Sécurité - Quiz Réponses ccnp_cch

Réponses au Quiz Chapitre 1 1. La sécurité de réseau signifie protéger votre ordinateur en le plaçant dans une pièce verrouillée. Vrai ou Faux? - Faux 2. Quel est le but d'une attaque de type reconnaissance? Une attaque de type reconnaisance a pour but de déterminer quelles sont les vulnérabilités exploitables. 3. Une recherche horizontale affecte-t-elle plus de machines sur un réseau qu'une re- cherche verticale? Vrai ou Faux?  Vrai: Un examen horizontal scrute toutes les machines d'un réseau pour un N° de port particulier (service). Un examen vertical scrute tous les ports d'une machine particulière sur un réseau. 4. Pour sécuriser votre réseau vous avez uniquement besoin d'un pare-feu. Vrai ou Faux?  Faux: Un pare-feu sécurise un périmètre, c'est un élément de sécurité. Pour sécuriser un réseau il faut entre plus en détail dans la sécurité. 5. Quelle est la différence entre une politique de sécurité et un processus de sécurité? Une politique de sécurité est représentée par un document écrit qui indique comment la sécurité doit être implémentée dans une organisation. Le proces- sus de sécurité est un processus en quatre étapes qui s'assure en permanence que la politique de sécurité est constamment vérifiée et améliorée. ccnp_cch

Réponses au Quiz Chapitre 2 1. Quelles sont les trois technologies de base des pare-feu ? - Filtrage de paquets, proxy, inspection stateful. 2. Parmi les trois technologies citées précédemment, laquelle génère une connexion séparée sur requête d'un demandeur et opère généralement sur les hautes du modèle OSI? Les pare-feu type proxy génèrent une nouvelle connexion sur requête d'un demandeur et opèrent au niveau des couches hautes du modèle OSI. 3. Quelle technologie de pare-feu est communément implémentée sur un routeur? Le filtrage de paquets est communément implémenté sur les routeurs. 4. Quels éléments un filtreur de paquets doit-il examiner pour déterminer s'il doit au- toriser le trafic? - Adresse IP/Port source, Adresse IP/ Port destination, protocole. 5. Quelles technologies de pare-feu un pare-feu PIX Cisco utilise-t-il? A - Proxy de filtrage B - Filtrage de paquet C - Inspection StateFul D - Inspection Proxy 6. Quels sont les avantages des pare-feu PIX Cisco par rapport aux autres produits? Un seul environnement d'exploitation embarqué, l'Adaptive Security Algo- rithm, Proxy cut-through, redondance. 7. Combien pouvez-vous exploiter de pare-feu PIX dans un cluster haute disponibilité? - Deux systèmes. 8. Quest-ce que ASA et comment le pare-feu PIX l'utilise-t-il? - L'Adaptive Security Algorithm est utilisé par le PIX pour réaliser l'inspec- tion statful. Il ne trace pas uniquement les sessions dans une table mais génère également des numéros de séquence TCP de manière aléatoire pour s'assurer que la session ne soit pas détournée. 9. Pourquoi un pare-feu "cut-through" est-il plus efficace qu'un proxy standard? - Le Proxy cut-through est une fonctionnalité que le pare-feu PIX Cisco utilise pour authentifier et autoriser un utilisateur afin d'ouvrir sa connexion. Le Proxy cut-through utilise ASA pour tracer les informations de session mais n'exécute pas les services de proxy. Ceci améliore les performances de du pare-feu. ccnp_cch

Réponses au Quiz Chapitre 3 1. Qu'est-ce que l'ASA et comment le pare-feu PIX l'utilise-t-il ? L'ASA est utilisé par le PIX pour réaliser une inspection stateful. Il ne trace pas uniquement les informations de session mais génère également des numé- ros de séquence TCP aléatoires pour s'assurer que la session ne puisse pas être détournée. 2. Quelles sont les trois méthodes d'authentification que peut utiliser un pare-feu PIX lorsqu'il en proxy "cut-through"? Les trois méthodes d'authentification sont: - RADIUS (Remote Authentication Dial In Users), TACACS+ (Terminal Access Controller Access Control System) ou une base de données locale d'utilisateurs dans le PIX lui-même. 3. Pourquoi ASA génère-t-il des numéros de séquence TCP aléatoires? Car dans ce cas il sera très difficile pour un attaquant potentiel de prédire le numéro de séquence initial lorsqu'il tente d'attaquer une session. 4. Si un utilisateur s'est authentifié avec succès mais ne peut pas établir de connexion avec le serveur, quel est le problème le plus probable? L'utilisateur n'est pas autorisé à accéder au serveur. 5. Quelle est la meilleure méthode pour retirer ASA du pare-feu PIX Cisco? L'ASA fait partie intégrante de l'environnement d'exploitation. Il ne peut pas être retiré du PIX. 6. Quels composantes d'une session TCP sont écrites dans la table d'état par ASA? Adresse Source, Adresse Destination, Port Source, Port Destination, numéro de séquence TCP et des flags TCP. 7. Qu'est-ce qui peut entrainer qu'une session TCP soit effacée de la table d'état? La connexion n'est pas autorisée par la politique de sécurité, la session est terminée ou la session a dépassé son temps limite. 8. Quelles sont les trois méthodes utilisables pour initier une session proxy "cut-through"? - HTTP, FTP, Telnet 9. Qu'arrive-t-il à une réponse qui n'a pas de numéro de séquence TCP correct? - Le pare-feu l'élimine ccnp_cch

Réponses au Quiz Chapitre 3 10. Combien un PIX 501 a-t-il d'interfaces et combien de segments réseau supporte-t-il? Cinq interfaces Ethernet mais supporte uniquement deux segments. 11. Quels certificats X509 tous les pare-feu PIX supportent-ils? - Entrust technologies, Inc - Entrust/PKI 4.0 - Microsoft Corporation - Windows 2000 Certificate Server 5.0 - Verisign - Onsite 4.5 - Baltimore Technologies - UniCERT 3.05 12. Quel est le débit maximum d'un PIX 535? - 1 Gbit/s 13. Combien d'interfaces pouvez-vous installer sur un PIX 515? - Six interfaces 14. Quel est le plus petit modèle de la famille des pare-feu PIX qui supporte le secours? - PIX 515 15. Quelles sont les trois méthodes de gestion d'un pare-feu PIX Cisco? - Interface ligne de commande (CLI), Pix Device Manager (PDM), Cisco Secure Policy Manager. ccnp_cch

Réponses au Quiz Chapitre 4 1. Combien y-a-t-il de façons d'accéder au PIX ? On peut accéder au PIX par Telnet, SSH , PIX Device Manager (PDM) et par le port console. 2. Quelle est la commande pour changer le mot de passe Telnet ? La commande pour cjanger le mot de passe est : passwd 3. Quelle version de SSH le PIX supporte-t-il ? Le PIX supporte la version 1 de SSH 4. Que représente l'activation key ? L'activation key est le numéro de licznce du PIX. 5. Donnez une raison pour laquelle vous avez besoin de changer l'activation key sur votre pare-feu PIX ? Pour activer la fonction "fail-over" ccnp_cch

Réponses au Quiz Chapitre 5 1. Quelle est la différence entre TCP et UDP ? TCP est un protocole de transport orienté connexion fiable et UDP est un protocole de transport en mode non-connecté et nonfiable. 2. Sur quel protocole de transport le PIX change-t-il les numéris dec séquence ? Le pare-feu PIX change le numéro de séquence TCP avec un numéro totalement aléatoire. 3. Quelle est la sécurité par défaut pour le trafic issu du segment interne et allant vers le réseau externe ? Par défaut le trafic est permis depuis l'intérieur (niveau de sécurité le plus élevé) ver l'extérieur (niveau de sécurité le plus bas) tant que la commande nat global est configurée. 4. Vous pouvez avoir plusieurs traductions NAT pour une seule connexion. Vrai ou Faux  ? Faux. C'est le contraire. Plusieurs connexions peuvent exister sur une seule traduction 5. Quelles comandes sont nécessaires sur les PIX Cisco pour exécuter totalement NAT? Les commandes nat et global. 6. Combien d'adresses IP externes sont nécessaires pour configurer PAT ? PAT a besoin d'une seule adresse IP externe. 7. NAT requiert la configuration de sous-réseaux pour les adresses IP externes? Vrai ou Faux  ? Faux. Pour configurer NAT vous avez besoin de configurer un espace d'adresses externe et non un sous-réseau. 8. Combien de hosts pouvez-vous lier à une seule adresse IP quand vous configurez PAT ? A peu près 64000. Cela découle des 65535 numéros de ports moins les 1024 ports déjà réservés. 9. Comment PAT supporte-t-il les protocoles multimédia PAT ne supporte pas les protocoles multimedia. ccnp_cch

Réponses au Quiz Chapitre 5 10. Qu'est-ce qu'une connexion embryonaire ? C'est une session TCP semi-ouverte. 11. Quel est le meilleur type de traduction à utiliser pour permettre des connexions à un serveur Web depuis Internet ? Une traduction statique car elle permet une traduction permanente un à un d'une adresse ecterne vers une adresse interne. 12. Comment le pare-feu Cisco PIX gère-t-il les requêtes DNS sortantes ? Le PIX autorise de multiples requêtes en sortie mais autorise uniquement la première réponse à ces requêtes .Toutes les autres réponses à ces requêtes sont éliminées. ccnp_cch

Réponses au Quiz Chapitre 6 1. Comment accédez-vous au mode privilégié ? Il faut entrer la commande enable puis le mot de passe 2. Quelle est la fonction de la commande nameif ? La commande nameif est utilisée pour donner un nom et un niveau de sécurité à l'interface d'un pare-feu PIX Cisco. 3. Quelles sont les six commandes utilisée pour une configuration du fonctionnement de base pour un pare-feu PIX Cisco ? Les six commandes sont : nameif, ip address, route, nat, global, interface. 4. Pourquoi la commande route est-elle importante ? C'est la commande qui crée la route par défaut 5. Quelle est la commande qui vide le cache ARP sur un pare-feu PIX Cisco ? Commande qui vide le cache ARP: clear arp. 6. Il est possible de configurer l'interface externe d'un pare-feu PIX Cisco pour qu'elle accepte les requêtes DHCP . Vrai ou Faux ? Faux: Seule l'interface interne peut être configurée pour accepter des requêtes DHCP et délivrer des adresses IP. 7. Quel type d'environnement le client DHCP du PIX utilise-t-il ? Environnement SOHO (Small Office Home Office) 8. Quelle commande libère et renouvelle une adresse IP sur le PIX ? Commande: ip address outside dhcp 9. Donnez une bonne raison d'utiliser NTP sur un pare-feu PIX Cisco ? Pour la révocation des certificats car cela dépend d'une marque de temps (horodatage). Le traçage de problèmes est facilité. 10. Pourquoi devez-vous sécuriser les messages NTP entre le pare-feu PIX Cisco et le serveur NTP ? Pour éviter que le pare-feu PIX Cisco se synchronise avec des serveurs NTP non autorisés. ccnp_cch

Réponses au Quiz Chapitre 7 1. Que fait l'instruction static nat ? static nat crée une correspondance un à un entre un host réseau du côté interne avec une adresse IP globale qui peut être accédée par des hosts externes. 2. NAT statique est la seule configuration nécessaire pour permettre les accès en entrée. Vrai ou Faux  ? Faux. Les ACLs/conduits sont requis pour décider quel type d'accès doit être disponible pour le host/network identifié par la commande static nat. 3. Est-ce que la commande conduit peut être utilisée à la place de la commande access-list ? Oui. Cependant la commande préférée est access-list depuis la version 5.3 du PIX. Les ACLs fournissent une meilleure flexibilité comparées aux conduits. 4. Combien d'entrées sont supportées dans une seule liste d'accès par Turbo ACL ? Turbo ACL supporte 16000 entrées. 5. Quelle est la taille mémoire minimum requise pour utiliser Turbo ACL ? La taille mémoire minimum requise pour Turbo ACL est 2,1 Moctets. 6. Quelle est la commande utilisée pour valider globalement Turbo ACL sur le PIX ? La commande est : access-list compiled 7. Quel est le nombre minimal d'entrées nécessaire dans une liste d'accès pour que Turbo ACL la compile ? Nombre minimal d'entrées : 19 8. Quelle est la fonction des groupes d'objets ? Les groupes d'objets sont utilisés pour grouper des hosts/réseaux, des services, etc... Une politique de sécurité unique peut être appliquée à un groupe. 9. Quelle est la commande à utiliser pour valider un groupe d'objets réseau ? La commande est : object-group network group-id 10. Quelles sont les quatre options de type d'objet quand on crée des groupes d'objets ? Les options sont : network, services, icmp-type, protocol ccnp_cch

Réponses au Quiz Chapitre 8 1. Sur quel port Syslogd écoute-t-il par défaut ? Syslogd écoute sur le port 514 par défaut. Ce numéro de port peut être changé. 2. Quel est le nombre total de facilités de logging disponibles pour la configuration syslog? Huit facilités sont communément utilisées pour syslog. Facilités 16 à 23. 3. Si le PIX est configuré pour le niveau Warning, les messages d'alerte, critiques et urgence sont transmis en plus des messages Warning. Vrai ou Faux ? Vrai. 4. Quelle est la commande utilisée pour que les messages syslog soient transmis vers la session Telnet ? La commande est : logging monitor 5. Quelle est le rôle de la commande logging trap ? Cette commande détermine quels niveaux de message sylog sont transmis vers le serveur syslog. 6. Quelle est la commande utilisée pour valider le logging sur l'unité PIX de secours ? La commande est: logging standby 7. Pour quel motif utiliseriez-vous la commande timestamp ? Le paramètre timestamp spécifie la marque de temps (horodatage) des messages syslog transmis vers le serveur syslog pour faciliter l'analyse ultérieure. 8. Qu'est-ce que PFSS ? L'application PIX Firewall Syslog Server vous permet de visualiser les informations des évènements du PIX Firewall à partir d'un système Windows 2000 Seveur. ccnp_cch

Réponses au Quiz Chapitre 9 1. Quels évènements peuvent déclencher un basculement sur PIX de secours ? Arrêt de l'alimentation, erreur de cablage, plus de place mémoire, passage en secours par l'administrateur. 2. Quelle commande affecte une adresse IP au pare-feu PIX de secours ? La commande est: failover p -address if-name ip-address 3. Combien de pare-feu PIX peuvent être configurés en mode secours ? Deux PIX. 4. Quel est l'avantage du secours basé sur le LAN ? La restriction de la distance pour le cable série à 6m n'est pas le seul facteur. Un autre chemin pour passer l'information stateful peut être indiqué dans le cas où l'interface série est défaillante. 5. Quelles sont quelques unes des informations mises à jour sur l'unité de secours dans une configuration de secours stateful ? La table de connexions TCP, la table de traduction, les ports UDP H323 négociés, la table d'allocation de ports pour PAT. 6. Quelle commande force la réplication vers l'unité de secours ? La commande est : failover active 7. Quelle commande configure un secours basé sur le LAN ? La commande est : failover lan interface interface-name 8. Quel est l'intervalle de scrutation par défaut en secondes pour le mode secours ? L'intervalle de temps est de 15 secondes. ccnp_cch