Aller au contenu

TP – Scanner un réseau de laboratoire, interpréter les résultats et rédiger une fiche d'audit

BTS SIO SISR 1re année – Bloc 3 – S16

Note

But. Situation : Comment trouver les failles d'un système avant un attaquant, dans le cadre de la loi, et décider quoi corriger en premier ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.

Objectif

Rédiger une autorisation d'audit, scanner un réseau de laboratoire avec Nmap, interpréter un résultat de scan, prioriser les vulnérabilités et rédiger une fiche d'audit avec un plan de remédiation.

Contraintes

  • Binôme, durée : 3 h 20.
  • Les scans ne se font que sur le réseau de laboratoire isolé (VM adm et srv), avec l'accord de l'enseignant. Jamais sur Internet, sur le réseau de l'établissement ni sur les machines d'autres groupes.
  • Les rapports ne contiennent aucune donnée personnelle réelle.

Partie A. L'autorisation d'audit (20 min)

Rédige l'autorisation pour l'audit du laboratoire (modèle fourni ci-dessous, à compléter) :

Rubrique À compléter
Qui autorise (nom, fonction) L'enseignant, responsable du laboratoire
Qui réalise Toi et ton binôme
Périmètre inclus 192.168.56.0/24 (VM adm et srv)
Périmètre exclu
Dates et horaires
Méthodes autorisées
Méthodes interdites
Contact en cas d'incident
Traitement du rapport
Signatures
  1. Pourquoi faut-il écrire le périmètre exclu ? ______________________
  2. Si tu découvres, pendant le scan, une machine inconnue hors du périmètre, que fais-tu ? ______________________
  3. Pourquoi l'autorisation d'un client ne suffit-elle pas pour scanner son hébergeur ? ______________________

Partie B. Scanner le laboratoire (70 min)

B1. Préparer la cible

Sur srv, installe quelques services volontairement présents (sur un réseau isolé) :

sudo apt install -y nginx vsftpd
sudo sed -i 's/^anonymous_enable=.*/anonymous_enable=YES/' /etc/vsftpd.conf
sudo systemctl restart vsftpd nginx
ss -tlnp

Warning

Le FTP anonyme est une mauvaise configuration de laboratoire : à supprimer en fin de séance (sudo apt purge -y vsftpd).

B2. Scanner depuis adm

sudo apt install -y nmap
mkdir -p ~/audit && cd ~/audit
nmap -sn 192.168.56.0/24 -oN 1-decouverte.txt
nmap -sS -p- 192.168.56.10 -oN 2-ports.txt
nmap -sV -p 21,22,80 192.168.56.10 -oN 3-services.txt
nmap --script ftp-anon -p 21 192.168.56.10 -oN 4-ftp.txt
cat 3-services.txt

Je comprends.

Option Rôle
-sn Découverte seulement : quelles machines répondent (pas de scan de ports)
-sS Scan SYN (demi-connexion)
-p- Tous les ports (1 à 65535)
-sV Détection des services et versions
--script ftp-anon Script qui teste la connexion FTP anonyme
-oN fichier Sauvegarde en texte : sert de preuve dans le rapport

J'anticipe. Quels ports penses-tu trouver ouverts sur srv ? Y aura-t-il un état « filtered » si le pare-feu de S14 est actif ? ______________________

Éléments de réponse

Ouverts : 21 (FTP), 22 (SSH, si le pare-feu l'autorise depuis adm), 80 (web). Avec le pare-feu de S14 en refus par défaut, les autres ports apparaissent filtered (silence) ; sans pare-feu, closed.

Questions.

  1. Quelles machines ont répondu à la découverte ? ______________________
  2. Quels ports sont ouverts sur srv ? Quelles versions de logiciels ? ______________________
  3. Quel résultat donne le script ftp-anon ? Pourquoi est-ce un problème ? ______________________
  4. Compare la durée d'un scan -p- et d'un scan des ports courants. Pourquoi ne scanne-t-on pas toujours tous les ports ? ______________________
  5. Que vois-tu dans les journaux de srv après le scan (sudo journalctl -n 30, /var/log/nginx/access.log) ? ______________________

Partie C. Interpréter un résultat de scan (70 min)

Lis l'annexe Brumaire (résultat fictif).

Complète le tableau de constats :

# Machine Port / service Problème Référence (CVE ou bonne pratique) Score ou gravité Exposition Valeur du bien Priorité (1 à 8)
1 10.0.20.10 445 SMBv1
2 10.0.20.15 21 vsftpd 2.3.4
3 10.0.20.15 23 Telnet
4 10.0.20.15 3306 MySQL 5.1
5 10.0.20.15 80 Apache 2.2
6 10.0.20.10 3389 RDP
7 10.0.20.30 5900 VNC
8 10.0.20.5 22/80/443

J'anticipe. Quelle machine corrigerais-tu en premier : le serveur web public (10.0.20.5), le serveur de fichiers de comptabilité (10.0.20.10) ou l'ancien serveur de sauvegarde (10.0.20.15) ? ______________________

Éléments de réponse

Il n'y a pas qu'une réponse, mais l'ancien serveur 10.0.20.15 concentre les plus graves (vsftpd à porte dérobée, Telnet, FTP anonyme, versions en fin de vie) alors que sa direction veut le supprimer : la suppression ou l'isolement est la mesure la plus rapide et la plus efficace. Le serveur de comptabilité (SMBv1, RDP) vient ensuite : SMBv1 se désactive en quelques minutes. Le serveur web public est correctement configuré (TLS fort, versions récentes).

Questions.

  1. Quels sont les trois constats les plus urgents, et pourquoi ? ______________________
  2. Quelle correction est la plus rapide et peu coûteuse ? ______________________
  3. Pour la machine 10.0.20.15, plusieurs corrections sont possibles (mettre à jour, désactiver des services, isoler, supprimer). Laquelle recommandes-tu et pourquoi ? ______________________
  4. Que manque-t-il à ce scan non authentifié pour être complet ? ______________________
  5. Quels constats peuvent être des faux positifs et comment les vérifier ? ______________________

Partie D. La fiche d'audit (40 min)

Rédige la fiche d'audit de Brumaire (une à deux pages) :

Rubrique Contenu
Cadre (périmètre, date, outil et version)
Synthèse (3 lignes pour la directrice)
Constats détaillés (tableau de la partie C avec la preuve extraite)
Plan de remédiation (action, priorité, responsable, échéance)
Suivi (nouveau scan, date)
  1. Quelle phrase de synthèse destines-tu à une dirigeante non technicienne ? ______________________
  2. Quel délai donnes-tu à une vulnérabilité critique exposée ? À une vulnérabilité moyenne sur un poste isolé ? ______________________

Nettoyage

sudo apt purge -y vsftpd
sudo systemctl stop nginx

Retour en entreprise

Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel Ce que j'ai fait dans cette séance Niveau
B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques
B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

  • Rédiger une autorisation d'audit ;
  • Lancer et lire un scan Nmap (découverte, ports, services) ;
  • Lire une fiche CVE et un score CVSS ;
  • Prioriser des vulnérabilités selon le score, l'exposition et la valeur du bien ;
  • Rédiger une fiche d'audit avec recommandations.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________