QCM : Authentification Stormshield SNS — 65 questions

Explication

La théorie présente le fonctionnement et la configuration, tandis que les labs permettent leur mise en œuvre. Les labs ne remplacent pas la théorie et ne se limitent pas à l’expliquer.

Explication

La CSNA présente les gammes Stormshield Network et les principales fonctionnalités configurables depuis l’interface Web. Elle dure trois jours et ne correspond pas à la formation consacrée aux fonctionnalités avancées.

Explication

L’examen comprend 70 questions et requiert 70 % de bonnes réponses. Sa durée est d’une heure trente en français et d’une heure cinquante en anglais ; les autres valeurs proposées sont incorrectes.

Explication

Network Security protège les réseaux informatiques et industriels, alors que Data Security protège les données. Les deux gammes sont complémentaires; leurs domaines ne sont donc pas inversés.

Explication

La gamme Network Security comprend principalement les appliances physiques SN et les appliances virtuelles Stormshield Elastic Virtual Appliance. Elle protège les réseaux informatiques et industriels, tandis que Data Security protège les données ; les propositions attribuant ces produits à Data Security ou à la protection des données sont donc incorrectes.

Explication

La technologie repose sur un moteur IPS propriétaire intégré dans un noyau FreeBSD. Elle n’est donc pas fondée sur Linux, sur un moteur tiers ou sur un moteur séparé du noyau.

Explication

Stormshield Management Center est un produit sous licence qui administre de manière centralisée un parc de firewalls Stormshield physiques et virtuels. Il ne se limite pas à un seul équipement et ne gère pas les firewalls d’un autre constructeur. L’interface Web d’un firewall sert à administrer directement cet équipement.

Explication

En configuration usine, toutes les interfaces appartiennent à un bridge adressé $10.0.0.254/8$. Le serveur DHCP distribue plutôt des adresses de $10.0.0.10$ à $10.0.0.100$, et les autres adresses proposées sont incorrectes.

Explication

La restauration s’effectue en maintenant le bouton DEFAULT CONFIG pendant dix secondes; le firewall restaure ensuite sa configuration et redémarre automatiquement. RESET correspond à une autre fonction et les autres durées ou effets sont inexacts.

Explication

L’interface graphique est accessible avec un navigateur à l’adresse https://10.0.0.254/admin. En configuration usine, le mot de passe initial du compte admin est admin; les autres adresses ou mots de passe proposés sont erronés.

Explication

L’interface est divisée en quatre parties : l’en-tête, les menus, le contenu du menu sélectionné et les logs de l’interface Web. Le tableau de bord matériel et l’espace de sauvegardes ne font pas partie de cette division.

Explication

Un fichier « .na » local ou la dernière sauvegarde automatique permettent de restaurer la configuration. Le format CSV et la partition passive ne constituent pas les sources indiquées pour cette restauration.

Explication

Le mot de passe « admin » est distinct de la configuration et n’est donc ni sauvegardé ni restauré. Il n’est pas contenu dans les fichiers « .na » et ne doit pas être confondu avec les paramètres enregistrés.

Explication

Les UTM physiques disposent d’une partition principale et d’une partition de secours. La partition principale démarre normalement le firewall, tandis que la partition passive sert de copie de secours. Chaque partition peut conserver sa propre configuration et une version distincte du firmware ; la partition principale n’a donc pas le rôle de copie de secours.

Explication

Active Update gère notamment les signatures de sécurité, les bases d’URL et les données de géolocalisation et de réputation. La restauration des configurations et le remplacement des partitions de firmware relèvent d’autres fonctions.

Explication

Les journaux d’audit enregistrent les événements produits par les fonctionnalités et services du firewall. Ils peuvent être stockés sur disque dur ou, pour certains petits modèles, sur carte mémoire ; l’affichage principal d’états et de métriques relève de la supervision.

Explication

L’administration et les événements système figurent parmi les catégories de journaux. Les connexions applicatives concernent les flux traités par un plugin, tandis que les VPN, les captures réseau et les statistiques font également partie des catégories citées.

Explication

La somme des pourcentages réservés aux catégories doit rester inférieure ou égale à 100 %. Lorsque le quota d’une catégorie est atteint, la rotation automatique remplace les journaux anciens ; les autres affirmations modifient cette règle.

Explication

L’accès aux traces complètes contenant des données personnelles est restreint par défaut afin de respecter le RGPD. Le super administrateur « admin » peut y accéder, tout comme un administrateur disposant du droit « Accès aux données personnelles ». La restriction ne se limite pas aux journaux d’administration et ce droit autorise la consultation.

Explication

Un objet réseau est une valeur réseau nommée et réutilisable dans la configuration. Il peut correspondre à une adresse IP, une adresse réseau, un port, un protocole ou un événement temporel, et peut aussi être décrit. Il ne désigne pas une règle complète, une adresse IP dépourvue de nom, ni un événement temporel présent dans chaque configuration.

Explication

Les quatre familles sont les objets réseau, les objets URL, les certificats et PKI, ainsi que les services Web. Les autres propositions remplacent ou excluent à tort l’une de ces familles.

Explication

Les objets réseau comprennent notamment les noms DNS FQDN et les groupes de ports, ainsi que les machines, réseaux, protocoles et objets temps. Les certificats, les catégories d’URL et les journaux d’audit relèvent d’autres notions.

Explication

Les objets implicites sont créés automatiquement et sont en lecture seule. Les objets préconfigurés sont fournis par défaut avec des valeurs standardisées ou nécessaires au fonctionnement ; ils ne doivent pas être confondus avec les objets implicites dépendant de la configuration.

Explication

Le mode transparent regroupe les interfaces dans un bridge portant une adresse du réseau local. Les échanges restent de niveau 2, tout en demeurant soumis au filtrage et aux analyses du firewall.

Explication

Le mode avancé transforme le firewall en routeur entre plusieurs réseaux logiques, avec un adressage spécifique par interface. Le partage d’un même plan d’adressage et l’absence de routage caractérisent plutôt le mode bridge.

Explication

Une DMZ dotée d’un adressage public et partageant le bridge externe n’a pas besoin de translation pour accéder à Internet. Le réseau interne privé en nécessite une. Dans ce bridge, la communication entre les réseaux physiques et la passerelle s’effectue au niveau 2 tout en restant soumise au filtrage du firewall ; elle ne s’effectue donc pas au niveau 3. La translation n’est ainsi pas requise pour la DMZ, contrairement au réseau interne privé.

Explication

Une interface protégée accepte les paquets issus d’un réseau directement connecté ou connu par une route qui en part. Cette vérification contribue à empêcher l’usurpation d’adresses IP; les réseaux inconnus ne sont pas admis.

Explication

L’identifiant 802.1Q comporte 12 bits; les valeurs 1 à 4094 correspondent aux VLAN configurables. La valeur 0 indique l’absence de VLAN et 4095 est réservée, ce qui exclut 4095 VLAN configurables.

Explication

La route par défaut prend en charge le trafic qui ne correspond à aucune route standard, dynamique ou définie par politique. Les routes spécifiques et le routage par politique répondent à d’autres critères.

Explication

Le routage dynamique apprend automatiquement les routes grâce à un protocole. Sur les firewalls SNS, BIRD implémente RIP, OSPF et BGP; la saisie manuelle relève du routage statique, tandis qu’une règle de filtrage relève du routage par politique.

Explication

Le routage par politique associe une passerelle à une règle de filtrage, ce qui permet à l’administrateur d’orienter le flux correspondant. Les trafics sans route relèvent de la route par défaut et l’apprentissage automatique relève du routage dynamique.

Explication

La part est calculée par $\text{trafic \%} = \frac{\text{poids de la passerelle}}{\text{somme des poids}} \times 100$. Avec une somme de 10, les poids 3 et 7 donnent respectivement 30 % et 70 %.

Explication

La translation d’adresses réécrit notamment les adresses et les ports, tandis que le routage détermine le chemin du paquet. Le NAT peut donc modifier les paramètres du paquet, contrairement au routage, qui ne réécrit pas ses ports.

Explication

Les trois plages RFC 1918 sont 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16, avec respectivement 16 777 216, 1 048 576 et 65 536 adresses. Elles sont réservées aux réseaux internes, contrairement aux adresses publiques routables sur Internet.

Explication

La translation dynamique remplace l’adresse privée par l’adresse publique du firewall et peut attribuer un port de la plage 20000–59999. Le firewall mémorise la correspondance puis traduit les réponses vers la machine interne ; il ne remplace pas l’adresse IP par une adresse MAC.

Explication

La translation statique par port redirige un port public vers un serveur interne. La translation bimap dédie une adresse publique virtuelle à ce serveur et fonctionne dans les deux sens ; elle ne se limite donc pas aux connexions entrantes.

Explication

Le filtrage détermine quels flux sont autorisés ou bloqués et peut leur appliquer des inspections de sécurité. Le NAT, en revanche, réécrit les adresses ou les ports ; les deux fonctions sont donc distinctes.

Explication

Les adresses IP, les réseaux, les interfaces et les utilisateurs authentifiés font partie des critères possibles. Le service est notamment identifié par le port de destination, tandis que l’adresse IP identifie plutôt la source ou la destination du trafic.

Explication

La SPI suit l’état des connexions TCP et SCTP ainsi que des pseudo-connexions UDP et ICMP. Cette conservation d’état permet d’assurer le suivi des échanges et de détecter des anomalies ou des attaques.

Explication

L’ordre est filtrage implicite, filtrage global, filtrage local, NAT implicite, NAT global, puis NAT local. Le NAT local vient donc après le NAT implicite, et non avant lui.

Explication

La procédure comporte la saisie des paramètres dans la grille ou l’Omnibox, puis le déplacement ou la copie éventuelle des objets. Il faut ensuite sauvegarder et cliquer sur Appliquer pour activer explicitement la politique.

Explication

Passer autorise le paquet et Bloquer le bloque. Déchiffrer l’envoie vers le proxy SSL, tandis que Réinit. TCP/UDP renvoie un TCP RST pour TCP et une notification ICMP port inaccessible pour UDP.

Explication

Le niveau Standard journalise les connexions TCP ou UDP autorisées dans le journal Trafic réseau. Le niveau Avancé convient notamment aux flux directement au-dessus d’IP ou aux blocages, tandis que les niveaux d’alarme ajoutent une gravité mineure ou majeure.

Explication

Un service Web associe des adresses IP et des FQDN à un service, ce qui facilite son identification et son filtrage. Il ne se limite ni aux ports, ni au routage, ni à l’identification directe des utilisateurs.

Explication

La détection nécessite que le firewall voie les flux DNS en clair et que l’analyse DNS soit activée avec un niveau IPS ou IDS. Les flux chiffrés ou non inspectés peuvent au contraire rendre la détection incomplète ou empêcher certains résultats.

Explication

Active Update maintient la base officielle, tandis que l’administrateur importe manuellement la base personnalisée. Les modalités de gestion sont donc distinctes, et Active Update ne maintient pas la base personnalisée.

Explication

L’analyseur repère notamment les associations incohérentes, comme SMTP avec UDP, ainsi que les recouvrements de règles. Un message marqué d’une croix rouge bloque l’activation ; l’outil ne corrige pas automatiquement ces problèmes.

Explication

L’inspection applicative démarre un proxy transparent : le firewall se présente comme serveur auprès du client et comme client auprès du serveur. Cette interposition ne nécessite pas de modifier la configuration du poste client.

Explication

Le proxy HTTP utilise les catégories d’URL pour les sites HTTP. Le proxy SSL peut utiliser le SNI sans déchiffrement, tandis que le déchiffrement autorise une analyse plus approfondie ; le SNI seul ne révèle donc pas le contenu complet.

Explication

Les règles sont évaluées de haut en bas, et leur ordre détermine l’action lorsqu’une URL appartient à plusieurs catégories. L’appartenance à une catégorie ne suffit donc pas à elle seule, et la règle la plus basse correspondant à l’URL ne détermine pas nécessairement l’action finale.

Explication

Le moteur antivirus peut analyser HTTP(S), FTP, SMTP(S) et POP3(S). Pour HTTPS, SMTPS et POP3S, une règle d’inspection SSL doit d’abord déchiffrer le flux ; ils ne sont donc pas analysés directement sous leur forme chiffrée.

Explication

Le mode IPS analyse les paquets via les couches ASQ disponibles et bloque ceux présentant une anomalie. Le mode IDS détecte sans bloquer, tandis que le mode Firewall réalise très peu d’analyses.

Explication

L’ASQ propose dix profils IPS adaptables par l’administrateur. Un profil définit la configuration, alors que le mode d’inspection détermine l’action sur le paquet ; les profils ne sont donc pas eux-mêmes des modes.

Explication

Un annuaire LDAP organise les données dans une arborescence hiérarchique et LDAP fournit un protocole d’interrogation normalisé par la RFC 4510. LDAP désigne aussi le protocole d’accès ; les informations ne sont pas stockées dans une structure séquentielle et la RFC 4510 ne concerne pas spécifiquement les bases relationnelles.

Explication

Les firewalls SNS prennent notamment en charge Microsoft Active Directory et le LDAP standard. Ils prennent aussi en charge PosixAccount et LDAP interne ; PosixDirectory n’est pas le type indiqué, et les annuaires externes ne sont pas hébergés sur le firewall.

Explication

Le LDAP non chiffré utilise par défaut le port 389/tcp, tandis que le LDAPS chiffré utilise le port 636/tcp. Les ports 443/tcp et les associations inversées ne correspondent pas aux valeurs indiquées.

Explication

Les méthodes explicites redirigent vers le portail captif afin que l’utilisateur saisisse son identité. Les méthodes transparentes authentifient sans saisie explicite ; le certificat SSL relève des méthodes transparentes et la distinction repose donc bien sur le rôle de la saisie utilisateur.

Explication

La politique peut s’appuyer sur l’utilisateur ou le groupe ainsi que sur l’adresse IP source ou l’interface d’entrée. Les règles sont évaluées dans leur ordre ; elles ne sont donc ni indépendantes de cet ordre ni dépourvues de critères.

Explication

La règle se construit en définissant l’action, les utilisateurs ou groupes, les réseaux ou interfaces sources, puis les méthodes d’authentification. Les critères utilisateurs ne sont pas les seuls critères, et l’action est définie avant le choix final des méthodes.

Explication

Le portail captif est une page web embarquée sur le firewall et accessible en HTTPS depuis ses adresses IP. Il peut notamment fournir l’enrôlement, les certificats, le VPN SSL et le parrainage ; son accès ne repose donc pas sur une adresse IP externe dédiée et il n’est pas installé sur les postes.

Explication

Le firewall intercepte la requête HTTP, l’envoie vers le portail captif, puis vérifie les identifiants auprès de l’annuaire. Le site demandé n’est affiché qu’après une authentification réussie, et non avant la vérification.

Explication

Les codes TOTP dépendent du temps courant et sont renouvelés par défaut toutes les 30 secondes. Le firewall doit donc être synchronisé avec des serveurs NTP ; un TOTP n’est pas un mot de passe statique.

Explication

La mise en place consiste à ajouter la méthode Mot de passe à usage unique dans la configuration, puis à l’activer dans les règles. La première connexion sert à l’enrôlement ; les connexions suivantes demandent le code TOTP.

Explication

Les méthodes LDAP, Kerberos et RADIUS sont cumulables avec TOTP. L’agent SSO, le certificat SSL et SPNEGO ne sont pas compatibles avec l’ajout d’un code TOTP, même après l’enrôlement de l’utilisateur.

Explication

La première connexion affiche un message personnalisé et permet de scanner un QR Code ou de saisir les paramètres manuellement. L’enrôlement est validé avec le dernier code généré, et non avec un code ancien.