Triage et réponse aux incidents de sécurité

Audio automatique activé : les prochaines questions seront lues quand vous cliquerez sur Continuer.

1. 1

   Quelle situation correspond le mieux à un incident de sécurité plutôt qu’à un simple événement ?

   A Une activité confirmée qui compromet ou menace la confidentialité, l’intégrité ou la disponibilité B Toute ligne enregistrée dans le journal d’un système C Toute opération de maintenance planifiée sur un serveur
2. 2

   Le poste illustré semble subir un chiffrement malveillant qui peut se propager. Quelle action technique faut-il effectuer en priorité ?

   

   A Lancer immédiatement la restauration complète du poste B Isoler le poste du réseau tout en évitant de détruire inutilement les preuves C Attendre l’identification formelle de la famille du logiciel malveillant
3. 3

   Quelle combinaison d’informations permet le triage initial le plus fiable de l’alerte représentée ?

   

   A La couleur de l’alerte et l’ancienneté de l’ordinateur B Le nombre total d’alertes du mois et le modèle de l’écran C Les actifs touchés, les journaux associés, le contexte utilisateur et l’impact potentiel
4. 4

   Dans la scène d’investigation illustrée, quelle source de données doit généralement être acquise avant l’arrêt de l’ordinateur ?

   

   A Le contenu de la mémoire vive B L’inventaire imprimé du matériel C La copie d’archives déjà stockée hors ligne
5. 5

   Quel est l’objectif principal de la chaîne de conservation des preuves numériques ?

   A Réduire automatiquement le volume des données collectées B Documenter la collecte, les transferts, les accès et la conservation des preuves C Autoriser tous les analystes à modifier les fichiers examinés
6. 6

   Le schéma montre un serveur compromis dans un sous-réseau contenant d’autres systèmes critiques. Quelle mesure constitue un confinement à court terme adapté ?

   

   A Supprimer immédiatement tous les journaux du sous-réseau B Reconnecter le serveur directement à Internet pour observer l’attaquant C Isoler le serveur ou le segment au moyen de règles réseau contrôlées
7. 7

   Quelle action relève principalement de la phase d’éradication ?

   A Supprimer les mécanismes de persistance et corriger la vulnérabilité exploitée B Attribuer un niveau de priorité à l’alerte initiale C Rédiger le premier message destiné aux utilisateurs
8. 8

   Quelle procédure de rétablissement est la plus sûre pour les systèmes illustrés après l’éradication d’une compromission ?

   

   A Reconnecter simultanément tous les systèmes sans surveillance renforcée B Valider les systèmes, les remettre en service progressivement et surveiller toute récidive C Désactiver définitivement la journalisation afin d’améliorer les performances
9. 9

   Quel groupe d’éléments visible sur le tableau représente des indicateurs de compromission ?

   

   A Les rôles de l’équipe, les horaires d’astreinte et les coordonnées internes B Les objectifs de disponibilité, les coûts d’arrêt et les délais de reprise C Une empreinte de fichier malveillant, un domaine de commande et une clé de persistance
10. 10

    Qu’est-ce qu’un faux positif lors du traitement des alertes ?

    A Une activité légitime signalée à tort comme malveillante B Une attaque réelle qui n’a généré aucune alerte C Un incident confirmé dont l’impact est volontairement sous-estimé
11. 11

    À quoi sert principalement un playbook de réponse aux incidents ?

    A À remplacer tout jugement humain pendant une crise B À formaliser les actions, décisions, rôles et escalades pour un scénario donné C À conserver les mots de passe personnels des analystes
12. 12

    Quel facteur doit peser le plus dans l’attribution de la gravité d’un incident ?

    A La longueur du nom donné à l’alerte B Le nombre d’analystes présents au moment de sa détection C L’impact métier potentiel, la portée et la criticité des actifs touchés
13. 13

    Dans le dispositif d’acquisition illustré, quel est le rôle du boîtier placé entre le disque examiné et la station d’analyse ?

    

    A Empêcher les écritures sur le support source pendant son acquisition B Effacer les secteurs considérés comme suspects C Accélérer le disque en modifiant son système de fichiers
14. 14

    Quelle pratique de communication est la plus appropriée pendant un incident majeur ?

    A Diffuser immédiatement toutes les hypothèses non vérifiées à l’ensemble du personnel B Centraliser les messages, adapter les informations aux destinataires et faire valider les communications sensibles C Interdire toute communication jusqu’à la clôture définitive de l’incident
15. 15

    Quel résultat rend une réunion de retour d’expérience réellement utile ?

    A Une liste de reproches individuels sans analyse du processus B La suppression des données qui révèlent des difficultés opérationnelles C Un plan d’amélioration avec actions, responsables, priorités et échéances
16. 16

    Que mesure le temps de présence, souvent appelé « dwell time », dans le contexte d’une intrusion ?

    A La durée entre le début de la compromission et sa détection B La durée nécessaire pour rédiger le rapport final C La durée de conservation contractuelle des sauvegardes
17. 17

    Qu’est-ce qui caractérise un exercice de réponse aux incidents sur table ?

    A Une attaque non annoncée exécutée sur les systèmes de production sans garde-fous B Une discussion guidée autour d’un scénario simulé afin de tester décisions, rôles et procédures C Un audit limité au comptage des équipements informatiques