Chapitre 1210 minIntermédiaire
Fiches réflexes pour l'E7 SISR
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- retrouver d'un coup d'œil un port, une commande ou un code ;
- réviser les textes et les durées qui reviennent ;
- vérifier ton vocabulaire avant l'épreuve.
Les fiches réflexes de l'E7 SISR regroupent ce que tu dois savoir sans réfléchir le jour de l'épreuve : ports, commandes Cisco, codes Syslog, événements Windows, textes de loi et durées de conservation. C'est une fiche de révision, à relire la dernière semaine et la veille. Rien ici ne remplace les chapitres de méthode et de thèmes : ce sont les réflexes, pas les raisonnements.
Ports à connaître
| Service | Port | Transport |
|---|---|---|
| SSH | 22 | TCP |
| HTTP | 80 | TCP |
| HTTPS | 443 | TCP |
| DNS | 53 | UDP, TCP pour les grandes réponses |
| DHCP | 67 (serveur), 68 (client) | UDP |
| RDP (bureau à distance) | 3389 | TCP |
| SMB (partage Windows) | 445 | TCP |
| RADIUS | 1812 (authentification), 1813 (comptabilité) | UDP |
| SNMP | 161 (requêtes), 162 (traps) | UDP |
| Syslog | 514 (historique), 6514 (sur TLS) | UDP / TCP |
| NTP | 123 | UDP |
| LDAP / LDAPS | 389 / 636 | TCP |
Attaques de couche 2 et parades
| Attaque | Signature | Parade |
|---|---|---|
| Inondation de la table MAC | table pleine, port d'accès qui apprend des centaines d'adresses, diffusion générale | sécurité des ports (port-security) |
| Usurpation ARP | une MAC pour deux IP dans le cache, trafic détourné | inspection ARP dynamique + DHCP snooping |
| Faux serveur DHCP | passerelle ou DNS inattendus distribués | DHCP snooping (port de confiance vers le vrai serveur) |
| Boucle de commutation | tempête de diffusion, réseau inutilisable | STP, BPDU guard sur les ports d'accès |
Sécurité des ports : les trois réactions
| Réaction | Port coupé | Journal et trap | Compteur |
|---|---|---|---|
| protect | non | non | non |
| restrict | non | oui | oui |
| shutdown | oui | oui | oui |
Pour tracer et isoler : shutdown. Toujours compléter par snmp-server enable traps port-security pour l'alerte.
SNMPv3
auth sha <secret>: authentification de l'émetteur et intégrité du message.priv aes <secret>: confidentialité (chiffrement du contenu).- Mode
authPrivpour la supervision de sécurité. SNMPv2c = communauté en clair, à éviter. - Trap (notification spontanée) préférable à l'interrogation périodique pour alerter d'un incident.
Codes Syslog
- Priorité : PRI = facility × 8 + gravité.
- Gravités : 0 emerg, 1 alert, 2 crit, 3 err, 4 warning, 5 notice, 6 info, 7 debug.
- Facilities utiles : 0 kern, 4 auth, 10 authpriv, 16 à 23 local0 à local7.
- Sélecteur
facility.gravité: retient cette gravité et toutes les plus graves. - Cisco :
logging trap 4oulogging trap warningsenvoie les gravités 0 à 4. - Transport sécurisé : Syslog sur TLS, TCP 6514 (RFC 5425). Mode natif UDP 514 : ni fiable, ni chiffré, ni authentifié.
Commandes Cisco à reconnaître
| Commande | Mode | Effet |
|---|---|---|
service timestamps log datetime msec | configuration globale | horodatage précis des messages de journal |
logging host 192.168.20.50 | configuration globale | envoie les journaux au serveur Syslog |
logging trap warnings | configuration globale | n'envoie que les gravités 0 à 4 |
switchport port-security | interface | active la sécurité du port (port d'accès) |
switchport port-security maximum 1 | interface | une seule adresse MAC autorisée |
switchport port-security mac-address sticky | interface | mémorise la première adresse apprise |
switchport port-security violation shutdown | interface | désactive le port en cas de violation (err-disabled) |
show port-security interface Gi1/0/13 | privilégié | état du port, compteur de violations |
errdisable recovery cause psecure-violation | configuration globale | réactive le port automatiquement après un délai (à éviter si l'on veut forcer l'analyse) |
ip dhcp snooping et ip dhcp snooping vlan 10 | configuration globale | active le DHCP snooping sur le VLAN |
ip dhcp snooping trust | interface | déclare le port vers le vrai serveur DHCP de confiance |
ip arp inspection vlan 10 | configuration globale | inspection ARP dynamique sur le VLAN |
spanning-tree bpduguard enable | interface | coupe un port d'accès qui reçoit des BPDU (boucle, commutateur pirate) |
snmp-server group SUPERVISION v3 priv | configuration globale | groupe SNMPv3 en mode authPriv |
snmp-server user supervis SUPERVISION v3 auth sha … priv aes 128 … | configuration globale | utilisateur SNMPv3 : authentification SHA, chiffrement AES |
snmp-server host 192.168.20.60 version 3 priv supervis | configuration globale | destinataire des traps |
snmp-server enable traps port-security | configuration globale | trap à chaque violation de la sécurité des ports |
Événements Windows à reconnaître
| ID | Événement | Ce qu'il peut révéler |
|---|---|---|
| 4624 | ouverture de session réussie | une connexion inhabituelle (heure, poste, type de session) ; après une série d'échecs, un mot de passe trouvé |
| 4625 | échec d'ouverture de session | des essais répétés : attaque par force brute ou par pulvérisation de mots de passe |
| 4634 | fermeture de session | la durée d'une session suspecte |
| 4648 | ouverture de session avec des identifiants explicites | l'usage des identifiants d'un autre compte, fréquent lors d'un déplacement latéral |
| 4672 | privilèges spéciaux attribués à une nouvelle session | l'ouverture de session d'un compte d'administration |
| 4720 | création d'un compte d'utilisateur | un compte créé par un attaquant pour garder un accès |
| 4728 / 4732 | membre ajouté à un groupe de sécurité global / local | une élévation de privilèges : ajout à « Admins du domaine » (groupe global) ou au groupe local « Administrateurs » |
| 4740 | compte verrouillé | le seuil de verrouillage atteint après des échecs répétés |
| 1102 | journal d'audit effacé | un attaquant qui efface ses traces |
Type d'ouverture de session : 2 au clavier, 3 par le réseau, 10 par le bureau à distance. État d'un 4625 : 0xC000006A mauvais mot de passe, 0xC0000064 compte inexistant.
Certificats et preuve
- Empreinte (SHA-256) : intégrité. Signature : intégrité, authenticité, non-répudiation. Certificat : clé publique + identité, signés par une autorité de certification.
- Symétrique (AES) : chiffre les données, rapide. Asymétrique (RSA, courbes elliptiques) : authentifie et établit la clé de session.
- Empreinte d'un certificat enregistrée sur le client : protège contre un serveur usurpé (homme du milieu).
- Chiffrer protège la confidentialité ; pour l'intégrité, il faut une empreinte, une signature ou un chiffrement authentifié.
- Messagerie : SPF (serveurs autorisés), DKIM (signature des messages), DMARC (politique none, quarantine, reject).
Durcir Active Directory
- Windows LAPS : mot de passe d'administrateur local unique et renouvelé par poste, stocké dans l'annuaire.
- Comptes d'administration dédiés, utilisés depuis des postes d'administration dédiés ; modèle en tiers.
- Groupe Protected Users pour les comptes à privilèges : pas de NTLM, pas de mise en cache des identifiants.
- Politique de mot de passe : au moins 12 caractères de 4 types (recommandation CNIL quand le mot de passe est le seul facteur), authentification multifacteur sur les accès sensibles.
- Mises à jour (WSUS, déprécié par Microsoft depuis 2024 mais toujours supporté, ou autre outil de gestion des correctifs), systèmes obsolètes migrés ou isolés.
- Audit : PingCastle (score de risque du domaine), tableau de bord d'EDR.
Sauvegarde
- 3-2-1 : 3 copies, 2 supports, 1 hors ligne. 3-2-1-1-0 : une copie hors ligne ou immuable, 0 erreur aux tests.
- Serveur de sauvegarde cloisonné, comptes d'administration hors domaine, flux chiffrés et authentifiés, restaurations testées.
- Chiffrer protège la confidentialité, pas l'intégrité (il faut un contrôle d'intégrité).
- Rétention : un paramètre par besoin (quotidiennes, mensuelles, annuelles), aligné sur les durées légales.
Wi-Fi
- Authentifier individuellement : WPA2/WPA3-Entreprise avec 802.1X et RADIUS ; WPA3-Personnel (SAE) résiste mieux au dictionnaire qu'une clé WPA2.
- PMF (802.11w) : protège les trames de gestion contre les déconnexions forcées ; obligatoire en WPA3.
- Masquage du SSID : sans effet réel. Filtrage MAC : contournable, ingérable pour des visiteurs.
- Wi-Fi public : raccordé au pare-feu, isolation des clients, portail captif, accès à Internet seulement.
Règles de filtrage : les réflexes
- Port source =
*(le client choisit un port éphémère). - Une règle par flux, dans le sens de l'ouverture ; pare-feu à états = pas de règle de retour.
- Ordre : un refus ciblé avant l'autorisation large qui l'engloberait ; « tout refuser » en dernier.
- Adresses et masques exacts, pris dans le plan d'adressage du sujet.
- Écrire la règle sur l'équipement qui voit le flux (pare-feu pour l'inter-zone distant, commutateur de niveau 3 pour l'inter-VLAN local).
Textes et obligations
| Référence | Contenu |
|---|---|
| RGPD, article 5 | minimisation, limitation des finalités et de la conservation |
| RGPD, article 32 | sécurité du traitement (mesures adaptées au risque) |
| RGPD, article 33 | notification d'une violation à la CNIL sous 72 heures |
| RGPD, article 34 | information des personnes en cas de risque élevé |
| Code pénal, article 323-1 | atteinte à un système de traitement de données (délit) |
| Code des assurances, article L12-10-1 | plainte sous 72 heures pour l'indemnisation cyber |
| Code du travail, article L1222-4 | pas de collecte par un dispositif inconnu des salariés |
| CPCE, article L34-1 | conservation des données de connexion d'un accès public (1 an) |
| Code de commerce, article L123-22 | conservation des livres comptables (10 ans) |
Durées de conservation
| Donnée | Durée |
|---|---|
| Livres et pièces comptables | 10 ans |
| Documents utiles au contrôle fiscal | 6 ans |
| Journaux d'un système d'information | 6 mois à 1 an (recommandation CNIL) |
| Données de connexion d'un accès public à Internet | 1 an |
Acronymes
- DIC(T) : disponibilité, intégrité, confidentialité (et traçabilité).
- EDR : détection et réponse sur les postes et serveurs.
- SIEM : collecte et corrélation des journaux et alertes.
- SOC : équipe qui surveille les alertes.
- IDS / IPS : détection / détection et blocage d'intrusion.
- DMZ : zone des serveurs exposés à Internet, isolée du réseau interne.
- VPN : tunnel chiffré et authentifié (IPsec, TLS, WireGuard).
- EBIOS RM : méthode d'analyse de risques de l'ANSSI.
- CERT-FR : centre gouvernemental d'alerte et de réponse aux attaques, qui publie les bulletins de vulnérabilités.
- CSIRT : équipe de réponse aux incidents de sécurité.
- MITRE ATT&CK : référentiel des tactiques et techniques d'attaque.