CompTIA Security+ (SY0-701) — Questions d'entraînement et examen blanc

La confusion ici est réelle, et elle vient du fait que le switch porte deux casquettes. Dans le vocabulaire 802.1X, il y a trois rôles : le poste de travail est le supplicant, le switch d'accès est l'authenticator et le serveur central est le serveur d'authentification. Dans le vocabulaire RADIUS, il n'y en a que deux, et le network access server, qui est ici le switch, fonctionne comme un client de RADIUS. Il transmet les informations de l'utilisateur aux serveurs désignés, puis agit selon la réponse renvoyée, ce qui signifie en pratique ouvrir le port, attribuer un VLAN ou laisser le port non autorisé.

Le même équipement est donc un serveur du point de vue du poste de travail et un client du point de vue de l'infrastructure d'authentification, et la question demande explicitement la terminologie RADIUS.

Les distracteurs correspondent aux autres rôles. Le serveur d'authentification est celui qui valide les identifiants et renvoie des attributs de configuration, ce que le switch ne fait jamais. Le supplicant est le poste de travail qui présente les identifiants. L'autorité de certification signe les certificats et se porte garante d'eux en amont, et elle ne participe pas du tout à l'échange en direct, même lorsque l'authentification par certificat est utilisée.

Conseil pour l'examen : quand une question nomme explicitement un vocabulaire, traduis l'équipement dans ce vocabulaire avant de répondre. Le même boîtier porte des noms différents en 802.1X et en RADIUS, et l'examen teste exactement cette jointure.

La Pyramid of Pain de David Bianco (2013) classe les indicateurs de menace selon la difficulté que leur changement impose aux attaquants. De bas en haut : valeurs de hachage → adresses IP → noms de domaine → artefacts réseau/hôte → outils → TTP. Les valeurs de hachage se trouvent à la base parce que modifier ne serait-ce qu'un octet dans un binaire malveillant produit un hachage complètement différent. Les attaquants peuvent recompiler, repacker ou ajouter des données inutiles pour échapper instantanément à une détection fondée sur les hachages, ce qui rend ces IOC extrêmement éphémères. À l'inverse, les TTP au sommet correspondent à des comportements fondamentaux de l'attaquant, dont la modification exige un réoutillage important. Une threat intelligence efficace oriente la détection vers les niveaux supérieurs de la pyramide, pour des défenses plus durables. Les indicateurs fondés sur les hachages sont utiles pour bloquer immédiatement, mais leur valeur défensive à long terme reste minime. Ref : Bianco, D. (2013) The Pyramid of Pain ; framework MITRE ATT&CK.

La sensibilisation des utilisateurs existe pour changer ce qu'une personne fait dans les secondes qui suivent l'arrivée d'un message suspect, donc le sujet doit être un domaine où c'est l'utilisateur qui constitue la mesure de sécurité. L'identification et le signalement du phishing, c'est exactement cela : les criminels envoient des messages conçus pour amener quelqu'un à ouvrir un lien ou une pièce jointe malveillante, ou à livrer des informations personnelles, et aucun filtre technique ne les attrape tous. Apprendre aux gens les signes reconnaissables, comme l'urgence, une demande d'identifiants ou de coordonnées de paiement, et une adresse d'expéditeur presque juste mais pas tout à fait, et leur apprendre où le signaler, donne à l'équipe de sécurité une alerte précoce dans toute l'organisation.

Les trois autres sujets ont tous leur place dans un programme de sécurité, mais aucun ne porte sur la reconnaissance d'un message d'ingénierie sociale. La complexité des mots de passe est une règle d'hygiène des identifiants, et elle est de plus en plus imposée par la politique et les gestionnaires de mots de passe plutôt que par la vigilance des utilisateurs. Une politique du bureau propre traite l'exposition physique des informations au bureau. Les procédures de badges traitent l'accès physique et le tailgating. Quelqu'un formé uniquement sur ces trois sujets cliquerait quand même sur le lien.

Conseil pour l'examen : associe la mesure au vecteur d'attaque nommé dans l'énoncé. Quand l'énoncé parle d'ingénierie sociale et demande ce qu'il faut enseigner aux utilisateurs, le signalement est la moitié que les candidats oublient, car la reconnaissance sans voie de signalement laisse l'organisation aveugle.

802.1X définit trois rôles dans le contrôle d’accès réseau basé sur les ports : le supplicant est l’appareil client (ordinateur portable, téléphone, appareil IoT) exécutant un logiciel qui communique les identifiants d’authentification via EAP (Extensible Authentication Protocol). Les logiciels supplicant courants incluent les clients 802.1X intégrés dans Windows, macOS et Linux. L’authenticator est l’équipement réseau (switch ou wireless access point) qui contrôle l’accès physique ou logique au réseau. Avant la réussite de l’authentification, le port n’autorise que le trafic EAP. Après une authentification réussie, le port s’ouvre au trafic normal. Le serveur d’authentification (généralement un serveur RADIUS comme FreeRADIUS, Cisco ISE ou Microsoft NPS) reçoit les identifiants depuis l’authenticator et les vérifie auprès d’un annuaire (Active Directory, LDAP). Il renvoie une acceptation ou un rejet à l’authenticator. L’authenticator agit comme un proxy — il n’évalue pas lui-même les identifiants, mais les transmet au serveur d’authentification. Astuce d’examen : rôles 802.1X : supplicant (client demandant l’accès), authenticator (switch/AP contrôlant le port), serveur d’authentification (RADIUS vérifiant les identifiants).