Accueil/Réseaux & Systèmes /Chapitre 14 /Exercices corrigés bonus CNED — hors programme

Cybersécurité — exercices

Les activités des missions CNED, reprises et corrigées : raisonner comme un défenseur, pas réciter des définitions.

🎯

Ce qui est évalué

Ces missions ne demandent pas de « savoir par cœur » mais de justifier : pourquoi ce chapeau, quel pilier CID est touché, quelle information une annonce trahit. Une bonne réponse dit toujours « parce que… ».

01Classer les attaquants

1À quel chapeau ? Facile

Classez chaque comportement en White, Grey ou Black Hat, et justifiez.

  1. « Je recherche des vulnérabilités dans des serveurs sur Internet pour le challenge et pour aider. »
  2. « Avec l'autorisation du RSI, je recherche les failles du réseau de mon entreprise. »
  3. « Mon but est de revendre des données sur le dark web. »
  4. « J'ai exploité les vulnérabilités de l'ordinateur de mon collègue pour dérober ses mots de passe. »
✅ Correction
ChapeauPourquoi
1Grey Hat Bonne intention (« pour aider ») mais aucune autorisation : il n'a pas le droit d'être sur ces serveurs
2White Hat Il agit avec l'autorisation du RSI, dans un cadre — c'est du pentesting légitime
3Black Hat Intention purement malveillante et lucrative
4Black Hat Vol de mots de passe d'un collègue, sans droit : atteinte volontaire
⚠️ Le piège est le n° 1

On est tenté de le classer « blanc » parce qu'il veut « aider ». Mais le critère n'est pas l'intention seule : c'est l'autorisation. Sans mandat, même une bonne intention reste illégale → gris. Comparez avec le n° 2, qui dit la même chose mais avec l'accord du RSI.

02Appliquer la triade CID

2Quel pilier est en jeu ? Moyen

Pour chaque situation, dites quel(s) pilier(s) — Confidentialité, Intégrité, Disponibilité — est concerné, et par quelle mesure on le protège.

  1. On veut empêcher un employé de lire les fiches de paie des autres.
  2. On veut être sûr qu'un fichier téléchargé n'a pas été altéré en route.
  3. Le site de vente doit rester accessible pendant les soldes, malgré l'affluence.
  4. Un serveur Linux ne doit pas être modifié à l'insu de l'administrateur.
✅ Correction
PilierMesure
1Confidentialité Chiffrement, contrôle d'accès (droits Linux, ACL)
2Intégrité (Data Integrity) Comparaison du condensé MD5 / CRC, signature numérique
3Disponibilité Redondance (serveurs, liens), répartition de charge, PRA
4Intégrité (System Integrity) Anti-malware, surveillance de l'intégrité du système
🧰 Vérifier une empreinte MD5 en pratique
# l'éditeur publie l'empreinte attendue à côté du fichier
md5sum  fichier-telecharge.iso
# on compare la sortie à l'empreinte annoncée :
#   identiques   → le fichier est intègre
#   différentes  → il a été corrompu ou falsifié, on ne l'utilise pas

03Conformité RGPD

3Le formulaire du site est-il conforme ? Moyen

L'entreprise « Le nouveau pêcheur de l'Aude » demande à ses clients de créer un compte pour acheter en ligne.

  1. La RGPD s'applique-t-elle ici ? Justifiez.
  2. Citez trois droits que les clients ont sur leurs données.
  3. Citez trois mesures de sécurité à mettre en place.
  4. Que risque l'entreprise si elle ne respecte pas la RGPD ?
✅ Correction

1. Oui, pleinement. L'entreprise collecte des données directement identifiantes sur des personnes physiques (ses clients), et elle les collecte, enregistre, stocke et consulte — autant de traitements au sens du RGPD. Dès qu'il y a traitement de données personnelles, le RGPD s'applique.

2. Trois droits (parmi) : accès · rectification · effacement (droit à l'oubli) · opposition · limitation · portabilité.

3. Trois mesures (parmi) : chiffrement des données sensibles · contrôle des accès (chacun n'accède qu'à ce qui le concerne) · mots de passe robustes · sauvegardes · mises à jour · traçabilité · recueil du consentement et mention d'information sur le formulaire.

4. Les sanctions. La CNIL peut infliger une amende jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial (le plus élevé des deux), en plus de mises en demeure et d'une atteinte à la réputation.

🌍 La réponse attendue à la mission

La mission demande un mail à la responsable indiquant si le site respecte les recommandations de la CNIL, avec des améliorations. Bonnes pistes concrètes : rendre le consentement libre (cases non pré-cochées), afficher la finalité et la durée de conservation, ne collecter que le strictement nécessaire (minimisation), et prévoir un moyen simple d'exercer ses droits.

04Réagir à une attaque

4Un écran de rançon s'affiche Moyen

Brice vous appelle en urgence : son écran affiche un message réclamant une rançon.

  1. Établissez la procédure de prise en charge, étape par étape.
  2. De quel type de ransomware s'agit-il, sachant que le poste a dû être « complètement effacé et réinstallé, les documents perdus » ?
  3. Comment le ransomware a-t-il pu arriver sur le poste de Brice ?
  4. Citez trois mesures pour éviter que cela se reproduise.
✅ Correction

1. La procédure (réflexes ANSSI) :

  1. Déconnecter le poste du réseau (câble retiré, Wi-Fi coupé) pour stopper la propagation ;
  2. ne pas éteindre, ne rien modifier — préserver les traces ;
  3. ne plus rien connecter au réseau ;
  4. alerter le service / prestataire informatique ;
  5. côté direction : notifier la CNIL, déposer plainte, activer une cellule de crise, préparer la communication.

2. Un ransomware chiffrant. La perte définitive des fichiers (poste effacé, documents perdus) est la signature d'un chiffrant : les données avaient été rendues illisibles. Un bloquant, lui, ne fait que verrouiller l'écran.

3. Le scénario le plus probable (fiche 13 de l'ANSSI, investigation numérique) : Brice a ouvert une pièce jointe piégée ou cliqué sur un lien frauduleux dans un courriel d'hameçonnage. Le code malveillant s'est exécuté et a chiffré ses fichiers.

4. Trois mesures (fiche 18, tirer les leçons) :

  • Sensibiliser et former les employés (reconnaître un hameçonnage) ;
  • sécuriser techniquement : antivirus à jour, mises à jour, filtrage des pièces jointes, moindre privilège ;
  • politique de sauvegarde solide : sauvegardes fréquentes, déconnectées et testées, pour restaurer sans payer.
⚠️ Ne jamais éteindre, ne jamais payer

Deux erreurs classiques : éteindre le poste (on perd les traces en mémoire vive) et payer la rançon (aucune garantie de récupérer les données, et on finance le crime). On isole, on préserve, on restaure depuis les sauvegardes.

05L'OSINT sur une offre d'emploi

5Que trahit cette annonce ? Exigeant

Voici un extrait d'une offre d'emploi trouvée sur un site de recrutement. En tant que pentester (mandaté), relevez toutes les informations utiles à la compréhension du réseau de l'entreprise.

ADMINISTRATEUR SYSTÈME ET RÉSEAUX H/F — équipe de 6 personnes,
rattaché au Responsable opérations basé à Montpellier.

Qualifications :
  · Maîtrise Windows Server, VMware, AD, ADFS, Azure AD, O365
  · Migrations Cloud Azure et O365
  · Capacité à scripter (PowerShell)
  · Sauvegarde type Veeam
  · Pare-feu Stormshield
  · ITSM type GLPI
  · Réseau LAN/WAN/Wifi, patch management
  · Norme ISO 27001 appréciée ; CCNA, CCNP, ITIL un plus
✅ Correction
Information trahieCe que l'attaquant en tire
Windows Server + Active Directory + ADFS Environnement Microsoft avec annuaire centralisé → cibles d'attaques AD connues (Kerberoasting, etc.)
Azure AD / O365 / migrations cloud Surface d'attaque dans le cloud, points d'authentification exposés
VMwareInfrastructure virtualisée → vulnérabilités hyperviseur connues
Pare-feu Stormshield Marque précise du pare-feu → on recherche ses failles publiées (CVE)
Sauvegarde Veeam Solution de sauvegarde identifiée → cible prioritaire pour un ransomware qui veut détruire les sauvegardes
GLPIOutil de gestion de parc, souvent exposé sur le web (cf. dork intitle:"GLPI")
Équipe de 6, Montpellier Taille et localisation → ingénierie sociale, ciblage géographique
PowerShell Langage de script présent → vecteur d'exécution privilégié des attaquants
🌍 La leçon de la mission 7

Une simple annonce, publique et anodine, dresse la carte technologique complète de l'entreprise — sans jamais toucher au réseau. C'est l'essence du footprinting passif : l'information est déjà là, il suffit de la lire. Côté défense, la contre-mesure est de rester générique dans les annonces : « environnement Microsoft » plutôt que la liste exacte des versions et des marques.

06Construire des Google Dorks

6Écrire la bonne requête Moyen

Écrivez le Google Dork correspondant à chaque objectif.

  1. Trouver uniquement des fichiers PDF parlant de « CV ».
  2. Chercher, seulement sur le site it-connect.fr, tout ce qui concerne « windows server ».
  3. Repérer les interfaces de connexion GLPI référencées par Google.
  4. Vérifier si la page d'administration d'un WordPress est exposée sur exemple.fr.
✅ Correction
Google Dorks
1.  filetype:pdf CV
2.  site:it-connect.fr windows server
3.  intitle:"GLPI - Authentification"
4.  inurl:/wp-admin/ site:exemple.fr

Les opérateurs à connaître : site: (un domaine), filetype: (un type de fichier), intitle: (un mot dans le titre de la page), inurl: (un mot dans l'URL), after: (après une date), et les "guillemets" pour une correspondance exacte.

⚠️ Le but est défensif

Ces requêtes servent à vérifier ce qu'on expose soi-même. Utilisées contre autrui sans mandat, elles constituent une reconnaissance illégale. La Google Hacking Database recense ces dorks à des fins de test ; on la consulte sur son propre périmètre, en navigation privée.

07Évaluer un mot de passe

7Fort ou faible ? Exigeant

Classez ces mots de passe du plus faible au plus fort, et justifiez.

  1. 123456
  2. Aude2024
  3. P@ssw0rd
  4. jaime-la-peche-a-la-ligne-le-dimanche

Puis : combien de temps environ pour casser par force brute un mot de passe de 8 caractères composé uniquement de minuscules, à 10 milliards d'essais/seconde ?

✅ Correction

Du plus faible au plus fort : 1 < 2 < 3 < 4.

VerdictPourquoi
1. 123456Catastrophique Le mot de passe le plus courant au monde — en tête de rockyou.txt, cassé instantanément
2. Aude2024Très faible Mot devinable + année : attaque par dictionnaire ciblée (nom de l'entreprise) en quelques secondes
3. P@ssw0rdFaible A l'air complexe, mais c'est « password » avec des substitutions prévisibles — dans tous les dictionnaires de cassage
4. la phraseFort 37 caractères : même sans chiffre ni majuscule, sa longueur rend la force brute irréaliste, et ce n'est pas une phrase toute faite

Le calcul :

force brute
alphabet = 26 minuscules,  longueur = 8
combinaisons = 26^8 = 208 827 064 576  ≈ 2,1 × 10¹¹

temps = 2,1 × 10¹¹ / 10¹⁰  ≈  21 secondes

Vingt-et-une secondes. C'est pourquoi 8 minuscules ne suffisent jamais. En ajoutant majuscules, chiffres et caractères spéciaux, l'alphabet passe à 95, et 95⁸ ≈ 6,6 × 10¹⁵ → environ 8 jours. Et à 12 caractères tous types, on dépasse le million d'années.

🧰 Les deux ennemis, deux parades
AttaqueCe qui la bat
Dictionnaire (rockyou, mots, substitutions) Ne rien mettre de devinable — ni mot, ni date, ni substitution classique
Force brute (toutes les combinaisons) La longueur avant tout — chaque caractère multiplie le temps

La phrase de passe gagne sur les deux tableaux : longue et non devinable.

⚡ Les erreurs qui coûtent le plus de points

  • Classer un hacker sur l'intention seule — c'est l'autorisation qui tranche blanc/gris.
  • Confondre bloquant et chiffrant — regarder ce qui arrive aux données, pas l'écran.
  • Vouloir éteindre le poste attaqué — on déconnecte sans couper.
  • Oublier que le RGPD s'applique dès qu'il y a une donnée identifiante.
  • Croire qu'un mot de passe « compliqué » court est sûr — la longueur prime.
  • Confondre intitle: et inurl: — le titre de la page vs son adresse.

Sources exploitées

  • CNED Bloc 1 — Missions 2, 3, 4, 7 et 8 (activités et TP)
  • ANSSI — « Cyberattaque, comment réagir ? » et guide de gestion de crise (fiches 13, 18)
  • Tutoriels CNED — Maltego, déchiffrement de ZIP (John the Ripper)
  • Guide des bonnes pratiques CPME/ANSSI