Hacking éthique : méthodologie de test d'intrusion Quiz

Quiz : l'analyse de vulnérabilités

Réussite à partir de 70%. Vous pouvez recommencer autant de fois que nécessaire.

Connectez-vous pour passer ce quiz et enregistrer votre score. Se connecter

1 Quelle est la différence entre un CVE et un CWE ? Une seule réponse Le CVE est un score, le CWE est un outil Le CVE identifie une faille précise, le CWE classe un type de faiblesse Il n'y a aucune différence, ce sont deux noms pour la même chose Le CWE est la version corrigée d'un CVE

2 Une faille de gravité CVSS 9,8 est signalée sur une machine isolée sans donnée sensible, et une faille de gravité 6,5 sur un portail exposé à Internet contenant des données clients. Laquelle faut-il examiner en premier ? Une seule réponse Aucune des deux, on attend qu'un client se plaigne Celle du portail exposé : le contexte (exposition, criticité) peut l'emporter sur la note seule Toujours celle dont la note CVSS est la plus élevée

3 Quelles limites des scanners de vulnérabilités automatisés devez-vous garder à l'esprit ? (plusieurs réponses) Plusieurs réponses possibles Ils peuvent signaler des failles qui n'existent pas (faux positifs) Ils comprennent parfaitement la logique métier des applications Ils peuvent manquer des failles réelles (faux négatifs) Un scan agressif peut perturber un service fragile

4 Un scanner web ne signale que des constats mineurs sur une application de réservation, mais un testeur constate qu'en changeant un identifiant dans une requête il accède aux réservations d'un autre utilisateur. Qu'illustre cette situation ? Une seule réponse Le scanner est mal configuré et doit être remplacé Cette faille est un faux positif Les failles d'identifiants n'existent que dans les applications mobiles L'analyse manuelle peut trouver des failles de logique ou de contrôle d'accès que les outils ne voient pas

5 Quels critères entrent dans une priorisation fondée sur le risque ? (plusieurs réponses) Plusieurs réponses possibles L'exposition de la cible (Internet, réseau interne, segment isolé) La couleur utilisée par l'outil dans son rapport La criticité du bien protégé La facilité d'exploitation et l'intérêt pour la progression dans le réseau