Réponds avant d’ouvrir la réponse : c’est l’effort de rappel qui fait retenir. Marque ensuite « Je savais » ou « À revoir », puis filtre sur « À revoir » pour la prochaine séance.
Rappel actif
Restitue de mémoire, sans support.
Donne les quatre grandes catégories d’attaques réseau du cours, avec en une phrase le but de chacune.
- Reconnaissance : découverte non autorisée de systèmes, services ou vulnérabilités (précède souvent l’intrusion).
- Accès : exploiter des failles d’authentification, FTP ou Web pour atteindre des comptes ou des données.
- Déni de service (DoS) : rendre un service indisponible en saturant ses ressources.
- Systèmes d’exploitation : exploiter les vulnérabilités d’un OS.
Pour chaque catégorie d’attaque, cite deux mesures d’atténuation du cours.
- Reconnaissance : chiffrer les données, bloquer les protocoles vulnérables, pare-feu/IPS, anti-renifleur.
- Accès : mots de passe forts, confiance minimale, cryptographie.
- DoS : pare-feu/IPS, antispoofing, QoS, segmentation, surveillance.
- OS : mises à jour, antivirus, IDS/IPS, configuration sécurisée, moindre accès.
Distingue
Deux notions proches : dis ce qui les sépare vraiment.
Attaque active et attaque passive : quelle différence, et laquelle vise d’abord la confidentialité ?
Une attaque passive se contente d’observer sans modifier (écoute, sniffing, analyse de trafic) : elle vise surtout la confidentialité et est difficile à détecter. Une attaque active modifie, injecte ou perturbe (MITM avec altération, DoS, usurpation) : elle touche intégrité et disponibilité, et laisse plus de traces.
White, black et gray hat : qu’est-ce qui les sépare, du point de vue de l’autorisation et de l’intention ?
- White hat : agit avec autorisation du propriétaire, pour corriger.
- Black hat : sans autorisation, avec intention de nuire (vol, destruction).
- Gray hat : sans autorisation préalable mais sans intention explicite de nuire ; reste hors du cadre légal même si le but est de signaler une faille.
L’autorisation sépare le white du reste ; l’intention sépare le black du gray.
Script kiddie et hacktiviste : qu’est-ce qui distingue leur niveau et leur motivation ?
Le script kiddie est un novice qui utilise des scripts prêts à l’emploi sans vraie expertise. L’hacktiviste (hacker + activiste) agit par motivation politique ou sociale. L’un se définit par le manque de compétence, l’autre par la motivation.
DoS et DDoS : quelle différence structurelle, et pourquoi le DDoS est-il plus dur à bloquer ?
Le DoS vient d’une seule source, le DDoS de plusieurs sources coordonnées (souvent un botnet). Bloquer une IP suffit contre un DoS simple ; contre un DDoS, le trafic vient de milliers d’adresses légitimes en apparence, souvent réparties dans le monde, ce qui rend le filtrage par IP inopérant.
Reconnaissance et attaque d’accès : laquelle précède l’autre, et pourquoi l’ordre compte-t-il pour la défense ?
La reconnaissance précède : elle collecte les informations (ports ouverts, services, versions) qui rendront l’accès possible. Pour la défense, gêner la reconnaissance (bloquer les ping sweeps, limiter les bannières, chiffrer) prive l’attaquant de la carte dont il a besoin, avant la tentative d’accès.
Explique pourquoi
Le mécanisme derrière la règle.
Pourquoi l’ARP spoofing est-il possible sur un réseau local, et pourquoi la victime ne « voit rien » ?
Le protocole ARP n’authentifie pas ses réponses : une machine met à jour sa table ARP sur simple annonce. L’attaquant associe sa propre MAC à l’IP de la passerelle dans la table de la victime ; le trafic passe alors par lui. La victime ne voit rien car la communication continue de fonctionner normalement, simplement détournée au passage (position idéale pour du sniffing ou du MITM).
Pourquoi un TCP SYN flood sature-t-il le serveur alors que l’attaquant n’établit jamais de vraie connexion ?
Chaque SYN (souvent avec une adresse source forgée) fait ouvrir au serveur une connexion semi-ouverte : il répond SYN-ACK et attend un ACK qui ne vient jamais (l’adresse est fausse). Ces connexions en attente remplissent la table des connexions disponibles, et les clients légitimes ne peuvent plus se connecter. La charge est sur l’état gardé par le serveur, pas sur la bande passante.
Pourquoi une attaque Smurf utilise-t-elle une adresse de diffusion et une IP source usurpée ?
L’attaquant envoie des echo ICMP à une adresse de diffusion (amplification : une requête, beaucoup de réponses) en mettant comme source l’IP de la victime. Toutes les machines du réseau répondent alors à la victime, qui croule sous les réponses qu’elle n’a pas demandées. L’usurpation dirige le flot amplifié vers la cible.
Pourquoi une vulnérabilité zero-day est-elle particulièrement dangereuse ?
Elle est inconnue ou non corrigée au moment de l’attaque : aucun correctif, aucune signature antivirus, aucune règle IDS ne la couvre encore. Les défenses réactives (patch, signatures) sont par définition en retard, d’où l’importance des défenses en profondeur et comportementales.
Cas pratique
Choisis et justifie avec les critères du cours.
Sur un réseau d’entreprise, des utilisateurs se plaignent de connexions interceptées, et tu soupçonnes de l’ARP spoofing. Comment le détecter, et quelles contre-mesures appliquer ?
Détection : une même MAC associée à plusieurs IP dans les tables ARP, ou l’IP de la passerelle qui change de MAC. Des outils surveillent ces incohérences (arpwatch).
Contre-mesures : entrées ARP statiques pour la passerelle, Dynamic ARP Inspection sur les switchs, segmentation (VLAN), et chiffrement de bout en bout (HTTPS, VPN) pour que l’interception ne livre rien d’exploitable.
Un serveur web tombe sous un TCP SYN flood. Cite trois mesures d’atténuation du cours, et dis laquelle vise directement les adresses sources forgées.
Pare-feu/IPS, QoS pour limiter le débit, surveillance, et correctifs. La mesure qui vise directement les sources forgées est l’antispoofing (filtrage des paquets dont l’adresse source ne peut pas provenir de l’interface d’entrée). Côté serveur, les SYN cookies limitent l’état gardé.
Un pentester est engagé par contrat pour tester le réseau d’un client. Quel chapeau porte-t-il, et qu’est-ce qui le distingue d’un gray hat qui testerait le même réseau de sa propre initiative ?
White hat : il agit avec l’autorisation écrite du propriétaire. Le gray hat teste sans autorisation préalable : même sans intention de nuire, il reste hors du cadre légal. L’autorisation (le contrat, le périmètre) fait toute la différence.
Trouve l'erreur
Chaque affirmation contient au moins une faute.
« Un gray hat, c’est un white hat qui a parfois de mauvaises intentions. »
Le gray hat se définit par l’absence d’autorisation, pas par l’intention : il peut vouloir signaler une faille (bonne intention) mais agir hors du cadre légal. Le white hat, lui, a toujours l’autorisation.
« Un port scan est une attaque DoS parce qu’il envoie beaucoup de paquets. »
Un port scan est une attaque de reconnaissance : il cherche à savoir quels ports sont ouverts, pas à saturer la cible. Le DoS vise l’indisponibilité par surcharge.
« Le sniffing avec Wireshark est une attaque active. »
C’est passif : il observe le trafic sans le modifier. Il devient une brique d’une attaque active seulement s’il est couplé à un détournement (ARP spoofing + MITM qui altère les données).
Classe
Range chaque élément et explique les cas limites.
Range chaque technique dans sa catégorie (reconnaissance, accès, DoS, OS) : port scan ; TCP SYN flood ; buffer overflow ; ARP spoofing / MITM ; ping sweep ; escalade de privilèges ; attaque par dictionnaire sur un mot de passe.
- Reconnaissance : port scan, ping sweep.
- Accès : ARP spoofing / MITM, attaque par dictionnaire.
- DoS : TCP SYN flood.
- OS : buffer overflow, escalade de privilèges.
Pour chaque outil du cours, dis à quoi il sert : Wireshark / tcpdump ; nslookup / whois ; Nmap ; un balayage ICMP.
- Wireshark / tcpdump : packet sniffers, capturent les paquets du réseau local.
- nslookup / whois : requêtes DNS, informations publiques sur un domaine (propriétaire, IP).
- Nmap : port scan (et détection de services, d’OS).
- balayage ICMP : ping sweep, trouver les hôtes actifs.
Classe chaque hacker comme plutôt défensif/éthique ou offensif/malveillant : white hat, black hat, red hat, nation-state, malicious insider, script kiddie.
- Éthique/défensif : white hat, red hat (contre-attaque les black hats dans un cadre éthique).
- Offensif/malveillant : black hat, nation-state, malicious insider, script kiddie.
Et si...
Prévois la conséquence.
Et si tout le trafic entre les postes et leur passerelle était chiffré (HTTPS, VPN) ? Qu’est-ce qu’un attaquant en position de MITM obtiendrait encore ?
Il verrait toujours qui parle à qui (adresses, volumes, métadonnées) et pourrait bloquer le trafic (atteinte à la disponibilité), mais pas lire ni modifier le contenu sans casser le chiffrement ou tromper la victime sur le certificat. Le chiffrement protège confidentialité et intégrité, pas la disponibilité ni les métadonnées.
Et si une entreprise applique les 10 bonnes pratiques mais oublie la sauvegarde testée (point 6) ? Contre quel type d’incident reste-t-elle démunie ?
Contre tout incident qui détruit ou chiffre les données : rançongiciel, panne matérielle, effacement accidentel. Les autres mesures réduisent la probabilité de l’incident, mais seule une sauvegarde testée (une sauvegarde non testée peut être illisible) permet de restaurer la disponibilité et l’intégrité après coup.