EVALUATION BLOC 3 – SECURISER L’ACCES AUX RESSOURCES

Condition d’examen sur table - deux heures

1. Josiane souhaite organiser une sortie avec ses 30 collègues de travail. Pour ceux qui
veulent s’inscrire à la sortie, elle met à leur disposition un fichier Excel avec les droits
de lecture, d’écrire et de modification.
a. Comment s’appellent les droits « Lecture, Ecriture, Modification » (0,5 pt) ?
Il s’agit d’ACL (Access Control List), la liste des options disponibles à
affecter à une personne ou un rôle.
b. Quel est le modèle de contrôle d’accès mis en place (0,5 pt) ?
DAC : Discretionary Access Control – Le propriétaire du fichier (Josiane)
affecte les droits à sa convenance ou discrétion.
c. Quels sont les avantages et inconvénients de ce modèle (1 pt) ?
Le propriétaire est autonome en gérant les droits, par contre il est
difficile de suivre la pertinence des droits quand le nombre de personnes
augmente.
d. C’est long pour Josiane de donner les droits à chacun de ses collègues.
Qu’aurait-elle pu faire pour se simplifier la tâche (1 pt) ?
Elle aurait pu créer un ou des rôles (groupe) et affecter les personnes
dans ces groupes.
e. Comment s’appelle ce nouveau modèle (1 pt) ?
RBAC : Role Base Access Control
f. Quels principes sont à respecter lors de l’utilisation de ce modèle d’habilitation
– Donnez en au moins 3 (2 pt) ?
- Moindre privilège, Besoin d’en connaitre, Revue régulière des
droits (annuelle), mettre en place des procédures lors de l’arrivée ou départ
ainsi que changement de fonction, se protéger contre l’accumulation des
privilèges

2. Perceval, administrateur réseau, vous montre un schéma de son réseau. Sur le schéma
est indiqué 10.11.12.0/25.
a. Quelle est la classe IP de cette adresse (0,5 pt) ?
Classe A
La classe A de l’adresse IP 0.0.0.0 à 126.255.255.255
La classe B de l’adresse IP 128.0.0.0 à 191.255.255.255
La classe C de l’adresse IP 192.0.0.0 à 223.255.255.255
La classe D de l’adresse IP 224.0.0.0 à 239.255.255.255
b. Est-elle privée ou publique (0,5 pt) ?
Privée
Les adresses privées de la classe A : 10.0.0.0 à 10.255.255.255
Les adresses privées de la classe B : 172.16.0.0 à 172.31.255.255
Les adresses privées de la classe C : 192.168.0.0 à 192.168.255.255

BTS SIO 1ère année – Janvier 2024

1
 c. Indiquer le masque de sous-réseaux sous la forme xxxx.xxxx.xxxx.xxxx (1 pt) ?
C’est un /25 donc 25 bits pour le réseau. Ainsi 255.255.255.128
d. Avec le réseau 192.168.50.0/27, combien de sous-réseaux sont disponibles (1
pt) ?
C’est une adresse IP de classe C donc en /24 par défaut. L’administrateur
a créé un masque /27 donc 3 bits sur les 8 derniers. 2^3= 8 sous réseaux
e. Combien d’hôtes peuvent être connectées pour chaque sous-réseau (1 pt) ?
256/8 = 32 hôtes/équipements. On en enlève deux pour le nom et le
broadcast donc 30 hôtes au final
f. Comment se nomme l’opération de découper le réseau en sous-réseaux (1 pt) ?
La segmentation ou la ségrégation
g. Quels avantages cela représente-t-il (2 pt) ? Nommez-en au moins 3.
- On protège les données contre une diffusion de malware
- On isole contre le Ddos
- On respecte le besoin d’en connaitre
- On simplifie la gestion

3. Après avoir réalisé la création des groupes et des comptes puis appliqué les paramètres
réseaux, comment un administrateur peut-il vérifier et prouver qu’il a bien sécurisé
l’accès aux ressources. Donner au moins un exemple pratique (3 pt) ?
Il faut réaliser des tests de validation et documenter les opérations réalisées et
les configurations mises en place.
Pour le réseau, on utilise les commandes « ping » et « traceroute » pour valider
la configuration et la segmentation.
Pour les droits, on peut créer un fichier de tests et valider que les personnes et
les rôles ont les bonnes habilitations (écriture, consultation, etc.)

4. Que signifie le « F » de MFA (0,5pt) ? Pouvez-vous citer les 3 « F » (0,5 pt) ?

MFA : Multi Factor Authentication, F = Facteur
1 – Ce que je sais (mot de passe, code PIN, …)
2 – Ce que je suis (empreinte digitale, Iris, ….)
3 – Ce que j’ai (Smart Card, Token, téléphone avec Google Authenticator)

5. Expliquer la différence entre authentification et autorisation (ou habilitation) (1 pt) ?

Authentification : Il s’agit de prouver son identité en utilisant une information
uniquement connue/détenue par son détenteur (ex : mot de passe, empreinte…) C’est
une opération de comparaison.
Autorisation : La liste des opérations autorisées à réaliser par la personne.

6. Votre entreprise est victime d’une fuite de données. Selon le RGPD quelles sont les
opérations à réaliser et dans quels délais (2pt) ?

1 – Informer la CNIL
2 – Informer les utilisateurs victimes
3 – Prendre les mesures pour corriger la brèche
Ces opérations doivent être réalisées dans les 72h

BTS SIO 1ère année – Janvier 2024

2