1. Cas d’étude AWS : Scénario d’architecture et stockage résilient

Énoncé de l’exercice :
« Une entreprise financière suisse développe une application web hébergée sur des instances Amazon EC2 réparties sur plusieurs zones de disponibilité (Multi-AZ). L’application génère des rapports PDF confidentiels qui doivent être immédiatement consultables pendant 30 jours, puis conservés pour des raisons légales et d’audit pendant 10 ans sans risque de suppression accidentelle. L’accès aux rapports après 30 jours est extrêmement rare mais doit pouvoir se faire en moins de 12 heures. Quelle solution de stockage répond à ces exigences au coût le plus bas ? »

  • Option A : Stocker les fichiers dans Amazon EBS multi-attach avec snapshot automatique quotidien.
  • Option B : Stocker les fichiers dans Amazon S3 Standard, configurer une politique de cycle de vie vers S3 Glacier Flexible Retrieval après 30 jours, et activer S3 Glacier Vault Lock en mode compliance.
  • Option C : Stocker les fichiers dans Amazon EFS (Elastic File System) avec cycle de vie vers EFS One Zone-Infrequent Access.
  • Option D : Stocker les fichiers dans Amazon S3 Standard avec transition vers S3 Glacier Deep Archive après 30 jours, sans verrouillage de coffre.

Analyse méthodique du correcteur :

Décorticage des options :
- Option A : EBS est un stockage bloc lié à des instances, non adapté au stockage d'archives de longue durée et extrêmement coûteux sur 10 ans. -> REJETÉ.
- Option C : EFS est un système de fichiers réseau partagé, très cher comparé au stockage objet S3, et ne fournit pas de verrouillage réglementaire natif WORM. -> REJETÉ.
- Option D : Glacier Deep Archive prend jusqu'à 48h de restauration (trop long si audit urgent) et omet l'exigence de non-suppression légale. -> REJETÉ.
- Option B : S3 Standard permet l'accès immédiat (30j) ; S3 Glacier Flexible Retrieval restaure en 3 à 5 heures ( BONNE RÉPONSE VALIDÉE.

2. Cas d’étude CompTIA Security+ : Vecteur d’attaque et remédiation réseau

Énoncé de l’exercice :
« Un analyste SOC observe dans les journaux d’événements qu’un attaquant a réussi à rediriger les utilisateurs d’un intranet bancaire vers un faux portail de connexion. L’examen des commutateurs réseau révèle que la table ARP de la passerelle par défaut a été corrompue par de faux paquets de réponse contenant l’adresse MAC de l’attaquant. Quel mécanisme de sécurité au niveau de la couche 2 OSI aurait empêché cette compromission ? »

  • Option A : Le filtrage par liste de contrôle d’accès IP (ACL) sur le routeur de bordure.
  • Option B : L’activation du Dynamic ARP Inspection (DAI) couplé au DHCP Snooping sur les commutateurs d’accès.
  • Option C : L’implémentation de certificats SSL/TLS sur le serveur web intranet.
  • Option D : Le déploiement d’un système de prévention d’intrusion (NIPS) en coupure de la connexion Internet.

Analyse méthodique du correcteur :

L’attaque décrite est un empoisonnement de cache ARP (ARP Cache Poisoning / ARP Spoofing), qui opère strictement au niveau de la couche liaison de données (Couche 2 OSI). Les routeurs (Couche 3) et les pare-feux de bordure ne voient pas les trames de diffusion internes. La seule protection standard reconnue au niveau des switches managés consiste à coupler le DHCP Snooping (qui crée une table d’association IP/MAC légitime) avec le Dynamic ARP Inspection (DAI) qui inspecte et élimine les paquets ARP non concordants. L’Option B est la seule réponse exacte.

Enseignement : Chaque question de certification possède une signature technique unique. Repérez la couche du modèle OSI ou la famille de services concernée dès la première lecture.

PreviousNext