QCM : Travaux pratiques de cybersécurité (28 questions)

Questions et réponses du QCM

1. Pourquoi l’accès direct à une machine virtuelle avec le compte root est-il désactivé depuis la console ou l’interface graphique ?

Parce que le compte root ne peut pas exécuter les commandes administratives du système
Parce que l’interface graphique exige un compte possédant des droits inférieurs à ceux de root
Parce que la console virtuelle ne permet pas de charger les profils des utilisateurs privilégiés
Parce que le compte root dispose de privilèges complets et augmente les risques en cas d’usage direct

Parce que le compte root dispose de privilèges complets et augmente les risques en cas d’usage direct

Explication

L’accès direct est désactivé pour limiter l’exposition d’un compte possédant tous les privilèges du système. Un compte utilisateur peut toutefois obtenir des droits administratifs ponctuels avec sudo.

2. Quelle commande permet d’exécuter une instruction avec les privilèges de root sans ouvrir une session root ?

ssh root@hôte
sudo commande
login root
su - commande

sudo commande

Explication

sudo élève les privilèges pour l’exécution d’une commande précise sans changer directement de session. À l’inverse, su - ouvre une session sous une autre identité.

3. Quelles commandes permettent respectivement de vérifier la présence d’OpenSSH et l’état du service SSH ?

dpkg -l openssh-server puis systemctl status ssh
systemctl status ssh puis dpkg -l openssh-server
ssh -V puis passwd ssh
apt remove openssh-server puis service ssh stop

dpkg -l openssh-server puis systemctl status ssh

Explication

dpkg -l openssh-server indique si le paquet serveur est présent, tandis que systemctl status ssh renseigne sur le fonctionnement du service. Les autres couples ne réalisent pas ces deux vérifications.

4. Quelle association décrit correctement les emplacements et permissions habituels des éléments SSH ?

Les clés sont dans /etc/ssh/, avec 644 pour la privée et 600 pour la publique, tandis que la configuration est dans /home/utilisateur/.ssh/
Les clés sont dans /root/.config/ssh/, avec 777 pour la privée et 755 pour la publique, tandis que la configuration est dans /var/ssh/config
Les clés sont dans /home/utilisateur/.ssh/, avec 600 pour la privée et 644 pour la publique, tandis que la configuration est dans /etc/ssh/sshd_config
Les clés sont dans /var/log/ssh/, avec 755 pour la privée et 700 pour la publique, tandis que la configuration est dans /etc/passwd

Les clés sont dans /home/utilisateur/.ssh/, avec 600 pour la privée et 644 pour la publique, tandis que la configuration est dans /etc/ssh/sshd_config

Explication

Le répertoire personnel .ssh contient les clés de l’utilisateur ; la clé privée est généralement protégée en 600 et la clé publique en 644. La configuration du serveur se trouve dans /etc/ssh/sshd_config.

5. Que contient le fichier /home/etusio/.ssh/known_hosts ?

La clé privée utilisée pour authentifier l’utilisateur local
Les mots de passe chiffrés des comptes autorisés à se connecter
La liste des commandes exécutées par les sessions SSH précédentes
Les empreintes des clés publiques des serveurs déjà contactés

Les empreintes des clés publiques des serveurs déjà contactés

Explication

known_hosts conserve les empreintes associées aux clés publiques des serveurs rencontrés par le client. Il ne contient pas la clé privée de l’utilisateur, qui sert à l’authentification.

6. Que se produit-il lorsqu’un client SSH se connecte pour la première fois à un serveur ?

SSH désactive la vérification de l’hôte jusqu’à la prochaine modification du mot de passe
SSH signale que l’hôte n’est pas encore authentifié et l’acceptation enregistre son empreinte
SSH refuse toute connexion jusqu’à ce qu’une session root soit ouverte sur le serveur
SSH remplace automatiquement la clé privée du client par celle fournie par le serveur

SSH signale que l’hôte n’est pas encore authentifié et l’acceptation enregistre son empreinte

Explication

Lors de la première connexion, le client ne possède pas encore l’empreinte du serveur et demande une confirmation. L’acceptation ajoute cette empreinte à known_hosts pour les connexions suivantes.

7. Que signifie une erreur SSH signalant que la clé du serveur a changé, et quelle action peut suivre une vérification ?

Le mot de passe utilisateur est arrivé à expiration ; il faut supprimer le compte distant de la configuration SSH
La connexion utilise un port fermé ; il faut modifier l’adresse MAC du client pour actualiser l’hôte
La modification peut révéler une attaque MITM ; après vérification, l’entrée correspondante peut être supprimée de known_hosts
Le serveur a perdu son service SSH ; il faut remplacer la clé privée du client avant toute nouvelle tentative

La modification peut révéler une attaque MITM ; après vérification, l’entrée correspondante peut être supprimée de known_hosts

Explication

Un changement de clé peut signaler qu’un tiers intercepte la connexion, même si une modification légitime du serveur est aussi possible. Après avoir vérifié cette modification, supprimer l’ancienne entrée de known_hosts permet de rétablir la connexion.

8. Quelle distinction décrit correctement l’authentification par clé et l’authentification par mot de passe ?

La première utilise un secret partagé, tandis que la seconde distribue une paire publique-privée
La première exige une session root, tandis que la seconde fonctionne avec un compte utilisateur standard
La première stocke les mots de passe dans known_hosts, tandis que la seconde vérifie une empreinte de serveur
La première utilise une paire publique-privée, tandis que la seconde repose sur un secret partagé

La première utilise une paire publique-privée, tandis que la seconde repose sur un secret partagé

Explication

L’authentification par clé s’appuie sur une clé publique et une clé privée, cette dernière devant rester secrète. L’authentification par mot de passe repose sur la connaissance commune d’un secret.

9. Quelle situation correspond à une attaque de l’homme du milieu ?

Un client établit une connexion chiffrée directe avec un serveur après vérification de son empreinte
Un attaquant relaie une communication entre deux parties et peut en modifier le contenu sans être détecté
Un administrateur consulte les journaux réseau après la fin d’une connexion autorisée
Un observateur capture localement des paquets sans s’interposer entre les deux parties communicantes

Un attaquant relaie une communication entre deux parties et peut en modifier le contenu sans être détecté

Explication

Une attaque MITM implique une interposition active : l’attaquant fait transiter la communication et peut la modifier à l’insu des interlocuteurs. Une simple écoute locale ne constitue pas nécessairement un relais entre les deux parties.

10. Quelles informations les commandes d’analyse réseau peuvent-elles révéler sur un réseau ?

Les règles métiers des applications et les identités des administrateurs système
Les hôtes actifs, les ports ouverts et les services associés à ces ports
Les permissions des fichiers personnels et le contenu des répertoires utilisateurs
Les clés privées des utilisateurs, les mots de passe et les phrases de chiffrement

Les hôtes actifs, les ports ouverts et les services associés à ces ports

Explication

L’analyse réseau peut identifier les adresses IP actives, les ports accessibles et les services qui y répondent. Elle ne fournit pas directement les secrets privés ni les permissions des fichiers locaux.

11. Quel est le rôle de l’activation du routage dans une attaque MITM ?

Elle associe les adresses IP aux adresses MAC afin de falsifier les réponses ARP
Elle permet à la machine de l’attaquant de faire transiter les paquets entre le client et le serveur
Elle analyse les ports ouverts afin de sélectionner un service vulnérable du serveur
Elle chiffre les paquets afin que le client ne puisse pas vérifier l’identité du serveur

Elle permet à la machine de l’attaquant de faire transiter les paquets entre le client et le serveur

Explication

Le routage permet à la machine intermédiaire de transmettre les paquets entre le client et le serveur. L’ARP Spoofing joue un rôle distinct en redirigeant les paquets vers cette machine.

12. Quel mécanisme décrit le mieux l’ARP Spoofing ?

La création d’un tunnel chiffré entre le client et le serveur distant
La modification des routes Internet pour contourner le serveur DNS
L’envoi de messages ARP falsifiés pour rediriger le trafic vers l’attaquant
L’injection de requêtes HTTP afin de remplacer une page légitime

L’envoi de messages ARP falsifiés pour rediriger le trafic vers l’attaquant

Explication

L’ARP Spoofing falsifie les associations entre adresses IP et adresses MAC afin d’attirer le trafic vers la machine de l’attaquant. Le routage des paquets interceptés intervient ensuite et ne définit pas l’ARP Spoofing lui-même.

13. Dans une redirection de ports destinée à intercepter une connexion SSH, quel rôle joue le port 2222 ?

Il accueille l’écoute de l’outil ssh-mitm après la redirection du trafic
Il sert de port d’administration du serveur avant l’interception réseau
Il identifie le port réservé aux requêtes ARP envoyées par l’attaquant
Il correspond au port SSH standard utilisé par le client pour se connecter

Il accueille l’écoute de l’outil ssh-mitm après la redirection du trafic

Explication

Le trafic destiné au port SSH 22 est redirigé vers le port 2222, sur lequel ssh-mitm écoute. Le port 22 reste le port SSH visé, et non le port d’écoute de l’outil d’interception.

14. Que révèle la comparaison des caches ARP du client et du serveur avec les associations réelles ?

Le serveur a remplacé son adresse IP par celle du client distant
Les caches ont été modifiés pour associer le trafic à l’attaquant
Les caches sont restés conformes aux associations IP-MAC légitimes
Le client a transformé les paquets interceptés en requêtes DNS

Les caches ont été modifiés pour associer le trafic à l’attaquant

Explication

Une divergence entre les caches ARP observés et les associations réelles indique une modification destinée à rediriger le trafic vers l’attaquant. Cette comparaison met donc en évidence l’empoisonnement des caches.

15. Dans un scénario de DNS Spoofing combiné à un ARP Poisoning, quelle séquence permet au client de recevoir le site pirate ?

L’attaquant installe un correctif DNS, bloque la passerelle réelle, puis restaure le contenu du site original
L’attaquant modifie le pare-feu du client, désactive Apache2, puis envoie le site depuis le serveur légitime
L’attaquant héberge une copie avec Apache2, devient passerelle du trafic, puis redirige le client vers cette copie
L’attaquant intercepte le trafic avec un serveur FTP, change le port SSH, puis transmet la page au client

L’attaquant héberge une copie avec Apache2, devient passerelle du trafic, puis redirige le client vers cette copie

Explication

Apache2 héberge la copie modifiée du site, tandis que l’ARP Poisoning permet à l’attaquant de se placer comme passerelle du trafic. Le client est alors redirigé vers la copie pirate plutôt que vers le site légitime.

16. Quelle combinaison de mesures contribue à limiter une attaque de redirection réseau ?

Remplacer les mises à jour par une surveillance ponctuelle et ouvrir les ports nécessaires sans contrôle
Conserver les services actifs, réutiliser les mots de passe et laisser les communications sans filtrage
Installer un site miroir, modifier les caches ARP et laisser les systèmes vulnérables pour observer l’attaque
Mettre à jour les systèmes, désactiver les services inutiles, renforcer les mots de passe et configurer les pare-feux

Mettre à jour les systèmes, désactiver les services inutiles, renforcer les mots de passe et configurer les pare-feux

Explication

La réduction du risque repose notamment sur les mises à jour, la désactivation des services inutiles, des mots de passe forts et des pare-feux correctement configurés. Une mise à jour corrige des failles, tandis qu’un pare-feu contrôle les communications réseau.

17. Quelle conséquence une faille critique de VNC Server peut-elle permettre à un attaquant ?

Injecter des requêtes via le connecteur AJP de Tomcat
Modifier les associations ARP du réseau sans établir de connexion
Héberger automatiquement une copie du site avec Apache2
Se connecter à distance au système sans fournir d’authentification

Se connecter à distance au système sans fournir d’authentification

Explication

Une faille critique de VNC Server peut permettre une connexion distante sans authentification. L’hébergement Apache2, l’injection AJP et la modification ARP correspondent à d’autres mécanismes d’attaque.

18. Quel énoncé décrit correctement la vulnérabilité Ghostcat d’Apache Tomcat ?

Elle falsifie les associations IP-MAC afin de faire passer l’attaquant pour la passerelle réseau
Elle crée un fichier dans un répertoire FTP après l’exécution d’une commande distante
Elle permet de contourner l’authentification VNC en redirigeant les connexions vers le port SSH 22
Elle permet d’injecter des requêtes malveillantes via AJP et peut être exploitée avec un module Metasploit adapté

Elle permet d’injecter des requêtes malveillantes via AJP et peut être exploitée avec un module Metasploit adapté

Explication

Ghostcat concerne l’injection de requêtes malveillantes via le connecteur AJP d’Apache Tomcat et peut être exploitée avec le module Metasploit indiqué. La falsification ARP, l’accès VNC et la création de fichiers FTP relèvent d’autres scénarios.

19. Qu’est-ce qu’un exploit en sécurité informatique ?

Une action malveillante exécutée après l’accès au système
Un paramètre qui désigne l’adresse IP de la cible
Un fichier créé pour vérifier le contenu d’un répertoire FTP
Un code qui tire parti d’une faille de sécurité

Un code qui tire parti d’une faille de sécurité

Explication

Un exploit est un code conçu pour tirer parti d’une vulnérabilité et obtenir un effet ou un accès. L’action réalisée après cette étape relève du payload, tandis que l’adresse cible est indiquée par un paramètre comme RHOSTS.

20. Quel rôle joue un payload lors de l’exploitation d’une faille ?

Il effectue une action malveillante après que la faille a été exploitée
Il indique le port réseau utilisé par le serveur cible
Il compare les associations IP-MAC du client et du serveur
Il identifie la vulnérabilité avant toute tentative d’exploitation

Il effectue une action malveillante après que la faille a été exploitée

Explication

Le payload constitue la partie du code qui réalise l’action malveillante après l’exploitation de la faille. L’exploit sert à tirer parti de la vulnérabilité et à obtenir l’accès, ce qui le distingue du payload.

21. Dans un module d’exploitation FTP, que désignent respectivement RHOSTS et RPORT ?

Le répertoire distant et le nom du fichier à créer
L’adresse IP de la cible et le port réseau de la cible
Le port réseau de la cible et l’adresse IP de l’attaquant
Le mot de passe administrateur et le service à désactiver

L’adresse IP de la cible et le port réseau de la cible

Explication

RHOSTS indique l’adresse IP de la cible, tandis que RPORT indique le port utilisé par cette cible. Une backdoor désigne par ailleurs un accès secret au système, et non un paramètre réseau.

22. Quel scénario décrit le mieux une attaque de typosquattage ?

Un logiciel chiffre les fichiers d’un utilisateur avant de demander une rançon
Un équipement local redirige le trafic réseau vers la machine de l’attaquant
Un message persuade un employé de communiquer un code d’accès par téléphone
Un faux site imite un site populaire pour recueillir les identifiants des visiteurs

Un faux site imite un site populaire pour recueillir les identifiants des visiteurs

Explication

Le typosquattage consiste à cloner ou imiter un site connu afin d’inciter les victimes à s’y connecter et de voler leurs identifiants. Le détournement du trafic au niveau du réseau local correspond plutôt à l’ARP Spoofing.

23. Quelle mesure permet à une organisation de réduire préventivement le risque de typosquattage ?

Enregistrer des domaines similaires et surveiller les domaines suspects
Concentrer la protection sur le chiffrement des communications sans former les utilisateurs
Publier les identifiants des employés sur une page de vérification interne
Remplacer les marque-pages des internautes par des liens reçus par courriel

Enregistrer des domaines similaires et surveiller les domaines suspects

Explication

L’enregistrement de domaines similaires, la surveillance des domaines suspects et la sensibilisation des utilisateurs réduisent les possibilités d’imitation frauduleuse. Les actions légales peuvent compléter cette démarche, mais elles relèvent notamment du propriétaire du site victime.

24. Quelle pratique un internaute peut-il adopter pour diminuer son exposition au typosquattage ?

Vérifier l’URL, utiliser des marque-pages et éviter les liens suspects
Désactiver les alertes du navigateur afin d’accéder plus rapidement aux pages
Se fier à l’apparence du site sans examiner son nom de domaine
Suivre les liens reçus, puis confirmer l’adresse après avoir saisi ses identifiants

Vérifier l’URL, utiliser des marque-pages et éviter les liens suspects

Explication

La vérification de l’URL, l’utilisation de marque-pages et l’évitement des liens suspects réduisent le risque de visiter un faux site. L’apparence visuelle d’une page ne suffit pas à confirmer que son domaine est légitime.

25. Que peuvent révéler des informations affichées après une injection SQL réussie ?

La configuration physique des équipements situés dans le centre de données
La vitesse de traitement du réseau et la puissance du serveur d’hébergement
La liste des logiciels installés sur l’ordinateur de chaque utilisateur
L’organisation de la base de données et les tables qu’elle contient

L’organisation de la base de données et les tables qu’elle contient

Explication

Une injection SQL peut exposer la structure de la base, notamment son organisation et les tables présentes. Cette structure décrit la manière dont les données sont organisées, et non les caractéristiques physiques du réseau.

26. Quel indice montre qu’une injection SQL a permis de contourner l’authentification ?

L’application ouvre une session protégée sans identifiants valides
Le serveur affiche une page indiquant que la connexion réseau est chiffrée
Le formulaire refuse une requête contenant des caractères spéciaux
La base de données répond avec un message signalant une erreur de syntaxe

L’application ouvre une session protégée sans identifiants valides

Explication

L’accès à une session protégée sans identifiants valides indique que le mécanisme d’authentification a été contourné. Un message d’erreur de syntaxe peut signaler une tentative mal formée, mais il ne prouve pas la réussite de l’injection.

27. Pourquoi les requêtes préparées réduisent-elles le risque d’injection SQL ?

Elles suppriment les comptes utilisateurs qui pourraient interroger la base
Elles séparent les données fournies par l’utilisateur du code de la requête
Elles chiffrent automatiquement chaque résultat avant son enregistrement en base
Elles remplacent les contrôles d’accès par une validation effectuée dans le navigateur

Elles séparent les données fournies par l’utilisateur du code de la requête

Explication

Les requêtes préparées traitent les valeurs fournies par l’utilisateur comme des données distinctes du code SQL, ce qui empêche leur interprétation comme instructions. Le chiffrement des résultats ne sépare pas, à lui seul, les données des commandes SQL.

28. Que signifie le principe de Kerckhoffs pour la conception d’un cryptosystème ?

La sécurité doit exiger que chaque utilisateur conserve une méthode de chiffrement différente
La sécurité doit dépendre du secret de la clé plutôt que du secret de l’algorithme
La sécurité doit reposer sur la dissimulation du matériel utilisé pour chiffrer les messages
La sécurité doit dépendre du secret de l’algorithme plutôt que de la gestion de la clé

La sécurité doit dépendre du secret de la clé plutôt que du secret de l’algorithme

Explication

Le principe de Kerckhoffs affirme qu’un cryptosystème doit rester sûr même si l’algorithme est connu, car la protection repose sur le secret de la clé. Faire dépendre la sécurité du secret de l’algorithme relève plutôt de la sécurité par obscurité.

Révisez avec les flashcards

Mémorisez les réponses avec 48 flashcards sur Travaux pratiques de cybersécurité.

Pourquoi l'accès root par console ou interface graphique est-il désactivé ?

Pour des raisons de sécurité.

Que permet la commande sudo ?

D'exécuter une commande avec les privilèges de root sans ouvrir une session root.

Comment vérifier la présence du serveur OpenSSH ?

Avec la commande `dpkg -l openssh-server`.

Voir les flashcards →

Approfondir avec la fiche

Consultez la fiche de révision complète sur Travaux pratiques de cybersécurité.

Voir la fiche →

Cours similaires

Programme informatique et systèmes de gestion

Réseau informatique et accès

Réseaux

Fondamentaux d’Internet et des réseaux

Réseaux

Travaux pratiques de cybersécurité

Cybersécurité

Travaux pratiques de cybersécurité

Cybersécurité

TP DNS Spoofing et contre-mesures

Cybersécurité

Crée tes propres QCM

Importe ton cours et l'IA génère des QCM avec corrections en 30 secondes.

Générateur de QCM