موضوع امتحان كتابي · Ministère de la Justice — Ingénieurs d'État 1er grade, sécurité informatique · 2019
موضوع حقيقي منقول حرفياً من النسخة المنشورة؛ بدون تصحيح رسمي.
Copie publiée par wadifa-info.com (modèle n°747). Sujet transcrit mot pour mot ; aucun corrigé officiel publié. Sujet général en arabe et exercices 4 à 7 de l'épreuve de spécialité ; exercices 1 à 3 et annexe 2 non publiés.
Royaume du Maroc — Ministère de la Justice — Direction des ressources humainesConcours de recrutement des ingénieurs d'État du 1er grade — spécialité : sécurité informatique (مجال الأمن المعلومياتي) — 10 février 2019Première matière : sujet général en arabe (2 heures, coefficient 2) ; épreuve de spécialité dont les exercices 4 à 7 et l'annexe 1 sont publiés (les exercices 1 à 3 et l'annexe 2, plan d'adressage, manquent).
يعتبر اختراق الأنظمة المعلوماتية ظاهرة تهدد أمن وسلامة جميع الدول، مما جعلها تجند جميع الوسائل المادية والبشرية للحد من تداعياتها.
حلل وناقش.
1. Compléter le tableau suivant par : AES, DES, RSA, ECC.
| Algorithme de chiffrement symétrique | Algorithme de chiffrement asymétrique ||---|---|| … | … |
2. Dans la cryptographie asymétrique chaque entité possède une paire de clés (public et privé). a. Expliquez la différence entre ces deux clés. b. Quelle clé à utiliser pour chiffrer un message destiné à une entité X ? Qui peut lire ce message ? c. Quelle clé à utiliser pour signer un message destiné à l'entité X ? Qui peut vérifier la signature du message ?
1. Donner les noms des techniques d'attaque de déni de service (DoS : Denial of Service) dans : a. un réseau local Ethernet ; b. un réseau sans fil ; c. un serveur web. (0,75 point)
2. Les employés d'une entreprise, après avoir ouvert leur session et effectué quelques tâches quotidiennes (lecture du courrier, navigation web, etc.), de nombreux employés ont remonté au SOC un incident ; il s'agit d'un message apparaissant sur leurs écrans d'ordinateur indiquant que les fichiers de l'utilisateur sont cryptés. Une demande de rançon est exigée pour restauration. (0,5 point) a. Quel est le type du malware a priori ? b. Quelle est la procédure à suivre suite à la déclaration de l'incident ?
3. Décrire l'attaque de web spoofing. (0,5 point)
4. Quels sont les étapes d'une cyberattaque ? (0,75 point)
Vous devez établir l'architecture du réseau d'une petite entreprise. Proposer une architecture sécurisée en justifiant l'emplacement des éléments ci-dessous. À cet effet, vous pourrez ajouter les éléments réseaux nécessaires (firewall, DMZ, …) et créer autant de réseaux que cela vous semble nécessaire :- Un serveur web public qui utilise une base de données, sachant que les employés de l'entreprise travaillent sur la base de données. Où doit-on placer la base de données et le serveur web dans notre réseau ?- Un serveur DNS qui est utilisé par une grande proportion d'applications et de services.- Un serveur mandataire HTTP (proxy).- Un serveur passerelle SMTP (entrant et sortant).
Une entreprise dispose des pare-feu pour limiter l'accès depuis et vers les machines de son réseau interne. L'architecture du réseau de l'entreprise comprend également un site distant. Le schéma de l'annexe 1 montre les composants de cette architecture. L'annexe 2 contient le plan d'adressage.- Les règles de filtrage sont traitées en entrée.- Les règles sont examinées dans l'ordre croissant à partir de la règle numéro 1.- La première règle dont les paramètres correspondent exactement au paquet reçu est appliquée, sinon le firewall passe à la règle suivante.
Extrait table de filtrage du firewall frontal F2 :
| N° | Interface entrée | @IP sce | @IP dest | Protocole | Action ||---|---|---|---|---|---|| 1 | 214.215.44.1 | any | 10.8.8.10 | http | autorisé || 2 | 214.215.44.1 | any | 10.8.8.100 | POP3, SMTP | autorisé || 3 | 172.16.50.1 | 172.16.50.10 | 10.8.8.10 | RDP | autorisé || 4 | 172.16.50.1 | 172.16.50.10 | 10.8.8.100 | RDP | autorisé || 5 | 172.16.50.1 | 172.16.50.20 | any | http, https, dns | autorisé || … | … | … | … | … | … || 10 | 172.16.50.1 | any | any | ip | bloqué || 11 | 214.215.44.1 | any | any | ip | bloqué || 12 | 10.8.8.1 | any | any | ip | bloqué |
1. Donner la politique correspondante à chaque règle (1, 2 et 5). (0,75 point)
2. Préciser la règle qui vérifiera chacun des paquets suivants et dites si le paquet sera accepté ou refusé (1 point) : paquet 1 : 212.217.52.103 → 10.8.8.100 port tcp/995 ; paquet 2 : 172.16.50.20 → www.entreprise.ma, port tcp/53 ; paquet 3 : 172.16.50.20 → 10.8.8.10 port tcp/80 ; paquet 4 : 212.217.52.103 → 10.8.8.100 port udp/53.
3. Le firewall F1 applique le NAT sur les deux adresses privées 10.8.8.10 et 10.8.8.100. Définir l'utilité et les types du NAT. (0,5 point)
4. Proposer une solution pour renforcer la sécurité des applications web de l'entreprise. (0,5 point)
5. L'ordinateur 1 appartient à un administrateur de base de données (il dispose d'un accès SQL […]) et l'ordinateur 2 appartient à un administrateur système (accès RDP aux serveurs d'application et de BD) avec un accès internet pour télécharger les patchs nécessaires. a. Donner la table de routage du firewall F2 sous la forme suivante : interface de sortie, réseau destination, passerelle (0,25 point). b. Dresser la table de filtrage qui illustre les accès mentionnés précédemment. (0,5 point) (Le début de la question 5 est coupé sur la copie.)
6. La politique de l'entreprise exige que les utilisateurs du site distant doivent se connecter à l'application (10.7.7.10) centralisée dans le réseau central de l'entreprise via une liaison VPN sur le port tcp/8080. a. Donner la table de routage du firewall F3. (0,25 point) b. Donner les règles qui vérifieront que la politique mentionnée soit applicable. (0,5 point)
7. Le firewall F3 est de type NGFW (Next Generation Firewall). Sur ce firewall l'application SSH est autorisée depuis l'ordinateur 3 vers l'ordinateur 1. Une application malveillante au niveau de l'ordinateur 3 utilise le port 22 pour accéder à l'ordinateur 1. Est-ce que ce trafic sera autorisé ? Justifier. (0,75 point)
Site central : Routeur 1 (Internet) → firewall F1 (réseau 214.215.44.0/24 côté routeur ; DMZ 10.8.8.0/24 avec le serveur web et le serveur mail) → réseau 192.168.30.0/24 → firewall F2 (réseau 10.7.7.0/24 avec le serveur d'application et le serveur BD ; réseau 172.16.50.0/24 avec les ordinateurs 1 et 2 ; réseau 10.220.1.0/16 vers le routeur VPN 1). Liaison VPN entre le routeur VPN 1 et le routeur VPN 2. Site distant : routeur VPN 2 → réseau 10.230.80.0/24 → firewall F3 → réseau 172.17.52.0/24 avec les ordinateurs 3 et 4. (Plusieurs valeurs sont peu lisibles ; l'annexe 2 n'est pas publiée.)
ليس تصحيحاً رسمياً: حرره مشرفو KounKour.
Corrigé proposé par l'équipe KounKour (aucun corrigé officiel n'est publié). D'autres solutions correctes sont acceptées si elles sont justifiées.
- مقدمة: تزايد الهجمات السيبرانية (الفدية، التجسس، تعطيل الخدمات) مع رقمنة الإدارات والاقتصاد.- المحور الأول: مظاهر التهديد وانعكاساته على الأمن والاقتصاد والثقة.- المحور الثاني: الوسائل المعبأة: الإطار القانوني (القانون 05-20 المتعلق بالأمن السيبراني، القانون 09-08 لحماية المعطيات الشخصية)، المؤسسات (المديرية العامة لأمن نظم المعلومات ومركز اليقظة maCERT)، الوسائل التقنية، التكوين والتحسيس، التعاون الدولي.- خاتمة: الأمن السيبراني مسؤولية مشتركة.
1. Symétriques : AES, DES. Asymétriques : RSA, ECC.
2. a. La clé publique est diffusée à tous ; la clé privée est gardée secrète par son propriétaire ; ce que l'une chiffre, seule l'autre peut le déchiffrer. b. On chiffre avec la clé publique de X ; seul X, avec sa clé privée, peut lire le message. c. L'émetteur signe avec sa propre clé privée ; X (et toute personne qui a la clé publique de l'émetteur) peut vérifier la signature.
1. a. Réseau local Ethernet : inondation de la table MAC (MAC flooding), empoisonnement ARP, tempête de diffusion, épuisement DHCP. b. Réseau sans fil : brouillage radio, attaque par désauthentification. c. Serveur web : SYN flood, HTTP flood, attaques lentes (Slowloris), et attaques distribuées (DDoS) par botnet.
2. a. Un rançongiciel (ransomware). b. Isoler immédiatement les postes touchés du réseau, ne pas payer la rançon, alerter le SOC et la cellule de crise (et l'autorité nationale, la DGSSI / maCERT), conserver les preuves, identifier la souche et le vecteur, nettoyer ou réinstaller, restaurer depuis des sauvegardes saines, puis analyser la cause et renforcer les mesures.
3. Web spoofing : l'attaquant fait passer un faux site pour un site légitime (adresse proche, détournement DNS, page clonée) afin de voler des identifiants ou de diffuser un logiciel malveillant.
4. Étapes d'une cyberattaque (chaîne d'attaque) : reconnaissance, préparation de l'arme, livraison, exploitation, installation, prise de contrôle à distance, actions sur l'objectif (vol, chiffrement, sabotage).
Architecture proposée : Internet → pare-feu externe → DMZ (serveur web public, passerelle SMTP, DNS public et proxy HTTP) → pare-feu interne → réseau des serveurs internes (base de données, DNS interne, messagerie interne) et réseau des postes des employés. Justification : seuls les services exposés à Internet sont dans la DMZ ; la base de données reste en zone interne et n'accepte que les connexions du serveur web sur son port et celles des employés ; le proxy filtre la navigation des postes ; la passerelle SMTP relaie le courrier vers le serveur de messagerie interne.
1. Règle 1 : depuis Internet, tout le monde peut accéder en HTTP au serveur web 10.8.8.10. Règle 2 : depuis Internet, tout le monde peut utiliser POP3 et SMTP vers le serveur de messagerie 10.8.8.100. Règle 5 : depuis le LAN, le poste 172.16.50.20 peut naviguer (HTTP, HTTPS) et faire des requêtes DNS vers toute destination.
2. Paquet 1 (tcp/995, POP3 sur TLS) : il ne correspond ni à POP3 (110) ni à SMTP (25), donc à aucune des règles 1 à 5 ; il est bloqué par la règle 11 (si l'on considère POP3S comme du POP3, c'est la règle 2 qui l'accepte : précisez votre hypothèse). Paquet 2 (172.16.50.20, tcp/53) : règle 5 (DNS), accepté. Paquet 3 (172.16.50.20 vers 10.8.8.10, tcp/80) : règle 5 (HTTP vers any), accepté. Paquet 4 (Internet vers 10.8.8.100, udp/53) : aucune règle ne l'autorise, bloqué par la règle 11.
3. Le NAT traduit les adresses privées en adresses publiques : il économise les adresses IPv4 et masque le réseau interne. Types : NAT statique (une adresse privée ↔ une adresse publique, utilisé ici pour publier les serveurs), NAT dynamique (pool d'adresses publiques) et PAT / NAPT (plusieurs adresses privées derrière une seule adresse publique, en jouant sur les ports).
4. Pare-feu applicatif web (WAF) ou reverse proxy, HTTPS obligatoire, mises à jour, validation des entrées et requêtes préparées (contre les injections), authentification forte, tests d'intrusion et respect des recommandations OWASP.
5. a. Table de routage de F2 (les adresses des interfaces sont dans l'annexe 2, non publiée) : réseaux directement connectés 192.168.30.0/24, 10.7.7.0/24, 172.16.50.0/24 et 10.220.0.0/16 ; 10.8.8.0/24 et route par défaut 0.0.0.0/0 via F1 (dans 192.168.30.0/24) ; 10.230.80.0/24 et 172.17.52.0/24 via le routeur VPN 1. b. Filtrage : ordinateur 1 vers le serveur de base de données sur le port SQL : autorisé ; ordinateur 2 vers les serveurs d'application et de base de données en RDP (tcp/3389) : autorisé ; ordinateur 2 vers Internet en HTTP / HTTPS pour les correctifs : autorisé ; tout le reste depuis le LAN : bloqué (règle finale).
6. a. F3 : 172.17.52.0/24 et 10.230.80.0/24 directement connectés ; 10.7.7.0/24 (et la route par défaut) via le routeur VPN 2. b. Règles : autoriser 172.17.52.0/24 vers 10.7.7.10 en tcp/8080, puis tout bloquer ; côté central, F2 doit autoriser la même communication depuis le réseau du VPN.
7. Non : un pare-feu de nouvelle génération identifie les applications par inspection du contenu, pas seulement par le port. L'application malveillante n'est pas reconnue comme SSH : son trafic ne correspond pas à la règle et sera bloqué, même sur le port 22.