Le sujet Everest ne demande pas seulement de connaître des notions techniques. Il faut raisonner comme un administrateur systèmes et réseaux chargé de sécuriser une intégration d’entreprise. Everest rachète KliK, récupère un parc de 50 postes Windows et un domaine Active Directory, puis doit sécuriser les accès, l’interconnexion réseau et la collecte des journaux. La bonne copie doit donc relier sécurité Active Directory, VPN, journalisation Syslog, sauvegarde et conformité RGPD.
Avant de traiter les questions, il faut classer les informations du sujet en quatre dimensions. Cette grille évite les réponses dispersées et permet de construire des réponses professionnelles.
Le correcteur valorise les réponses qui expliquent le risque réel et l’effet de la solution. Écrire “LAPS améliore la sécurité” est trop vague. Une bonne réponse explique que LAPS génère un mot de passe administrateur local différent pour chaque poste, ce qui bloque la propagation latérale si un poste est compromis.
| Dossier | Ce qu’il teste | Attente principale |
|---|---|---|
| Dossier A Intégration KliK | Audit AD, PingCastle, LAPS, VPN IPsec, choix d’architecture, limites du cloud-managé | Identifier les risques et proposer des mesures concrètes de sécurisation. |
| Dossier B Logs et supervision | Syslog, calcul de priorité, TLS, relais locaux, sauvegarde 3-2-1-1-0, RGPD/CNIL | Concevoir une journalisation fiable, sécurisée, exploitable et conforme. |
Dans ce sujet, une réponse technique doit être précise, mais aussi lisible. Le correcteur doit voir immédiatement la logique : problème identifié, risque concret, solution proposée, justification.
Exemple : “Le mot de passe administrateur local identique sur tous les postes crée un risque de mouvement latéral. Si un attaquant récupère le hash sur un poste, il peut l’utiliser sur les autres. LAPS corrige ce problème en générant un mot de passe unique par machine et en le renouvelant automatiquement.”
Pour les priorités Syslog, il faut appliquer la formule sans improviser :
Priorité = Facility × 8 + Severity
La difficulté vient rarement du calcul lui-même. Le piège vient du choix du bon code facility et du bon niveau severity. Il faut donc recopier la donnée exacte du tableau avant de calculer.
Le raisonnement attendu est le suivant : les équipements de chaque agence envoient leurs logs vers un relais local ; le relais local stocke temporairement les journaux ; le collecteur central reçoit les journaux consolidés ; TLS sécurise les flux ; la politique de sauvegarde garantit la récupération après incident.
“PingCastle permet d’obtenir une vision synthétique du niveau de sécurité du domaine Active Directory de KliK. L’outil ne se limite pas à lister des erreurs : il met en évidence des risques exploitables, par exemple des comptes administrateurs trop anciens, des mots de passe qui n’expirent jamais ou des comptes inactifs encore actifs. Ces informations permettent à Everest de prioriser les corrections avant l’intégration du domaine KliK dans son infrastructure.”
“LAPS doit être déployé sur les postes KliK car le même mot de passe administrateur local sur plusieurs machines facilite le Pass-the-Hash. Si un attaquant compromet un poste, il peut réutiliser le hash du compte administrateur local sur les autres postes. Avec LAPS, chaque poste dispose d’un mot de passe local unique, stocké de manière protégée dans l’Active Directory et renouvelé automatiquement. Le mouvement latéral devient donc beaucoup plus difficile.”
“Le full-tunnel est plus contraignant pour la bande passante, mais il permet de faire passer le trafic de KliK par les équipements de sécurité d’Everest. Ce choix facilite le filtrage, la journalisation et l’application d’une politique de sécurité unique. Dans un contexte d’intégration d’une société rachetée, cette centralisation est plus cohérente qu’un accès internet direct non maîtrisé.”
“Les relais Syslog locaux sont nécessaires pour éviter la perte de journaux lors d’une coupure VPN. Si l’agence ne peut plus joindre le collecteur central, le relais local continue de recevoir les logs et les retransmet lorsque la liaison revient. Cette architecture améliore la résilience et garantit une meilleure continuité de preuve en cas d’incident de sécurité.”
“L’utilisation de TLS pour Syslog protège les journaux en transit. Le chiffrement empêche la lecture des logs par un tiers, l’intégrité limite le risque de modification et l’authentification par certificat évite l’injection de faux journaux. C’est indispensable car les logs peuvent contenir des adresses IP, des identifiants et des événements d’authentification.”
Dire “PingCastle détecte des failles Active Directory” est insuffisant. Il faut expliquer comment une faille peut être exploitée : vol de hash, accès administrateur, mouvement latéral, persistance, compromission du domaine.
Une GPO de complexité renforce les mots de passe, mais ne résout pas le problème d’un mot de passe administrateur local identique partout. LAPS apporte une réponse spécifique : un mot de passe local unique par machine.
Le split-tunnel peut améliorer la latence, mais il réduit le contrôle centralisé. Dans un sujet orienté sécurité, il faut discuter le compromis performance/sécurité et ne pas oublier la journalisation centralisée.
“Strictement inférieure à 5” signifie niveaux 0, 1, 2, 3 et 4. La commande attendue est donc logging trap 4, pas logging trap 5.
Les journaux peuvent contenir des données personnelles. Il faut parler d’information des salariés, de finalité, de proportionnalité, de durée de conservation et de limitation des accès.
La page d’origine indique deux blocs principaux : un dossier A de 30 points et un dossier B de 50 points. Le dossier B est donc le plus rentable et doit être traité avec soin, notamment les questions de Syslog, de sécurisation TLS, de sauvegarde et de conformité.
| Compétence évaluée | Ce qui rapporte des points | Ce qui fait perdre des points |
|---|---|---|
| Analyse Active Directory | Risque identifié + scénario d’attaque + correction | Liste d’alertes sans explication |
| LAPS | Mot de passe unique, rotation, stockage AD, limitation du mouvement latéral | Réponse vague du type “sécurise les mots de passe” |
| VPN | Comparer performance, filtrage, supervision, journalisation | Choisir sans discuter les conséquences |
| Syslog | Architecture relais + collecteur, calculs corrects, TLS justifié | Oublier résilience ou confondre severity/facility |
| RGPD / CNIL | Information, finalité, durée, accès limité, conservation raisonnable | Parler uniquement technique sans protection des données |
Le sujet est exigeant parce qu’il mélange cybersécurité, réseau, systèmes, exploitation et droit des données personnelles. Il reste néanmoins accessible si les réponses sont bien structurées. Les points sont surtout perdus quand le candidat connaît les notions mais ne les applique pas au contexte Everest/KliK.
Une copie à 15+ est structurée, précise et contextualisée. Elle ne récite pas “LAPS, VPN, Syslog” comme des mots-clés : elle explique pourquoi ces solutions sont adaptées au rachat de KliK par Everest, comment elles réduisent les risques et quelles limites il faut surveiller.
Le réflexe gagnant : pour chaque solution, écrire au moins un risque traité, un effet technique et une phrase d’application à Everest/KliK.
LAPS protège surtout contre le mouvement latéral lié à la réutilisation du même mot de passe administrateur local. Chaque poste possède son propre mot de passe, ce qui empêche un hash récupéré sur une machine de fonctionner sur tout le parc.
PingCastle permet d’auditer rapidement le domaine Active Directory de KliK et de prioriser les corrections avant l’intégration dans l’infrastructure Everest.
Le split-tunnel améliore la performance, mais le full-tunnel renforce le contrôle centralisé. Dans un contexte de sécurisation, le full-tunnel est plus facile à défendre si l’on justifie le filtrage, la supervision et la journalisation.
Les relais locaux évitent la perte de logs en cas de coupure VPN. Ils stockent temporairement les journaux puis les retransmettent au collecteur central.
Confondre “strictement inférieur à 5” et “inférieur ou égal à 5”. Pour n’envoyer que les niveaux 0 à 4, la commande est logging trap 4.
Retrouvez les autres sujets BTS SIO disponibles pour compléter vos révisions.