Opération Confinement

Avant tout : lis cet encadré

Le décor : la salle GSB d'hier

Rappel de la veille : vous avez mis en production le réseau de la salle. 6 îlots, un réseau 192.168.100.0/24, et chaque îlot avec son sous-réseau /27. Aujourd'hui, GSB fait tourner une appli métier sur ces postes et un responsable sécurité vous pose la question qui fâche :

Votre réponse, à la fin de la séance : une démonstration chiffrée (la courbe de contagion), un arbre d'infection reconstitué, et un plan de confinement à trois barrages. On y va par étapes.

Comment avancer en autonomie

Tu travailles seul ou en binôme sur ton poste, et par îlot pour les parties en réseau. Le prof passe aider, il ne fait pas la leçon. Pour t'en sortir sans lui :

• Lis l'encadré avant de taper. Chaque commande est expliquée mot à mot juste en dessous, et on te montre ce que tu dois voir à l'écran (bloc sombre à liseré vert).
• Rends tes flags au fur et à mesure. Un flag = une preuve que tu as compris, pas recopié. Format : FLAG-X-<ta valeur>. Recopie la valeur dans ton compte-rendu (un simple fichier texte, ou une capture d'écran).
• Bloqué ? Regarde l'encadré « Et si… » du chapitre, puis la boîte « Erreur courante », puis la checklist « Tu es bloqué ? » en dernière page. Ensuite seulement, appelle le prof.
• Un terme en gras inconnu ? Il est défini à sa première apparition et repris dans le glossaire final.

Les 5 parties de la séance

Le vocabulaire de départ (5 mots)

Ce que tu vas apprendre

Pré-requis

• Le réseau de la salle d'hier est monté et fonctionne (chaque poste a son IP 192.168.100.x, le partage de fichiers marche).
• Tu sais ouvrir une invite de commandes Windows (touche Windows → tape cmd → Entrée). Si tu ne sais pas, c'est dans l'encadré ci-dessous.
• Tu sais où est ton Bureau et comment créer un dossier.
• Aucune connaissance de code requise : on part de zéro sur le .bat.

Partie 1 — Reconnaissance

Qui est là ? Dresser l'inventaire du réseau

Avant de se défendre, il faut savoir ce qu'on protège et ce qu'un attaquant verrait. C'est la reconnaissance : la première chose que fait un ver (et un auditeur) — faire la liste des machines vivantes et des portes ouvertes. Cette liste, c'est la surface d'attaque : tout ce par quoi on peut entrer.

Étape 1 — Installer nmap

nmap (« Network Mapper ») est le scanner de réseau de référence : il envoie de petits paquets et déduit qui répond et quels services écoutent. C'est l'équivalent, pour le réseau, de faire le tour du bâtiment en notant quelles portes existent et lesquelles sont ouvertes.

Télécharge l'installeur Windows depuis nmap.org (dossier partagé par le prof
si la salle est hors-ligne), puis lance nmap-setup.exe → Suivant → Suivant.

Vérifie que c'est en place. Ouvre une invite de commandes et tape :

nmap --version

Nmap version 7.95 ( https://nmap.org )
Platform: i686-pc-windows-windows
Compiled with: ...

Étape 2 — Qui est vivant ? (balayage de découverte)

On commence par la question la plus simple : quelles machines de la salle sont allumées et sur le réseau ?

nmap -sn 192.168.100.0/24

Starting Nmap 7.95 ( https://nmap.org )
Nmap scan report for 192.168.100.11
Host is up (0.0012s latency).
Nmap scan report for 192.168.100.12
Host is up (0.0009s latency).
Nmap scan report for 192.168.100.13
Host is up (0.0011s latency).
...
Nmap done: 256 IP addresses (14 hosts up) scanned in 2.74 seconds

Étape 3 — Qui expose le partage de fichiers ? (port 445)

Hier, pour échanger des fichiers entre postes, vous avez utilisé le partage Windows. Ce partage écoute sur le port 445, le port du protocole SMB (Server Message Block, le langage de partage de fichiers de Windows). Pour un ver, un partage ouvert = une porte grande ouverte pour déposer un fichier chez le voisin. On va donc lister qui a le 445 ouvert.

nmap -p 445 --open 192.168.100.0/24

Nmap scan report for 192.168.100.12
Host is up (0.0010s latency).
PORT    STATE SERVICE
445/tcp open  microsoft-ds

Nmap scan report for 192.168.100.17
Host is up (0.0013s latency).
PORT    STATE SERVICE
445/tcp open  microsoft-ds
...
Nmap done: 256 IP addresses (6 hosts up) scanned in 3.10 seconds

Étape 4 — Ta fiche d'inventaire (à compléter)

Un auditeur ne garde pas les résultats dans sa tête : il remplit une fiche d'inventaire. Remplis la tienne à partir de tes deux scans. C'est ce document qui servira de point de départ au plan de confinement.

Questions guidées (réponds dans ton compte-rendu) :

1. Combien de machines vivantes au total ? Combien exposent le partage (445) ?
2. Une machine peut-elle être vivante mais sans 445 ouvert ? Qu'est-ce que ça veut dire pour un ver qui n'entre que par le 445 ?
3. Si tu devais réduire la surface d'attaque d'une seule action, laquelle ferais-tu en priorité, et sur quelles machines ?

Partie 2 — La charge (inoffensive)

Coder la « charge » : un programme témoin

Un ver, c'est deux choses : un moyen de se déplacer (on le jouera à la main en partie 3) et une charge utile (payload) : ce qu'il fait en arrivant. Les vrais vers chiffrent, volent, détruisent. Nous, non. Notre charge est un simple témoin : elle écrit un fichier INFECTE.txt sur le Bureau et ajoute une ligne dans un journal. Rien d'autre. Comme un tampon « vu » sur un dossier.

C'est quoi un fichier .bat ?

Un fichier .bat (« batch », ou « fichier de lot ») est un fichier texte qui contient une liste de commandes Windows, exécutées de haut en bas quand on double-clique dessus. C'est le plus simple des « programmes » sous Windows : pas de compilation, juste du texte. Analogie : une recette de cuisine — une suite d'instructions que la machine suit dans l'ordre.

Étape 1 — Créer le fichier

1. Sur ton Bureau, clic droit → Nouveau → Document texte.
2. Renomme-le charge.bat (attention : l'extension doit devenir .bat, pas .txt). Si Windows garde .txt, affiche les extensions : Explorateur → Affichage → coche « Extensions de noms de fichiers ».
3. Clic droit sur charge.bat → Modifier (ou « Ouvrir avec → Bloc-notes »). Ne double-clique pas : ça l'exécuterait au lieu de l'éditer.

Étape 2 — Écrire la charge, ligne par ligne

On construit le programme par morceaux, chacun expliqué. Recopie tout dans le Bloc-notes, puis on détaille.

@echo off
title Charge GSB - demonstration inoffensive
set "QUI=%~1"
if "%QUI%"=="" set "QUI=inconnu"
echo   MACHINE MARQUEE (demonstration pedagogique)
echo   Marquee par : %QUI%  sur %COMPUTERNAME%  le %date% a %time%
echo Ce script n'endommage rien : il ecrit juste un fichier temoin.
> "%USERPROFILE%\Desktop\INFECTE.txt" echo Marquee par %QUI% le %date% %time% sur %COMPUTERNAME%
>> "%USERPROFILE%\Desktop\journal-epidemie.txt" echo %date% %time% ; %COMPUTERNAME% ; par %QUI%
pause

Maintenant, chaque ligne :

Étape 3 — Tester SUR TA machine

Enregistre (Ctrl+S). Ouvre une invite de commandes, place-toi sur le Bureau et lance la charge en te donnant un nom d'auteur :

cd %USERPROFILE%\Desktop
charge.bat patient-zero

  MACHINE MARQUEE (demonstration pedagogique)
  Marquee par : patient-zero  sur PC-ILOT1-03  le 07/10/2026 a 14:12:40,31
Ce script n'endommage rien : il ecrit juste un fichier temoin.
Appuyez sur une touche pour continuer...

Va voir ton Bureau : deux fichiers sont apparus, INFECTE.txt et journal-epidemie.txt. Ouvre-les : la trace est là.

Étape 4 — Debug : la charge cassée du collègue

Un camarade t'envoie sa version, charge-bug.bat. Lancée sans argument, elle plante. Voici sa ligne de garde-fou :

if %QUI%=="" set "QUI=inconnu"

Lancée sans argument, Windows affiche :

=="" était inattendu.

Partie 3 — La contagion (à la main)

Jouer la propagation, tour par tour

C'est le cœur du TP. On va reproduire la propagation d'un ver, mais c'est vous qui faites le travail du ver, à la main, un tour à la fois. Ça rend le mécanisme visible et mesurable — et ça prouve qu'aucun code ne se recopie tout seul.

Étape 1 — Préparer la « boîte » partagée

Sur ton Bureau, crée un dossier boite. Clic droit → Propriétés → Partage → Partager… → ajoute « Tout le monde » en Lecture/écriture → Partager. (C'est exactement le partage d'hier.) Ta boîte est maintenant joignable par :

\\<ton IP>\boite

Étape 2 — Le patient zéro contamine un voisin

Le patient zéro choisit UNE cible (note son IP, donnée par le scan de la partie 1). Il dépose la charge dans la boîte de la cible :

copy charge.bat "\\192.168.100.12\boite\"

        1 fichier(s) copié(s).

Puis la cible (sa propriétaire, à la main) ouvre sa boîte et lance la charge. Règle de nommage — importante (c'est elle qui permettra de reconstruire l'arbre en Étape 4) : on se nomme <qui-m'a-infecté>--<moi>, avec un double tiret -- comme séparateur. Ici le patient zéro i3-Zero vient de contaminer i3-Karim, donc Karim lance :

cd %USERPROFILE%\Desktop\boite
charge.bat i3-Zero--i3-Karim

Étape 3 — Lancer les tours et mesurer la courbe

Maintenant, on enchaîne les tours, chronomètre en main. À chaque tour, toutes les machines infectées contaminent chacune une nouvelle. Remplis ce tableau pour ta salle :

Étape 4 — Reconstituer l'arbre d'infection (forensic)

Après coup, on fait le travail de l'analyste d'incident : « qui a infecté qui ? ». On rassemble les journal-epidemie.txt de toutes les machines (copie-les dans une boîte commune) et on reconstruit l'arbre d'infection : le patient zéro à la racine, et les flèches « a contaminé ».

Grâce à la règle de nommage de l'Étape 2, chaque ligne de journal se lit directement. Exemple de lignes rassemblées :

07/10/2026 14:20 ; PC-ILOT3-02 ; par i3-Zero--i3-Karim
07/10/2026 14:24 ; PC-ILOT3-05 ; par i3-Karim--i3-Sofia
07/10/2026 14:24 ; PC-ILOT2-01 ; par i3-Zero--i2-Lea

Exemple d'arbre. Chez toi, les noms et le nombre de niveaux dépendront de ta salle et de l'ordre des tours.

Partie 4 — Le confinement

Poser les barrages : arrêter la contagion

On a vu la contagion. Maintenant, le vrai travail de la sécurité : la casser. On va poser trois barrages, du plus local au plus structurel. Chacun fait tomber le R0 ; ensemble, ils rendent la propagation impossible.

Le ver (gauche) veut traverser la salle. Chaque barrage le ralentit ou l'arrête net.

Barrage 1 — Corriger : fermer le partage inutile (« patch »)

La leçon n°1 de la sécurité : ce qui n'existe pas ne peut pas être attaqué. La plupart des postes n'ont aucune raison de partager un dossier en écriture. On ferme.

1. Clic droit sur le dossier boite → Propriétés → Partage → Partage avancé → décoche « Partager ce dossier » → OK.
2. Vérifie côté réseau depuis un autre poste :

nmap -p 445 --open 192.168.100.0/24

Barrage 2 — Le pare-feu : bloquer le port 445

Parfois on a besoin du service en interne mais on veut le fermer aux inconnus. Le pare-feu (firewall) est le videur à la porte : il laisse passer ou bloque selon des règles. On lui dit « refuse toute connexion entrante vers le port 445 ».

netsh advfirewall firewall add rule name="Bloque-SMB-445" dir=in action=block protocol=TCP localport=445

Ok.

Teste depuis un autre poste : la copie copy charge.bat "\\...\boite\" est maintenant refusée, et le scan -p 445 voit le port filtered (filtré) au lieu de open.

Barrage 3 — Segmenter : le masque /27 (le cours d'hier !)

Voici le barrage le plus puissant, et il relie directement au réseau d'hier. Souviens-toi : toute la salle est câblée ensemble, mais vous aviez découpé en sous-réseaux /27. Un /27, c'est 32 adresses (30 machines utilisables) : un petit quartier fermé.

Les sous-réseaux d'hier (rappel) :

Mets ta machine en masque /27 (au lieu du /24 « salle entière »). Masque /27 = 255.255.255.224.

Panneau de configuration → Centre Réseau → Modifier les paramètres de la carte
→ clic droit sur ta carte → Propriétés → IPv4 → Propriétés
→ Masque de sous-réseau : 255.255.255.224

Prouve-le. Depuis un poste de l'îlot 1 (ex. .11), ping un poste du même îlot, puis un poste d'un autre îlot :

ping 192.168.100.12
ping 192.168.100.107

Réponse de 192.168.100.12 : octets=32 temps<1ms TTL=128      <-- même îlot : OK
...
Hôte de destination inaccessible.                             <-- autre îlot : BLOQUÉ

Détecter le scanner : repérer celui qui « cherche des victimes »

Barrer, c'est bien ; voir venir, c'est mieux. Un ver, avant de se propager, scanne : il envoie des demandes de connexion au port 445 vers plein d'adresses. Une machine normale ne fait pas ça. On va le repérer dans le trafic avec Wireshark (un « analyseur de paquets » : il montre tout ce qui circule sur le réseau).

Dans Wireshark, filtre d'affichage :
tcp.port == 445

Partie 5 — Étude de cas

Les vrais vers de l'histoire

Ce que vous venez de jouer à la main, de vrais vers l'ont fait tout seuls, à l'échelle de la planète. Trois cas célèbres — et à chaque fois, le même schéma que le vôtre : un port ouvert + une faille non corrigée.

1988 — le ver de Morris

2003 — Blaster (port 135)

2017 — WannaCry (SMB, port 445)

Le cas qui résume tout votre TP : il est entré par le port 445, celui que vous avez scanné.

Les trois vers côte à côte (tableau à compléter)

Relis les trois fiches et remplis ce tableau de synthèse. Il te servira de fiche de révision pour l'oral et pour l'E7.

Analyse guidée (questions)

1. Dans les trois cas, deux ingrédients reviennent toujours. Lesquels ? (indice : l'un est une « porte », l'autre un « trou ».)
2. WannaCry est entré par le même port que celui que tu as scanné en partie 1. Lequel ? En quoi ton barrage n°1 (fermer le partage) aurait protégé une machine ?
3. Blaster et WannaCry avaient tous deux un correctif disponible avant l'attaque. Qu'est-ce que ça dit sur l'importance des mises à jour dans une organisation comme GSB ?
4. Vrai ou faux : « Un réseau segmenté en /27 aurait totalement empêché WannaCry de se propager sur Internet. » Justifie (indice : /27 limite la propagation locale, pas forcément à travers des routeurs/Internet).
5. Si GSB te demandait une seule mesure prioritaire après avoir lu ces trois cas, laquelle recommanderais-tu et pourquoi ?

Le point commun — et vos trois parades

Débrief — ce que le client retient

Reprenez la question du début (« en combien de temps toute la salle tombe, et comment l'arrêter ? »). Vous pouvez maintenant répondre avec : un chiffre (la salle tombe en ~5 tours, croissance exponentielle), une preuve (l'arbre d'infection), et un plan (les 3 barrages, dont la segmentation /27 déjà présente dans votre architecture d'hier). C'est exactement ce qu'on attend d'un technicien SIO face à un incident.

Remise en état — OBLIGATOIRE avant de partir

Vérifie-toi (auto-correction)

Réponds de tête, puis vérifie avec les réponses dessous. Si tu te trompes, relis le chapitre concerné.

1. Qu'est-ce qui distingue un ver d'un virus ?
2. À quoi sert le port 445 et pourquoi est-il intéressant pour un ver ?
3. Si 1 machine en contamine 1 nouvelle par tour et que toutes rejouent, combien d'infectées au tour 4 en partant de 1 ?
4. Cite les 3 barrages du confinement.
5. Pourquoi un masque /27 (sans routeur) empêche-t-il le ver de changer d'îlot ?
6. Quelle est la différence entre > et >> dans notre charge.bat ?

Tu es bloqué ? La checklist

Glossaire

Synthèse — ce que tu sais faire maintenant

Compétences mobilisées (référentiel BTS SIO SLAM)

Bloc 3 · Cybersécurité des services informatiques

Prolongement possible : relier à C1.5 (mettre à disposition un service) côté « ce qui est exposé doit être maîtrisé », et préparer l'angle E7 (OWASP A05 — mauvaise configuration de sécurité).