Cybersécurité : DICP, menaces, risques

La cybersécurité d'une infrastructure, c'est l'ensemble des mesures techniques et organisationnelles qui protègent le réseau, les serveurs et les services d'une organisation contre les attaques et les pannes : pare-feu, cloisonnement, chiffrement, contrôle des accès, détection, sauvegardes, réponse aux incidents. Ce chapitre pose le vocabulaire que tu utiliseras dans tout le cours et dans ta copie d'E7 : les critères DICP, la différence entre menace, vulnérabilité et risque, les grandes familles d'attaques et les principes de défense.

Les critères DICP : ce qu'on protège

Une mesure de sécurité protège toujours au moins un de ces quatre critères. Les sujets d'E7 te demandent souvent « quel critère est atteint ? » : réponds avec le bon mot et un exemple tiré du contexte.

Critère	Question	Exemple d'atteinte chez une PME
Disponibilité	Le service fonctionne-t-il quand on en a besoin ?	Le réseau est saturé, plus personne ne peut ouvrir de session ; un rançongiciel rend les fichiers illisibles
Intégrité	Les données et les configurations sont-elles exactes, non modifiées à l'insu de leur propriétaire ?	L'IBAN d'un fournisseur est modifié dans le logiciel de gestion ; une règle de pare-feu est supprimée sans trace
Confidentialité	Seules les personnes autorisées accèdent-elles à l'information ?	Un visiteur branché sur le Wi-Fi lit les partages de fichiers ; des échanges non chiffrés sont capturés sur le réseau
Preuve (traçabilité)	Peut-on savoir qui a fait quoi, et le démontrer ?	Aucun journal centralisé : impossible de retrouver l'origine d'une intrusion ; un compte d'administration partagé par trois techniciens

On parle de DIC (ou CIA en anglais : confidentiality, integrity, availability), de DICP quand on ajoute la preuve, parfois de DICT (T pour traçabilité). Ce cours écrit DICP, comme la plupart des sujets.

Menace, vulnérabilité, risque

Ces trois mots ne sont pas synonymes, et les correcteurs le savent.

Une vulnérabilité est une faiblesse du système : un logiciel non mis à jour (une CVE connue), un mot de passe d'administrateur identique sur tous les postes, une prise réseau active dans une salle de réunion, un serveur exposé sans filtrage.
Une menace est ce qui pourrait exploiter cette faiblesse : un attaquant opportuniste qui balaie Internet, un rançongiciel diffusé par courriel, un visiteur malveillant, mais aussi une panne de courant, un incendie ou une erreur de manipulation.
Le risque est la combinaison des deux, rapportée à ce qu'on perdrait : un scénario (« un rançongiciel chiffre le serveur de fichiers en passant par la faille non corrigée du VPN ») évalué par sa gravité (l'impact s'il se produit) et sa vraisemblance (la probabilité qu'il se produise).

On résume souvent par risque = gravité × vraisemblance. Les sujets fournissent en général l'échelle à utiliser. Une échelle courante, inspirée de la méthode EBIOS Risk Manager de l'ANSSI, compte quatre niveaux :

Niveau	Gravité (impact)	Vraisemblance
1	Mineure : gêne sans conséquence durable	Minime : peu probable, il faudrait des moyens importants
2	Significative : dégradation du service, rattrapable	Significative : possible
3	Grave : forte dégradation, pertes financières, atteinte à l'image	Forte : probable, l'attaque est simple et connue
4	Critique : arrêt de l'activité, mise en danger, sanction lourde	Maximale : quasi certaine, ou déjà observée

Le niveau de risque se lit ensuite dans une matrice fournie par le sujet : par exemple, gravité 4 et vraisemblance 3 donnent un risque élevé, à traiter en priorité. Face à un risque, l'organisation a quatre options : le réduire (mesures de sécurité), le transférer (assurance, sous-traitance), l'éviter (renoncer à l'activité risquée, par exemple ne plus exposer un service sur Internet) ou l'accepter (en connaissance de cause, et par écrit).

Les attaques que tu dois savoir nommer

L'E7 te demande de caractériser une attaque : la nommer, expliquer son principe en une ou deux phrases, dire ce qu'elle cherche à obtenir et quels critères elle atteint. Tu n'as jamais à savoir la mener : ce qui compte, c'est la reconnaître à ses symptômes et choisir la parade. Voici celles qui reviennent le plus dans les sujets SISR.

Attaque	Principe en une phrase	Symptômes typiques	Critères atteints	Parade (chapitre)
Rançongiciel	Un logiciel malveillant chiffre les fichiers et les sauvegardes accessibles, puis une rançon est exigée, souvent avec menace de publier des données volées	Fichiers renommés, note de rançon, serveurs inaccessibles	D, I, C	Sauvegardes hors ligne, cloisonnement, EDR (14)
Hameçonnage (phishing)	Un message trompeur pousse un utilisateur à donner ses identifiants ou à ouvrir une pièce jointe piégée	Connexions depuis un pays inhabituel, règles de transfert de courriel créées	C, I	MFA, filtrage, sensibilisation (12)
Force brute, password spraying	Des milliers d'essais de mots de passe, sur un compte ou sur tous les comptes avec quelques mots de passe courants	Rafales d'échecs de connexion (événement Windows 4625), comptes verrouillés	C, P	MFA, verrouillage, Fail2ban (11)
Exploitation d'une vulnérabilité	Une faille connue (CVE) d'un service exposé permet d'exécuter du code ou de contourner l'authentification	Processus inconnus, requêtes anormales dans les journaux du service	D, I, C	Mises à jour, réduction de l'exposition, IPS (10)
Déni de service (DoS, DDoS)	Le service est saturé de requêtes ou de trafic jusqu'à ne plus répondre	Lien Internet saturé, service injoignable	D	Protection anti-DDoS de l'opérateur ou de l'hébergeur, limitation de débit
Attaques de couche 2	Inondation de la table MAC, usurpation ARP ou faux serveur DHCP sur le réseau local	Lenteurs, trames reçues qui ne te sont pas destinées, mauvaise passerelle	D, C, I	Sécurité des ports, DHCP snooping, DAI (5)
Homme du milieu (man-in-the-middle)	L'attaquant s'intercale entre deux machines pour lire ou modifier leurs échanges	Alerte de certificat, passerelle qui change d'adresse MAC	C, I	Chiffrement TLS, certificats vérifiés (6)
Point d'accès illégitime (rogue AP, evil twin)	Une borne Wi-Fi pirate imite le réseau de l'entreprise pour capter les connexions	Deux SSID identiques, borne inconnue détectée par le contrôleur	C	WPA3-Entreprise, détection des bornes (8)
Mouvement latéral	Depuis un premier poste compromis, l'attaquant rebondit vers les serveurs avec des identifiants volés	Connexions d'administration depuis un poste utilisateur	C, I	Segmentation, comptes d'administration dédiés, bastion (3, 12)
Exfiltration	Des données sont copiées vers l'extérieur, souvent par un canal discret (HTTPS, DNS)	Volume sortant anormal, requêtes DNS très longues	C	Filtrage sortant, proxy, SIEM (9, 13)

Les étapes d'une attaque : la matrice MITRE ATT&CK

Une attaque réelle enchaîne plusieurs étapes. Le référentiel public MITRE ATT&CK, cité dans le sujet E7 SISR 2026, les classe en tactiques (le but de l'étape) et techniques (la façon de l'atteindre). La matrice « Enterprise » compte quinze tactiques depuis la version 19 (avril 2026), qui a scindé l'évasion des défenses en furtivité et neutralisation des défenses. Tu n'as pas à les réciter : retiens le découpage simplifié ci-dessous, qui suffit pour situer une alerte d'IDS ou de SIEM.

Étape	Ce que cherche l'attaquant	Exemples de tactiques ATT&CK	Ce qui la détecte ou la bloque
Préparer	Connaître la cible : adresses, services exposés, versions, noms des salariés	Reconnaissance, développement de ressources	Exposition minimale, IDS qui repère les balayages de ports
Entrer	Obtenir un premier accès	Accès initial (hameçonnage, service exposé vulnérable, identifiants volés)	MFA, mises à jour, filtrage des courriels
S'installer	Exécuter du code, rester présent après un redémarrage, devenir administrateur	Exécution, persistance, élévation de privilèges, furtivité, neutralisation des défenses	EDR, durcissement, comptes à privilèges protégés
S'étendre	Trouver les serveurs intéressants et les atteindre	Accès aux identifiants, découverte, mouvement latéral	Segmentation, journaux d'authentification, SIEM
Agir	Voler, chiffrer, détruire	Collecte, commande et contrôle, exfiltration, impact	Filtrage sortant, proxy, sauvegardes hors ligne

Les principes de défense

Quelques principes reviennent dans toutes les architectures sécurisées. Cite-les par leur nom dans tes justifications : ils montrent que ta proposition n'est pas un choix au hasard.

Défense en profondeur. Aucune protection n'est parfaite : on en empile plusieurs, indépendantes, pour qu'une seule défaillance ne suffise pas. Si l'antivirus laisse passer un rançongiciel, le cloisonnement l'empêche d'atteindre les serveurs, et les sauvegardes hors ligne permettent de repartir.

La défense en profondeur : plusieurs couches indépendantes autour des données

Moindre privilège. Chaque compte, chaque service, chaque flux n'a que les droits strictement nécessaires. Un compte de service de sauvegarde n'a pas besoin d'être administrateur du domaine ; le Wi-Fi des visiteurs n'a pas besoin de joindre les serveurs.

Cloisonnement (segmentation). On découpe le système d'information en zones de confiance différente, séparées par des points de filtrage. Une compromission reste ainsi confinée à une zone (chapitre 3).

Refus par défaut. Tout ce qui n'est pas explicitement autorisé est interdit. C'est la règle de base d'un pare-feu bien configuré (chapitre 2).

Réduction de la surface d'attaque. Moins il y a de services, de ports ouverts, de logiciels installés et de comptes actifs, moins il y a de portes à surveiller.

Traçabilité. Les actions importantes sont journalisées, horodatées par une source de temps fiable et conservées hors de portée d'un attaquant (chapitre 13).

Ne jamais faire confiance par défaut (Zero Trust). Être branché sur le réseau interne ne donne aucun droit : chaque accès est authentifié, autorisé et vérifié, quel que soit l'endroit d'où il vient.

Vulnérabilités, CVE et veille

Une vulnérabilité publiée reçoit un identifiant CVE (Common Vulnerabilities and Exposures) de la forme CVE-2021-44228 (l'année puis un numéro) : c'est celui de Log4Shell, la faille de la bibliothèque Java Log4j qu'analyse le sujet E7 SISR 2026. Sa sévérité est notée par le CVSS (Common Vulnerability Scoring System), de 0 à 10. La version 4.0 du CVSS, publiée en 2023, garde les mêmes niveaux que la 3.1 :

Score CVSS	Sévérité
0,0	Aucune
0,1 à 3,9	Faible
4,0 à 6,9	Moyenne
7,0 à 8,9	Élevée
9,0 à 10,0	Critique

Le score dit à quel point la faille est dangereuse en général, pas pour ton organisation : une faille critique sur un logiciel que tu n'utilises pas ne te concerne pas, une faille moyenne sur ton VPN exposé à Internet est urgente. Le référentiel du BTS demande que « les failles potentielles [soient] identifiées grâce à une activité de veille sur les vulnérabilités ». En pratique, la veille s'appuie sur :

les avis et alertes du CERT-FR, l'équipe de réponse aux incidents de l'ANSSI : un avis signale une faille et son correctif, une alerte une faille activement exploitée ;
le catalogue KEV (Known Exploited Vulnerabilities) de l'agence américaine CISA, qui liste les failles réellement exploitées ;
les bulletins de sécurité des éditeurs (Microsoft publie les siens chaque deuxième mardi du mois) ;
l'inventaire du parc : sans liste à jour des logiciels et de leurs versions, impossible de savoir si une faille te concerne (cours GLPI et gestion de parc).

Les acteurs et les référentiels à connaître

Acteur ou référentiel	Rôle
ANSSI	Agence nationale de la sécurité des systèmes d'information : publie guides et recommandations, accompagne les opérateurs critiques
CERT-FR	Centre de réponse aux incidents de l'ANSSI : avis, alertes, bons réflexes en cas d'intrusion
Cybermalveillance.gouv.fr	Dispositif d'assistance aux victimes (particuliers, entreprises, collectivités), avec le numéro 17Cyber
CNIL	Autorité de protection des données : reçoit les notifications de violations de données personnelles
Guide d'hygiène informatique de l'ANSSI	42 mesures de base, de l'inventaire aux sauvegardes : la référence pour juger la sécurité d'une PME
CIS Benchmarks	Guides de configuration sécurisée, système par système (Windows Server, Debian, Cisco IOS…)
ISO/IEC 27001 et 27002	Normes internationales du système de management de la sécurité de l'information et de ses mesures (version 2022)
Directive NIS 2	Directive européenne qui impose des mesures de sécurité et la notification des incidents à des milliers d'entités (chapitre 14)

Ces référentiels servent à l'E7 quand une question te demande de vérifier la conformité d'une configuration : le sujet te donne un extrait de recommandations de l'ANSSI, tu dis pour chacune si elle est respectée, preuve à l'appui, et tu proposes une correction pour celles qui ne le sont pas (sujet 2026).

Pour aller plus loin. Les bases communes aux deux options (DICP, attaques, hygiène) sont dans le cours Cybersécurité : les fondamentaux, et la démarche d'analyse des risques qui justifie chaque mesure dans le cours Analyse de risques.