Le sujet SA Blanca place le candidat dans une situation d’administration réseau et cybersécurité. L’entreprise doit sécuriser son infrastructure face à une attaque de type MAC flooding, mettre en place des protections sur les commutateurs, organiser un accès Wi-Fi invité via portail captif et respecter les exigences de protection des données personnelles.
Dossier A (46 points) est le cœur du sujet : il porte sur l’analyse d’un incident réseau, la différence entre MAC flooding et ARP spoofing, le fonctionnement de la table CAM d’un commutateur, les modes port security et la supervision par trap SNMP.
Dossier B (34 points) demande de raisonner sur le Wi-Fi invité, le portail captif, les règles de pare-feu, la séparation entre réseau invité et réseau interne, puis sur le RGPD et la minimisation des données collectées.
Le dossier A représente 57,5 % de la note. Il faut donc lui consacrer environ 2 h 20. Le dossier B mérite environ 1 h 20. Les 20 dernières minutes doivent être gardées pour relire les règles de pare-feu, les justifications RGPD et les commandes de sécurisation du switch.
Le sujet SA Blanca repose sur une logique très concrète : un dysfonctionnement réseau peut être la conséquence d’une attaque. Le candidat doit donc partir des symptômes observés, les relier à un mécanisme technique précis, puis proposer des mesures de remédiation adaptées.
Dans une attaque de type MAC flooding, l’attaquant envoie un grand nombre de trames avec des adresses MAC sources différentes. Le commutateur remplit sa table CAM jusqu’à saturation. Lorsqu’il ne sait plus associer correctement une adresse MAC à un port, il diffuse les trames sur plusieurs ports, ce qui permet à l’attaquant de capturer des communications qui ne lui étaient pas destinées.
Il ne suffit pas d’écrire “attaque réseau”. Il faut nommer le mécanisme : table MAC saturée, comportement de type hub, diffusion des trames et possibilité de capture avec un outil comme Wireshark.
Le portail captif n’est pas un accès au réseau interne. Il sert à authentifier ou identifier des visiteurs pour leur donner un accès Internet limité. Même après authentification, les flux vers les VLAN internes, les serveurs métier, la DMZ ou les ressources administratives doivent rester bloqués.
La question RGPD teste le principe de minimisation. Si le formulaire collecte à la fois le téléphone professionnel et le téléphone personnel, il faut refuser le téléphone personnel dès lors que le traitement peut être réalisé avec le téléphone professionnel.
| Mode | Effet | À utiliser quand ? |
|---|---|---|
protect | Bloque silencieusement les trames non autorisées | Peu adapté ici car pas d’alerte |
restrict | Bloque et génère une alerte | Possible, mais l’attaquant n’est pas isolé aussi fortement |
shutdown | Désactive le port et génère une alerte | Choix recommandé pour isoler l’équipement suspect |
La bonne réponse attendue est généralement shutdown, car l’énoncé demande une alerte automatique et l’isolement du port en cas de récidive.
1. Autoriser Wi-Fi invité -> DNS
2. Autoriser Wi-Fi invité -> Portail captif
3. Autoriser Wi-Fi invité authentifié -> Internet HTTP/HTTPS
4. Refuser Wi-Fi invité -> réseaux internes
5. Refuser tout le restePour chaque donnée collectée, appliquez la question : “Cette donnée est-elle nécessaire au traitement annoncé ?”. Si la réponse est non, la donnée doit être supprimée du formulaire.
“Les symptômes observés correspondent à une attaque de type MAC flooding. L’attaquant envoie un grand nombre de trames avec des adresses MAC différentes afin de saturer la table MAC du commutateur. Une fois la table saturée, le switch diffuse certaines trames sur plusieurs ports, ce qui peut permettre à l’attaquant de capturer du trafic qui ne lui est pas destiné.”
“Le mode shutdown est le plus adapté car il désactive automatiquement le port en violation et génère une alerte. Il permet donc à la fois d’isoler l’équipement à l’origine de l’attaque et de prévenir rapidement l’administrateur réseau.”
“Le réseau Wi-Fi invité doit être raccordé de façon à ne donner accès qu’à Internet. Les flux vers les VLAN internes et les serveurs de l’entreprise doivent être explicitement bloqués par le pare-feu, même après authentification sur le portail captif.”
“La collecte du téléphone personnel n’est pas justifiée si le téléphone professionnel permet déjà de contacter l’apprenant dans le cadre du traitement. En application du principe de minimisation, cette donnée doit donc être retirée du formulaire.”
MAC flooding concerne la table MAC du switch. ARP spoofing concerne les correspondances IP/MAC dans le cache ARP. Si le sujet montre une table MAC saturée, la réponse attendue est MAC flooding.
protect pour Port SecurityLe mode protect bloque sans alerte. Or le sujet demande une alerte automatique. Ce choix ne répond donc pas complètement au besoin.
Les règles de pare-feu sont évaluées dans l’ordre. Si le blocage général est placé avant les autorisations, les règles suivantes ne seront jamais atteintes.
Le RGPD ne demande pas de collecter “tout ce qui peut être utile”. Il impose de collecter uniquement ce qui est nécessaire au traitement.
Une bonne copie ne se limite pas à “le réseau est attaqué”. Elle explique le risque : interception de trafic, fuite de données, indisponibilité, non-conformité et nécessité d’une action rapide.
| Partie | Points | Ce qu’il faut sécuriser |
|---|---|---|
| Dossier A | 46 pts | MAC flooding, port security, trap SNMP, analyse de l’incident, mesures correctives |
| Dossier B | 34 pts | Wi-Fi invité, portail captif, règles de pare-feu, RGPD, minimisation des données |
Pour dépasser 15/20, il faut systématiquement associer la technique à la justification : nommer la solution, expliquer le mécanisme, puis montrer son effet concret dans l’entreprise SA Blanca.
Le signal principal est la saturation de la table MAC du commutateur, avec un nombre anormal d’adresses apprises sur un port d’accès. Le switch peut alors diffuser des trames comme un hub.
Parce que shutdown coupe le port en violation et déclenche une alerte, alors que protect bloque silencieusement sans prévenir l’administrateur.
Non. Un portail captif sert à contrôler l’accès invité à Internet. Il ne doit pas ouvrir l’accès aux serveurs internes ni aux VLAN de production.
Parce que le téléphone professionnel suffit si le traitement concerne une démarche liée à l’entreprise ou à la formation. Le téléphone personnel est une donnée excessive.
Il ne faut jamais placer la règle générale de blocage avant les règles d’autorisation utiles. Le DROP final doit venir en dernier.
Retrouvez les autres sujets BTS SIO disponibles pour compléter vos révisions.