stocké Correct answer.
  4. Déni de service distribué

Explanation

Le XSS stocké survient lorsque le script malveillant est enregistré côté serveur (par exemple dans un message de forum) puis servi aux autres visiteurs. Le navigateur exécute le script dans le contexte du site. CSRF, injection de commandes et DDoS correspondent à d'autres mécanismes.

Question 38Cybersécurité

Un site e-commerce utilise des cookies de session pour maintenir l'authentification. Quel attribut de cookie limite le risque de vol de session via un script injecté ?

  1. Path=/
  2. HttpOnly Correct answer.
  3. SameSite=Strict
  4. Secure

Explanation

L'attribut HttpOnly empêche l'accès au cookie par JavaScript, ce qui bloque son vol via un XSS. Secure impose le transport TLS et SameSite limite les requêtes intersites, mais aucun des deux ne protège contre la lecture par script. Path restreint la portée du cookie sans effet contre le vol.

Question 39Cybersécurité

Un serveur doit être durci avant sa mise en production. Quelle action relève du principe de moindre exposition ?

  1. Fermer les services et ports non nécessaires et désactiver les comptes par défaut Correct answer.
  2. Laisser les identifiants par défaut pour faciliter la maintenance
  3. Ouvrir tous les ports pour les tests futurs
  4. Installer tous les outils d'administration disponibles

Explanation

Réduire la surface d'attaque consiste à ne conserver que les services strictement nécessaires et à supprimer les comptes par défaut. Installer des outils superflus ou laisser des identifiants connus augmente le risque. Ouvrir tous les ports expose inutilement le serveur.

Question 40Cybersécurité

Un utilisateur signale qu'un courriel provenant d'un domaine connu contient une pièce jointe exécutable demandant d'activer les macros. Quelle est la première action conforme à la procédure de sécurité ?

  1. Ouvrir la pièce jointe dans un bac à sable isolé pour vérifier
  2. Signaler le message au service de sécurité et ne pas l'ouvrir Correct answer.
  3. Répondre à l'expéditeur pour demander confirmation
  4. Transférer le message à tous les collègues pour les prévenir

Explanation

La procédure impose de ne pas exécuter la pièce jointe et de la signaler au service de sécurité, qui analysera et bloquera l'expéditeur. Ouvrir un fichier suspect sur un poste de travail, même en bac à sable, reste risqué sans outillage dédié. Répondre à l'expéditeur peut confirmer l'activité à un attaquant.

Question 41Cybersécurité

Un administrateur configure un VPN d'accès distant pour les télétravailleurs. Quelle mesure complète le mieux le chiffrement du tunnel pour vérifier l'identité de l'utilisateur ?

  1. L'authentification multifacteur Correct answer.
  2. Le filtrage par adresse MAC
  3. La journalisation des connexions
  4. La limitation de la bande passante

Explanation

Le chiffrement protège le transport, mais l'authentification multifacteur garantit que l'accès n'est pas obtenu avec un simple mot de passe volé. La journalisation trace l'activité sans vérifier l'identité. Le débit et le filtrage MAC n'authentifient pas l'utilisateur distant.

Question 42Cybersécurité

Un développeur souhaite empêcher les injections SQL dans une application. Quelle pratique est la plus efficace ?

  1. Concaténer les entrées utilisateur dans la requête
  2. Utiliser des requêtes paramétrées avec des requêtes préparées Correct answer.
  3. Filtrer les caractères spéciaux par une liste noire
  4. Afficher les erreurs SQL détaillées en production

Explanation

Les requêtes paramétrées séparent le code SQL des données fournies par l'utilisateur, ce qui empêche l'interprétation malveillante. Les listes noires sont contournables et les erreurs détaillées aident l'attaquant. La concaténation directe est précisément la cause de la vulnérabilité.

Question 43Cybersécurité

Une entreprise souhaite détecter les modifications non autorisées sur des fichiers critiques d'un serveur. Quelle solution est la plus adaptée ?

  1. Un antivirus sur les postes clients
  2. Une surveillance d'intégrité des fichiers (FIM) avec empreintes de référence Correct answer.
  3. Un répartiteur de charge
  4. Un filtre de messagerie antispam

Explanation

La surveillance d'intégrité calcule des empreintes des fichiers critiques et alerte lorsqu'elles changent. Elle détecte les altérations même discrètes. L'antivirus sur postes, l'antispam et le répartiteur de charge ne surveillent pas l'intégrité des fichiers serveur.

Question 44Cybersécurité

Un analyste observe dans les journaux un compte de service utilisé à la fois depuis un poste de développement et depuis un serveur de production. Quelle conclusion est la plus pertinente ?

  1. Le compte est correctement configuré puisque l'accès fonctionne
  2. L'usage partagé d'un compte de service empêche la traçabilité et viole le moindre privilège Correct answer.
  3. Il faut augmenter les droits du compte pour éviter les erreurs
  4. Le compte doit être renommé pour être plus sûr

Explanation

Un compte de service partagé entre plusieurs usages empêche d'attribuer une action à un individu et élargit les droits au-delà du nécessaire. Il faut des comptes distincts, aux privilèges limités à leur fonction. Renommer le compte ou augmenter ses droits ne corrige pas le problème.

Question 45Cybersécurité

Un serveur web est victime d'une attaque par déni de service distribué. Quelle mesure réduit le plus efficacement l'impact sur le service en production ?

  1. Déployer un service de mitigation en amont (scrubbing) et limiter le débit Correct answer.
  2. Changer le mot de passe administrateur du serveur
  3. Désactiver le pare-feu pour laisser passer tout le trafic
  4. Redémarrer le serveur à chaque pic de trafic

Explanation

La mitigation en amont filtre le trafic malveillant avant qu'il n'atteigne le serveur, et la limitation de débit réduit la charge. Redémarrer ne supprime pas la source de l'attaque. Désactiver le pare-feu aggrave la situation en exposant davantage le service.

Question 46Cybersécurité

Un auditeur relève qu'un serveur de base de données accepte des connexions depuis n'importe quelle adresse IP. Quelle correction est la plus appropriée ?

  1. Augmenter la taille du mot de passe root de la base
  2. Changer le port d'écoute vers un numéro non standard
  3. Restreindre les connexions aux seules adresses des applications autorisées Correct answer.
  4. Activer les journaux de requêtes lentes

Explanation

Restreindre les connexions aux adresses applicatives autorisées applique le moindre accès réseau et limite la surface d'exposition de la base. Un mot de passe plus long ne filtre pas les sources. Le changement de port et les journaux lents n'empêchent pas les connexions non autorisées.

Question 47Cybersécurité

Un utilisateur perd son ordinateur portable professionnel contenant des données clients. Quelle mesure préalable réduisait le plus directement le risque de divulgation ?

  1. La sauvegarde quotidienne des fichiers
  2. L'installation d'un gestionnaire de mots de passe
  3. Le chiffrement intégral du disque Correct answer.
  4. La présence d'un antivirus à jour

Explanation

Le chiffrement intégral du disque rend les données illisibles sans la clé, ce qui protège contre la divulgation en cas de vol matériel. L'antivirus et le gestionnaire de mots de passe ne protègent pas les fichiers du disque. La sauvegarde facilite la restauration mais n'empêche pas la lecture des données volées.

Question 48Cybersécurité

Un analyste SOC reçoit une alerte de connexion réussie à un serveur d'administration depuis un pays où l'entreprise n'opère pas, en dehors des heures ouvrées. Quelle démarche d'analyse est la plus rigoureuse ?

  1. Attendre le lendemain pour interroger l'utilisateur concerné
  2. Bloquer immédiatement tous les accès internationaux sans analyse
  3. Corréler l'alerte avec les journaux d'authentification, l'historique de l'utilisateur et les changements récents Correct answer.
  4. Clore l'alerte car une connexion réussie prouve l'absence d'incident

Explanation

L'analyse d'un événement suspect repose sur la corrélation de plusieurs sources : journaux d'authentification, contexte de l'utilisateur, changements récents. Une connexion réussie peut révéler un compte compromis. Bloquer sans analyse peut perturber des usages légitimes, et attendre laisse l'attaquant agir.

Question 49Cybersécurité

Une entreprise externalise une application critique chez un fournisseur SaaS. Quelle mesure contractuelle et technique réduit le mieux le risque lié à cet accès fournisseur ?

  1. Accorder au fournisseur un compte administrateur permanent pour simplifier le support
  2. Partager le même compte pour tous les intervenants du fournisseur
  3. Désactiver la journalisation des accès fournisseur pour préserver la confidentialité
  4. Encadrer l'accès par un contrat, une authentification forte et un accès à la demande journalisé Correct answer.

Explanation

Le risque fournisseur se maîtrise par des clauses contractuelles (responsabilités, notification d'incident) et des contrôles techniques : authentification forte, accès à la demande et journalisation. Un compte administrateur permanent élargit durablement les droits. Un compte partagé ou une journalisation désactivée empêchent la traçabilité.

Question 50Cybersécurité

Un attaquant a obtenu un accès initial par un compte utilisateur standard et cherche à élever ses privilèges sur un serveur Linux mal configuré. Quelle faiblesse exploite-t-il le plus souvent ?

  1. L'utilisation de TLS sur les connexions
  2. La rotation régulière des journaux
  3. Un programme autorisé à s'exécuter avec les droits root (bit setuid) Correct answer.
  4. La présence d'un antivirus à jour

Explanation

Un binaire portant le bit setuid s'exécute avec les droits de son propriétaire, souvent root ; une faille dans ce programme permet l'élévation de privilèges. L'antivirus, TLS et la rotation des journaux ne constituent pas des vecteurs d'élévation. L'attaquant cherche précisément des configurations de ce type.