Cybersécurité des infrastructures

Questions fréquentes

Que faut-il réviser en cybersécurité pour l'E7 du BTS SIO SISR ?

L'E7 SISR est une étude de cas écrite de 4 heures, coefficient 4, qui évalue le bloc 3 « Cybersécurité des services informatiques ». Les sujets 2025 et 2026 ont porté sur les attaques de couche 2 et la sécurité des ports, le Wi-Fi 802.1X et le portail captif, les règles de filtrage, l'analyse d'un incident, les journaux, les alertes d'IPS rapprochées de MITRE ATT&CK, les sauvegardes et les obligations légales (RGPD, notification). Travaille en priorité les chapitres 1, 2, 3, 5, 8, 13 et 14, en refaisant les exercices sans regarder les réponses.

C'est quoi une DMZ en réseau ?

Une DMZ (zone démilitarisée) est un sous-réseau isolé, placé entre Internet et le réseau interne, qui héberge les serveurs joignables depuis l'extérieur : site web, relais de messagerie, proxy inverse. Le pare-feu autorise Internet à joindre ces serveurs sur leurs seuls ports publiés, mais interdit à la DMZ d'ouvrir des connexions vers le réseau interne. Si un serveur exposé est piraté, l'attaquant reste ainsi bloqué dans la DMZ (architecture et règles d'une DMZ).

Quelle est la différence entre un pare-feu stateless et stateful ?

Un pare-feu sans état (stateless), comme une ACL de routeur, examine chaque paquet isolément : il faut écrire des règles pour l'aller et pour le retour. Un pare-feu avec état (stateful), comme pfSense, OPNsense ou nftables, garde une table des connexions et accepte automatiquement les réponses d'une connexion autorisée. On écrit donc une seule règle, dans le sens où la connexion s'ouvre, et ajouter une règle de retour ouvrirait un trou (le fonctionnement d'un pare-feu).

Quelle est la différence entre un IDS et un IPS ?

Un IDS (système de détection d'intrusion) reçoit une copie du trafic et lève une alerte quand il reconnaît une attaque, sans rien bloquer. Un IPS (système de prévention d'intrusion) est placé dans le flux : il fait la même analyse et bloque en plus le trafic malveillant. L'IPS protège davantage, mais un faux positif bloque un usage légitime : on commence en mode IDS pour régler les règles, puis on passe en IPS (IDS, IPS et Suricata).

C'est quoi le MAC flooding et comment s'en protéger ?

Le MAC flooding (inondation de la table MAC) consiste à envoyer à un switch des milliers de trames avec des adresses MAC inventées, jusqu'à saturer sa table. Le switch diffuse alors les trames sur tous ses ports, comme un concentrateur : le réseau ralentit (disponibilité) et chaque poste reçoit le trafic des autres (confidentialité). La parade est la sécurité des ports (port security), qui limite le nombre d'adresses MAC par port et coupe le port en cas de dépassement, complétée par une alerte par trap SNMPv3 (attaques de couche 2 et contre-mesures).

Quelle est la différence entre WPA2 et WPA3 ?

WPA3, publié en 2018, remplace la poignée de main de WPA2 par l'échange SAE, qui empêche de tester des mots de passe hors ligne à partir d'une connexion capturée. Il rend aussi obligatoires les trames de gestion protégées, qui bloquent les fausses déconnexions. WPA2 reste très répandu mais doit être remplacé ; WPA3 est obligatoire dans la bande des 6 GHz du Wi-Fi 6E et du Wi-Fi 7 (sécuriser le Wi-Fi).

C'est quoi 802.1X et RADIUS ?

802.1X est un standard de contrôle d'accès au réseau, filaire ou Wi-Fi : tant que l'appareil ne s'est pas authentifié, le switch ou la borne ne laisse passer que l'authentification. La borne relaie les échanges vers un serveur RADIUS (NPS ou FreeRADIUS), qui vérifie l'identité auprès de l'annuaire et répond « accepté » ou « refusé », en indiquant éventuellement le VLAN à attribuer. Avec la méthode EAP-TLS, l'appareil s'authentifie par un certificat et aucun mot de passe ne circule (802.1X et RADIUS).

Quelle est la différence entre IPsec, OpenVPN et WireGuard ?

IPsec (IKEv2) est une suite normalisée, intégrée à tous les pare-feu et à Windows, idéale pour relier deux sites équipés de matériels différents. OpenVPN repose sur TLS et une PKI, et peut fonctionner sur un seul port TCP pour traverser les réseaux restrictifs. WireGuard est le plus simple et le plus rapide : un port UDP, des clés publiques par appareil, des algorithmes modernes imposés, mais pas de gestion des utilisateurs ni de MFA intégrées (comparatif et configuration des VPN).

À quoi sert un bastion d'administration ?

Un bastion est le point de passage unique de toutes les connexions d'administration : l'administrateur se connecte au bastion avec une authentification multifacteur, et c'est le bastion qui ouvre la session vers le serveur, souvent avec un secret que l'administrateur ne connaît pas. Il enregistre les sessions et journalise qui a accédé à quoi. Le pare-feu n'autorise les ports d'administration des serveurs que depuis le bastion (administration sécurisée).

Que faire en cas de cyberattaque dans une entreprise ?

Isole immédiatement la machine du réseau (câble débranché, Wi-Fi coupé) sans l'éteindre, préviens ton responsable, note tout avec l'heure et ne paie jamais de rançon. Préserve les preuves (copie avec empreinte, journaux centralisés) avant de reconstruire. Si des données personnelles sont touchées, la violation est inscrite au registre et notifiée à la CNIL sous 72 heures en cas de risque, et une plainte dans les 72 heures conditionne l'indemnisation par l'assurance cyber (gérer un incident).