TP – Analyser des messages suspects et sensibiliser les utilisateurs
BTS SIO SISR 1re année – Bloc 3 – S01
Note
But. Situation : Comment reconnaître une attaque qui passe par l'utilisateur, et comment lui apprendre à s'en protéger ?
Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.
Objectif
Analyser des messages suspects et décider de la réaction, contrôler quelques règles d'hygiène sur un poste Windows de laboratoire, puis rédiger un support de sensibilisation destiné à des utilisateurs non informaticiens.
Contraintes
- Travail en binôme, durée : 2 h 30.
- Les six messages de l'annexe sont fictifs. Ne clique sur aucun lien réel.
- Les commandes se lancent sur la VM de laboratoire, jamais sur le poste de l'établissement.
Partie A. Analyser six messages (45 min)
Pour chaque message de l'annexe, remplis une ligne du tableau. Colonnes : verdict (légitime, frauduleux, douteux), trois indices au moins, réaction (supprimer, signaler, vérifier par un autre canal, répondre).
| N° | Verdict | Indices relevés | Réaction |
|---|---|---|---|
| 1 | |||
| 2 | |||
| 3 | |||
| 4 | |||
| 5 | |||
| 6 |
J'anticipe. Avant de lire l'annexe : parmi six messages, combien seront frauduleux d'après toi ? Un message légitime peut-il paraître suspect ? ______________________
Éléments de réponse
Il n'y a pas de bon nombre : l'annexe mélange volontairement des messages légitimes et frauduleux. Un message légitime peut paraître suspect (notification de connexion, par exemple) : on le vérifie en allant sur le site officiel, pas en cliquant. Le but est de justifier chaque verdict par des indices, pas de deviner.
Question. Quel est le message le plus dangereux pour l'entreprise (pas pour l'individu) ? Pourquoi ? ______________________
Partie B. Auditer l'hygiène d'un poste Windows de laboratoire (45 min)
Sur la VM Windows, ouvre PowerShell en administrateur et relève l'état du poste.
winver
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusEnabled, AntivirusSignatureLastUpdated
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol
whoami /groups
Je comprends.
| Commande | Ce qu'elle t'apprend |
|---|---|
winver |
La version de Windows : une version qui n'est plus prise en charge ne reçoit plus de correctifs |
Get-HotFix |
Les derniers correctifs installés et leur date : un poste sans correctif récent est vulnérable |
Get-MpComputerStatus |
L'état de l'antivirus intégré (Microsoft Defender) et la date de ses signatures |
Get-NetFirewallProfile |
Le pare-feu est-il actif pour chaque profil réseau ? |
Get-SmbServerConfiguration |
Le protocole SMBv1 (celui de WannaCry) est-il activé ? |
whoami /groups |
Le compte actuel appartient-il au groupe des administrateurs ? |
J'anticipe. D'après le cours, quelle valeur attends-tu pour EnableSMB1Protocol sur un poste bien configuré ? ______________________
Éléments de réponse
False : SMBv1 est un protocole ancien, sans raison d'être sur un poste moderne, et c'est celui que WannaCry exploitait.
Complète la fiche d'audit (une ligne par contrôle) :
| Contrôle | Résultat observé | Conforme ? | Action à mener si non conforme |
|---|---|---|---|
| Version de Windows prise en charge | |||
| Dernier correctif installé il y a moins de ... jours | |||
| Antivirus actif, signatures récentes | |||
| Pare-feu actif (trois profils) | |||
| SMBv1 désactivé | |||
| Session ouverte avec un compte non administrateur | |||
| Verrouillage automatique de l'écran activé |
Note
Une VM de laboratoire peut être volontairement non à jour : l'important est de savoir lire le résultat et de proposer l'action. Tu ne modifies rien sans l'accord de l'enseignant.
Question. Un poste est conforme sur cinq contrôles sur sept. Peut-on dire qu'il est « à 70 % sécurisé » ? ______________________
Éléments de réponse
Non : la sécurité ne se mesure pas en pourcentage. Une seule faille critique (par exemple un correctif manquant sur une faille exploitée) suffit à compromettre le poste. On hiérarchise les écarts selon le risque, on ne les additionne pas.
Sûreté. Pour le local technique de ton établissement (ou, avec l'accord de ton tuteur, celui de ton entreprise), remplis la liste de contrôle du cours (alimentation, climat, incendie, eau, accès physique, redondance) : conforme, à améliorer ou non observable, puis une action prioritaire. Ne manipule aucun équipement.
Éléments de réponse
Accepter toute réponse observée et justifiée. Une absence de redondance ou une sauvegarde dans le local sont des écarts de sûreté ; l'action prioritaire se choisit selon le risque (onduleur d'abord si coupures fréquentes).
Partie C. Rédiger un support de sensibilisation (50 min)
Situation. La menuiserie Aubry (entreprise fictive, 12 salariés) vient de recevoir un faux message de livraison que deux salariés ont ouvert. Le dirigeant te demande un support d'une page pour l'ensemble du personnel.
Contraintes du support :
- 120 mots au plus, sans jargon (pas de « vecteur », de « payload », de sigle non expliqué) ;
- cinq réflexes numérotés, chacun commençant par un verbe d'action ;
- une phrase qui dit qui prévenir et comment ;
- un petit schéma ou pictogramme de ton choix ;
- il doit tenir sur une page A4 et être lisible à deux mètres.
Je comprends. Un bon support de sensibilisation décrit ce qu'il faut faire, pas seulement ce qu'il faut craindre ; il répond à « et si je me trompe ? » en disant qu'on peut signaler sans crainte.
Auto-évaluation du support (chaque critère sur 2) :
| Critère | Points |
|---|---|
| Message compréhensible par un non-informaticien | /2 |
| Réflexes précis et réalistes | /2 |
| Procédure de signalement indiquée | /2 |
| Ton qui invite à signaler, sans culpabiliser | /2 |
| Mise en page lisible | /2 |
Pour aller plus loin. Échange ton support avec un autre binôme : demande-lui de le résumer de mémoire une minute après l'avoir lu. Ce qu'il oublie est ce qu'il faut simplifier.
Retour en entreprise
Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.
Bilan de la séance
Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.3 – Sécuriser les équipements et les usages des utilisateurs | ||
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques |
Note
Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).
Je sais faire, sans aide :
- Distinguer menace, vulnérabilité, risque et impact ;
- Décrire le déroulement d'un rançongiciel et d'un hameçonnage ;
- Analyser un message et décider de la réaction ;
- Contrôler quelques règles d'hygiène sur un poste ;
- Rédiger un support de sensibilisation clair pour des non-informaticiens.
Ce que je dois reprendre : ______________________
Ma question à poser à l'enseignant : ______________________