Rançongiciels, analyse EBIOS, proxy SSL, déchiffrement HTTPS, certificat d’autorité interne, audit Active Directory avec PingCastle et sécurisation des comptes.
Le sujet Martin est un cas très complet de BTS SIO SISR : il met en scène une clinique confrontée au risque rançongiciel, à la protection du trafic HTTPS et à l’audit de son annuaire Active Directory. Pour réussir, il faut relier chaque solution technique à un impact concret : continuité des soins, disponibilité des dossiers patients, protection des données de santé et réduction des privilèges dans le domaine.
Le cas Martin concerne une clinique privée qui doit améliorer sa résistance face aux rançongiciels. Le dossier principal porte sur l’analyse de risque et les contre-mesures : sauvegardes, cloisonnement réseau, limitation des droits, sensibilisation, déchiffrement HTTPS par proxy SSL et notification en cas de violation de données. Le second dossier porte sur l’audit Active Directory, avec une lecture du rapport PingCastle et des recommandations de durcissement.
Le sujet ne demande pas simplement de lister des outils de cybersécurité. Il faut montrer que chaque mesure répond à un risque opérationnel précis. Une sauvegarde déconnectée permet de restaurer après chiffrement. Un cloisonnement VLAN limite la propagation. Un proxy SSL rend le pare-feu capable d’inspecter un téléchargement malveillant en HTTPS. Un audit PingCastle permet de repérer les faiblesses de l’annuaire avant qu’un attaquant ne les exploite.
Une bonne réponse explique le lien entre la technique et l’impact métier. Par exemple : “Une sauvegarde sur bande LTO déconnectée protège la clinique car le rançongiciel ne peut pas chiffrer un support physiquement absent du réseau. La restauration reste donc possible même si le domaine Windows est compromis.”
| Bloc | Compétence attendue | Erreur à éviter |
|---|---|---|
| EBIOS / risque | Évaluer la gravité et relier le risque à l’activité de la clinique | Mettre G5 sans justifier l’impact sectoriel |
| Rançongiciel | Proposer des mesures concrètes et opérationnelles | Écrire seulement “mettre un antivirus” |
| Proxy SSL | Expliquer le double tunnel TLS et l’autorité de certification interne | Croire que le pare-feu lit naturellement le HTTPS |
| Active Directory | Lire PingCastle et durcir l’annuaire | Répondre avec des généralités sans exploiter le rapport |
Chaque mesure doit contenir trois éléments : le nom technique, le fonctionnement concret et l’effet attendu.
| Mesure | Fonctionnement | Effet contre le rançongiciel |
|---|---|---|
| Sauvegarde déconnectée | Bande LTO ou support hors ligne | Le malware ne peut pas chiffrer la copie |
| Cloisonnement VLAN | Flux inter-VLAN limités par pare-feu | La propagation latérale est freinée |
| Moindre privilège | Suppression des droits admin locaux inutiles | Le malware a moins de droits pour s’installer |
| Sensibilisation | Formation phishing et bouton de signalement | Le risque d’ouverture de pièce jointe piégée diminue |
Martin est exigeant car il mélange cybersécurité, continuité d’activité, réseau, chiffrement TLS, Active Directory et obligations légales. Mais le sujet devient maîtrisable si chaque réponse suit la même logique : risque → conséquence métier → mesure technique → justification.
“La gravité peut être évaluée à G4 car le rançongiciel empêche la clinique d’assurer la totalité de son activité : les dossiers patients, les plannings et certaines informations médicales deviennent indisponibles. Il ne s’agit pas de G5, car l’impact ne paralyse pas durablement l’ensemble du système de santé régional.”
“Une sauvegarde déconnectée du réseau est indispensable car un rançongiciel chiffre les partages accessibles. Des bandes LTO retirées du lecteur après écriture ou une copie hors ligne permettent de restaurer même si le domaine Windows et les serveurs de fichiers ont été compromis.”
“Le proxy SSL intercepte le trafic HTTPS en créant deux tunnels TLS : un entre le poste et le proxy, puis un entre le proxy et le site distant. Le contenu est déchiffré au niveau du proxy, ce qui permet l’analyse antivirus et le filtrage. Pour éviter les alertes de certificat, l’autorité de certification interne du proxy doit être déployée sur les postes.”
“Le rapport PingCastle met en évidence une politique de mots de passe insuffisante. Il faut augmenter la longueur minimale, éviter les mots de passe faibles, renforcer les comptes à privilèges et surveiller les échecs d’authentification. L’objectif est de réduire les attaques par dictionnaire, brute force et réutilisation d’identifiants.”
“Les comptes administrateurs doivent être isolés des usages quotidiens. Un administrateur doit disposer d’un compte standard pour la messagerie et d’un compte d’administration dédié pour les tâches sensibles. Cela limite les conséquences d’un phishing sur le compte principal.”
Un rançongiciel dans une clinique est très grave, mais G5 suppose un impact sectoriel ou régional durable. Ici, G4 est plus cohérent si l’analyse porte sur l’arrêt complet de l’activité de la clinique.
Un antivirus seul ne suffit pas. Une bonne réponse combine sauvegardes hors ligne, segmentation, restriction des droits, supervision, filtrage, sensibilisation et procédures de restauration testées.
Sans déchiffrement SSL, le pare-feu ne voit pas le fichier réellement téléchargé. Il peut voir la destination, mais pas analyser le contenu applicatif chiffré.
Si l’autorité de certification du proxy n’est pas installée sur les postes, les navigateurs affichent des alertes de sécurité. Le déploiement par GPO est donc une étape essentielle.
Le rapport PingCastle contient des indices précis. Il faut citer les faiblesses repérées : politique de mots de passe, comptes privilégiés, Kerberos, Protected Users, journalisation et durcissement du domaine.
Une très bonne copie emploie des termes précis : air gap, cloisonnement VLAN, moindre privilège, proxy SSL, autorité de certification interne, PingCastle, Protected Users, journalisation centralisée. Elle montre surtout pourquoi ces mesures réduisent le risque métier pour la clinique.
Le sujet porte sur la gestion du risque rançongiciel dans une clinique, l’inspection du trafic HTTPS avec un proxy SSL et l’audit Active Directory avec PingCastle.
G4 correspond à l’incapacité de la clinique à assurer son activité. G5 serait réservé à un impact sectoriel ou régional durable, par exemple une paralysie massive du système de santé.
Un rançongiciel chiffre les ressources accessibles sur le réseau. Une sauvegarde hors ligne ou sur bande retirée physiquement reste protégée et permet la restauration.
Il déchiffre temporairement le trafic HTTPS pour permettre au pare-feu d’analyser le contenu, puis le rechiffre vers le serveur distant.
PingCastle sert à identifier les faiblesses Active Directory : mots de passe insuffisants, comptes privilégiés mal protégés, protocoles faibles, configuration Kerberos et journalisation insuffisante.
Sujet complet BTS SIO 2024 SISR Martin pour travailler l’épreuve.
📄 Sujet complet PDFRetrouvez les autres sujets BTS SIO disponibles pour compléter vos révisions.