Épreuve blanche n° 2 : l'incident de la médiathèque

Deuxième sujet complet, même format : contexte, deux dossiers, dossier documentaire, 80 points, 4 heures sans document. Il insiste sur la couche 2, la configuration d'un commutateur, le Wi-Fi public et le RGPD. Passe-le en conditions réelles avant de lire le corrigé.

Présentation du contexte

La médiathèque intercommunale des Trois-Rivières accueille le public dans un bâtiment central et deux annexes. Elle emploie 22 agents et met à disposition des usagers des postes de consultation, un catalogue en ligne et un accès Wi-Fi public gratuit. Son réseau est géré par un agent polyvalent, appuyé par le service informatique de l'intercommunalité.

Le réseau interne (VLAN 10) relie les postes des agents, le serveur de prêt (SRV-PRET), le serveur de fichiers et l'annuaire. Un VLAN serveurs (VLAN 20) n'existe pas encore : tout est dans le VLAN 10. Le Wi-Fi public est aujourd'hui raccordé au commutateur central, avec une simple clé partagée affichée à l'accueil.

Un mardi, les agents signalent une lenteur générale qui s'aggrave : ouverture de session interminable, catalogue inaccessible. Tu interviens comme technicien de l'intercommunalité. Tu t'appuieras sur le dossier documentaire.

Dossier A — L'incident réseau (44 points)

Mission A1 — Diagnostic

Question A1.1. À partir des voyants du commutateur (document 2) et de sa table d'adresses MAC (document 3), expliquer la cause probable de la lenteur. Justifier.

Question A1.2. Une capture de trames a été faite depuis le poste 192.168.10.50 (document 4). Préciser quelles trames ne devraient pas y apparaître et ce que cela révèle sur le fonctionnement du commutateur.

Question A1.3. Deux hypothèses sont avancées : une usurpation ARP et une inondation de la table MAC. Déterminer la plus plausible. Justifier.

Question A1.4. À partir des statistiques des ports (document 5) et du schéma (document 1), identifier le port d'où vient le problème. Justifier.

Mission A2 — Urgence et priorité

Question A2.1. L'administration du commutateur n'est plus joignable. Proposer une action d'urgence et le point de blocage qu'elle résout. Justifier.

Question A2.2. L'incident était classé P2. À midi, la médiathèque doit fermer au public faute de système de prêt, un jour d'affluence. À l'aide de la matrice (document 6), réévaluer la priorité en justifiant l'impact et l'urgence.

Mission A3 — Remédiation durable

Question A3.1. Expliquer en quoi la sécurité des ports répond en partie à la demande de détecter et d'isoler un appareil qui reproduirait l'incident, et ce qui lui manque pour alerter automatiquement l'agent.

Question A3.2. Écrire, à l'aide du document 7, la configuration à appliquer sur le port identifié à la question A1.4 pour n'autoriser qu'une adresse MAC, désactiver le port en cas de violation et permettre une alerte. Expliquer le choix de la réaction.

Question A3.3. Justifier l'emploi de SNMPv3 plutôt que de SNMPv2c pour cette supervision, en citant les deux mécanismes de sécurité de SNMPv3.

Dossier B — Sécuriser le Wi-Fi public et les serveurs (36 points)

Mission B1 — Architecture

Question B1.1. Expliquer, pour chacun des trois critères de sécurité (disponibilité, intégrité, confidentialité), un problème posé par le Wi-Fi public actuel. Donner un exemple à chaque fois.

Question B1.2. Proposer une évolution de l'architecture pour isoler le Wi-Fi public et les serveurs du réseau des agents. Justifier.

Mission B2 — Portail captif et données personnelles

Question B2.1. Citer deux arguments en faveur d'un portail captif pour le Wi-Fi public.

Question B2.2. Le formulaire d'inscription au Wi-Fi (document 8) collecte plusieurs données. Pour chacune, dire si sa collecte est pertinente, au regard des finalités annoncées. Justifier.

Question B2.3. La médiathèque veut conserver les journaux de connexion du Wi-Fi public. Indiquer la durée adaptée et deux précautions à prendre pour respecter le RGPD.

Dossier documentaire

Document 1 — Schéma du réseau

Un commutateur cœur (CŒUR) relie trois commutateurs d'accès : ACC-1 (bâtiment central, postes des agents), ACC-2 (salle de consultation du public), ACC-3 (annexe). Le pare-feu relie le réseau à Internet. Liens entre commutateurs : CŒUR–ACC-1 sur le port 24 de CŒUR, CŒUR–ACC-2 sur le port 23, CŒUR–ACC-3 sur le port 22. Liens montants : port 24 d'ACC-1 et port 24 d'ACC-3 vers CŒUR, port 23 d'ACC-2 vers CŒUR. Sur ACC-2, le port 8 dessert une borne libre-service de la salle de consultation.

Document 2 — Voyants du commutateur ACC-2

• la LED d'état générale clignote en orange ;
• les LED des ports clignotent très rapidement ;
• les autres LED sont vertes fixes.

D'après la documentation : orange clignotant sur la LED d'état = anomalie ; clignotement rapide des ports = collisions nombreuses.

Document 3 — Table d'adresses MAC d'ACC-2 (extrait)

Capacité de la table : 8192 entrées. Entrées utilisées : 8192 / 8192. La table est pleine ; le commutateur ne peut plus apprendre de nouvelle association.

Document 4 — Capture de trames depuis 192.168.10.50 (extrait)

Document 5 — Nombre d'adresses MAC associées à chaque port (relevé de 10 h 15, extrait)

Les autres ports d'accès associent une ou deux adresses chacun.

Document 6 — Matrice de priorité ITIL

Document 7 — Sécurité des ports (extrait de documentation Cisco)

Commandes utiles : switchport mode access ; switchport port-security ; switchport port-security maximum <n> ; switchport port-security mac-address sticky ; switchport port-security violation {protect | restrict | shutdown}.

Activation des traps : snmp-server enable traps port-security.

Document 8 — Formulaire d'inscription au Wi-Fi public

Champs demandés : nom, prénom, adresse électronique, numéro de téléphone portable, date de naissance, adresse postale complète. Finalités annoncées : créer un accès Wi-Fi temporaire de 24 heures et respecter l'obligation d'identification des utilisateurs d'un accès public à Internet.

Corrigé du dossier A

A1.1 — Cause de la lenteur (4 points)

La table d'adresses MAC d'ACC-2 est saturée (8192 entrées sur 8192, document 3). Quand elle est pleine, le commutateur ne peut plus apprendre où se trouve une adresse de destination : il diffuse chaque trame sur tous ses ports, comme un concentrateur. Cela sature la bande passante et provoque de nombreuses collisions, d'où les voyants orange clignotants et le clignotement rapide des ports (document 2), et la lenteur générale. La cause probable est une inondation de la table d'adresses MAC (MAC flooding).

A1.2 — Trames anormales (6 points)

La capture est faite depuis 192.168.10.50. Sur un commutateur qui fonctionne, ce poste ne devrait voir que les trames qui lui sont destinées ou envoyées en diffusion. Or :

• ligne 1 (192.168.10.12 → 192.168.10.60) et ligne 3 (192.168.10.27 → 192.168.10.61) ne concernent pas 192.168.10.50 : elles ne devraient pas apparaître.

Les lignes 2 et 4 concernent bien 192.168.10.50 (source ou destination). Le fait de recevoir des trames destinées à d'autres postes confirme que le commutateur diffuse tout sur tous les ports : il fonctionne en mode dégradé de type concentrateur, à cause de la table saturée. La confidentialité du réseau est compromise.

A1.3 — Quelle attaque ? (4 points)

L'hypothèse la plus plausible est l'inondation de la table MAC. Les symptômes correspondent exactement : table pleine (8192/8192), diffusion de trames qui ne concernent pas le poste de capture, collisions massives. L'usurpation ARP détourne le trafic d'une cible vers l'attaquant (par un cache ARP falsifié) mais ne sature pas la table MAC du commutateur et ne provoque pas ce comportement de diffusion générale. Les faits désignent l'inondation MAC.

A1.4 — Port à l'origine (6 points)

Un commutateur associe une adresse MAC au port par lequel arrivent les trames qui la portent en adresse source. Les fausses adresses s'accumulent donc sur les ports qui font face à l'appareil émetteur : en les suivant, on remonte jusqu'à lui.

Il faut distinguer les liens entre commutateurs des ports d'accès. Les trames inondées traversent CŒUR, puis ACC-1 et ACC-3, avec leurs adresses sources falsifiées : chaque lien les apprend du côté d'où elles arrivent (CŒUR 23, ACC-1 24, ACC-3 24, document 5). Ces liens montrent le chemin vers la source, ACC-2, mais un lien entre commutateurs apprend normalement beaucoup d'adresses : ce ne sont pas eux qui sont en cause. Sur ACC-2, le lien montant 23 n'associe que 151 adresses, celles du reste du réseau : la source n'est pas derrière CŒUR, elle est sur ACC-2 même.

Le port ACC-2 8 associe 8 041 adresses alors qu'il dessert une seule borne libre-service (document 1) : un port d'accès ne devrait en associer qu'une ou deux. Avec les 151 adresses du lien montant, il remplit à lui seul la table d'ACC-2 (8 041 + 151 = 8 192, document 3). L'appareil à l'origine de l'incident est branché sur le port 8 d'ACC-2.

A2.1 — Action d'urgence (4 points)

L'administration du commutateur étant inaccessible, redémarrer ACC-2 en coupant puis rétablissant son alimentation. La table d'adresses MAC est stockée en mémoire vive : le redémarrage la vide, le commutateur retrouve un fonctionnement normal, au moins provisoirement. C'est une mesure temporaire : il faut ensuite débrancher l'appareil du port 8 et traiter la cause (sécurité des ports). On peut aussi, si c'est possible physiquement, débrancher directement l'appareil du port 8.

A2.2 — Réévaluation de la priorité (4 points)

Priorité initiale P2 : service fortement dégradé, mais la médiathèque fonctionne encore. Nouvelle situation : impact élevé (toute la médiathèque doit fermer au public), urgence élevée (fermeture immédiate, un jour d'affluence). L'intersection donne P1 (résolution cible 2 heures). Le niveau P2 n'est plus d'actualité.

A3.1 — Apport et limite de la sécurité des ports (4 points)

La sécurité des ports limite le nombre d'adresses MAC acceptées par port et réagit à une violation : elle prévient une nouvelle inondation (le port se bloque dès la première adresse en trop) et, selon la réaction choisie, journalise l'événement. Elle répond donc à « détecter et isoler ».

Ce qui lui manque : l'alerte automatique de l'agent. Seule, la sécurité des ports écrit dans le journal local du commutateur ; personne n'est prévenu en temps réel. Il faut la compléter par une supervision qui envoie un trap SNMP au serveur dès la violation.

A3.2 — Configuration du port (8 points)

Switch> enable
Switch# configure terminal
Switch(config)# interface GigabitEthernet0/8
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address sticky
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# exit
Switch(config)# snmp-server enable traps port-security
Switch(config)# end
Switch# copy running-config startup-config

Choix de la réaction : shutdown. C'est la seule réaction qui désactive le port, en plus de journaliser et d'envoyer un trap (document 7). Elle isole l'appareil fautif et impose une intervention de l'agent pour réactiver le port, ce qui force l'analyse de la cause avant toute remise en service. La demande étant de « détecter et isoler », shutdown est le bon choix.

A3.3 — SNMPv3 plutôt que SNMPv2c (4 points)

SNMPv2c ne protège les échanges que par une « communauté », un mot de passe qui circule en clair : il peut être capté, et les messages lus ou falsifiés. SNMPv3 ajoute deux mécanismes :

1. Authentification et intégrité (auth sha) : un code calculé avec SHA garantit que le message vient d'un émetteur autorisé et n'a pas été modifié.
2. Confidentialité (priv aes) : le contenu du message est chiffré en AES, illisible pour qui l'intercepte.

Pour superviser la sécurité du réseau, il serait incohérent d'utiliser un protocole qui expose ses propres informations : SNMPv3 en mode authPriv s'impose.

Corrigé du dossier B

B1.1 — Trois critères menacés par le Wi-Fi public actuel (6 points)

• Disponibilité : la clé étant partagée et affichée, n'importe qui, même hors de la médiathèque, peut s'y connecter et saturer la bande passante ou les adresses du serveur DHCP. Exemple : un voisin télécharge en continu, les usagers n'ont plus de débit.
• Intégrité : le Wi-Fi public étant raccordé au même réseau que les agents (VLAN 10), un appareil connecté peut atteindre le serveur de prêt et modifier des données. Exemple : un usager malveillant altère des enregistrements de prêt.
• Confidentialité : ce même appareil peut écouter le trafic interne ou atteindre le serveur de fichiers. Exemple : lecture de données personnelles d'usagers ou d'agents.

On peut ajouter la traçabilité : avec une clé partagée, aucun incident ne peut être rattaché à une personne.

B1.2 — Isoler le Wi-Fi public et les serveurs (8 points)

Créer deux VLAN supplémentaires : un VLAN serveurs (par exemple VLAN 20), où l'on déplace le serveur de prêt, le serveur de fichiers et l'annuaire, et un VLAN Wi-Fi public raccordé directement au pare-feu. Faire passer tous les flux entre VLAN par le pare-feu, avec une politique « tout interdit sauf les flux utiles ».

Justification : le Wi-Fi public, isolé derrière le pare-feu, n'a plus accès qu'à Internet ; une attaque depuis ce réseau (inondation, usurpation, écoute) reste confinée à son domaine de diffusion et n'atteint ni les postes des agents ni les serveurs ; et comme il est raccordé directement au pare-feu, il ne partage plus la table d'adresses MAC des commutateurs des agents. La séparation des serveurs limite aussi la portée d'un incident sur un poste.

B2.1 — Deux arguments pour le portail captif (6 points)

1. Identifier les utilisateurs. La médiathèque offre un accès public à Internet : elle doit pouvoir identifier qui s'est connecté (obligation de conservation des données de connexion). Le portail impose une inscription nominative et journalise les sessions, ce qu'une clé partagée ne permet pas.
2. Gérer les accès sans travail manuel. L'auto-inscription crée des comptes temporaires qui expirent seuls (ici 24 heures), sans que l'agent ait à créer et supprimer des comptes. On peut ajouter l'affichage et l'acceptation des conditions d'utilisation, et le cloisonnement (accès à Internet seulement).

B2.2 — Pertinence des données du formulaire (10 points)

Principe : minimisation (article 5 du RGPD) — ne collecter que ce qui est nécessaire aux finalités (créer un accès de 24 heures, identifier l'utilisateur).

Seuls le nom, le prénom et l'adresse électronique sont clairement justifiés. Les autres champs exposent la médiathèque à un reproche de collecte excessive.

B2.3 — Conservation des journaux (6 points)

Durée : un an pour les données de connexion d'un fournisseur d'accès public à Internet (code des postes et des communications électroniques, article L34-1).

Deux précautions RGPD :

1. Limiter l'accès et protéger les journaux : accès réservé aux personnes habilitées, journaux stockés de façon sécurisée et intègre (pas de modification possible), transmis seulement sur réquisition légale.
2. Informer les utilisateurs et supprimer à l'échéance : le formulaire indique la finalité, la durée et les droits des personnes ; les journaux sont effacés automatiquement au bout d'un an. On ne conserve que les données de connexion nécessaires, pas le détail du contenu consulté.

T'évaluer

Les points indiqués à chaque question du corrigé totalisent 80 (44 pour le dossier A, 36 pour le dossier B) ; c'est une répartition proposée pour ton entraînement, pas un barème officiel. Pour chaque question, compte tes points seulement si ta réponse nomme la notion, l'explique et s'appuie sur un document du dossier.