TSSR module 4 : sécurité, consolidation et simulation de rentrée

Jour 43 · 15/12 — Sécurité : triade CIA, menaces courantes, hameçonnage

Objectif : classer une menace selon ce qu'elle attaque, et reconnaître un message d'hameçonnage.

Théorie 1/2 : la triade CIA

La sécurité de l'information protège trois propriétés, la « triade CIA » (en français DIC) :

• Confidentialité : seules les personnes autorisées lisent l'information (chiffrement, droits d'accès).
• Intégrité : l'information n'est pas modifiée sans qu'on le sache (empreintes, signatures, journaux).
• Disponibilité : l'information est accessible quand on en a besoin (redondance, sauvegardes, supervision).

Menaces courantes : hameçonnage (phishing), rançongiciel (qui chiffre les données et exige une rançon), vol d'identifiants, logiciel non mis à jour exploité, déni de service, erreur humaine.

Théorie 2/2 : reconnaître l'hameçonnage

Un message d'hameçonnage cherche à vous faire cliquer, ouvrir ou payer. Ses signaux : une urgence ou une menace (« compte suspendu dans 24 h »), un expéditeur dont le domaine ne correspond pas à l'organisation, un lien dont l'adresse réelle (au survol) diffère du texte, une pièce jointe inattendue (surtout une archive, un document à macros, un fichier exécutable), une demande d'identifiants ou de paiement, des fautes ou une mise en page approximative, une formule impersonnelle, une offre trop belle, un changement de coordonnées bancaires, une demande de discrétion. En France, le dispositif public Cybermalveillance.gouv.fr explique comment réagir et signaler.

Pratique (30 min)

1. Listez dans le carnet dix signaux d'arnaque, chacun avec un exemple inventé.
2. Ouvrez votre dossier de courriers indésirables (sans cliquer sur rien) : retrouvez au moins trois de ces signaux dans de vrais messages.
3. Dans un message, affichez la source ou les en-têtes complets : repérez l'expéditeur réel et le résultat des contrôles SPF, DKIM ou DMARC s'ils sont indiqués.

Synthèse (10 min)

Récitez la triade avec un exemple de protection par propriété, et cinq signaux d'hameçonnage.

Jour 44 · 16/12 — Authentification : mots de passe, MFA, moindre privilège

Objectif : savoir ce qui rend une authentification solide, et activer le MFA sur deux comptes.

Théorie (20 min)

• Les facteurs : ce que je sais (mot de passe), ce que je possède (téléphone, clé de sécurité), ce que je suis (empreinte). Le MFA (authentification multifacteur) en combine au moins deux de natures différentes : un mot de passe volé ne suffit plus.
• Les mots de passe : la longueur compte plus que la complexité ; un mot de passe unique par service, rangé dans un gestionnaire de mots de passe. L'ANSSI et la CNIL publient des recommandations sur leur robustesse.
• Les seconds facteurs ne se valent pas : le SMS est le plus faible (détournement de ligne), une application qui génère des codes à durée limitée (TOTP) est mieux, les clés de sécurité et les passkeys (FIDO2) résistent à l'hameçonnage.
• Le moindre privilège : chacun reçoit les droits nécessaires à sa tâche, pas plus. Un administrateur a deux comptes : un pour travailler au quotidien, un pour administrer.

Pratique (30 min)

1. Choisissez deux de vos comptes importants (messagerie, compte en ligne principal) et activez le MFA dans leurs paramètres de sécurité, avec une application d'authentification ou une clé de sécurité plutôt que le SMS quand c'est proposé.
2. Rangez les codes de secours là où vous les retrouverez sans le téléphone.
3. Dans la VM Debian, appliquez le moindre privilège : vérifiez qui est dans le groupe sudo (getent group sudo) et retirez ce qui n'a rien à y faire (sudo deluser bruno sudo si besoin).

Synthèse (10 min)

Trois lignes : les trois facteurs, pourquoi le SMS est le plus faible, ce qu'est le moindre privilège.

Jour 45 · 17/12 — Pare-feu : notions, ports, iptables et nftables

Objectif : lire les règles du pare-feu de la VM Debian et écrire une politique simple.

Théorie 1/2 : le filtrage

Un pare-feu laisse passer ou bloque le trafic selon des règles : adresse source et destination, protocole, port. Un pare-feu à états retient les connexions ouvertes : il laisse revenir les réponses à ce que vous avez demandé. La bonne politique : tout refuser par défaut en entrée, puis n'autoriser que le nécessaire. Ports à connaître : 22 SSH, 25 SMTP, 53 DNS, 67-68 DHCP, 80 HTTP, 443 HTTPS, 445 SMB, 3389 bureau à distance (RDP).

Théorie 2/2 : sous Linux

Le filtrage se fait dans le noyau, par le sous-système netfilter. iptables a été l'outil historique ; nftables le remplace et Debian l'utilise par défaut depuis Debian 10 (2019), la commande iptables y devenant une couche de compatibilité. Une installation Debian ne pose aucune règle : tout passe. Des outils simplifient l'écriture, comme ufw.

Pratique (30 min)

1. Prenez un instantané de la VM Debian : une règle mal écrite peut vous couper de SSH.
2. sudo nft list ruleset : probablement vide. Regardez aussi les ports ouverts : ss -tlnp.
3. Écrivez /etc/nftables.conf :

   #!/usr/sbin/nft -f
   flush ruleset
   table inet filter {
     chain input {
       type filter hook input priority 0; policy drop;
       iif lo accept
       ct state established,related accept
       tcp dport { 22, 80 } accept
       icmp type echo-request accept
       icmpv6 type { echo-request, nd-neighbor-solicit, nd-router-advert, nd-neighbor-advert } accept
     }
   }

4. Appliquez-le depuis la console de la VM (pas par SSH) : sudo nft -f /etc/nftables.conf, puis sudo systemctl enable nftables pour qu'il s'applique au démarrage.
5. Vérifiez depuis Windows : la page web et SSH répondent ; le partage SMB (445) ne répond plus. Ajoutez 445 à la liste si vous le voulez, rechargez, revérifiez.

Synthèse (10 min)

Trois lignes : politique par défaut, rôle de ct state established, pourquoi tester depuis la console. Récitez huit ports.

Jour 46 · 18/12 — VPN : site à site et nomade

Objectif : distinguer les deux usages du VPN et dessiner un accès distant.

Théorie (20 min)

Un VPN (réseau privé virtuel) crée un tunnel chiffré à travers Internet, comme si les deux bouts étaient sur le même réseau privé.

• Site à site : deux routeurs ou pare-feu relient en permanence deux réseaux, par exemple le siège et une agence. Les utilisateurs n'installent rien.
• Nomade (accès distant) : un client sur le poste du salarié ouvre le tunnel vers le pare-feu de l'entreprise, puis accède aux ressources internes après authentification, idéalement avec MFA.

Protocoles courants : IPsec (normalisé à l'IETF, très présent en site à site), OpenVPN (s'appuie sur TLS), WireGuard (moderne, simple, intégré au noyau Linux depuis la version 5.6 en 2020). Deux choix à expliquer : le split tunneling (seul le trafic vers l'entreprise passe par le tunnel) ou le tunnel complet (tout le trafic y passe, et peut être filtré par l'entreprise).

Pratique (30 min)

1. Dessinez un accès VPN nomade : le portable du salarié à son domicile, sa box, Internet, le pare-feu de l'entreprise avec son adresse publique (prenez 203.0.113.10), le réseau interne avec un serveur de fichiers et un contrôleur de domaine.
2. Indiquez : où commence et finit le tunnel, quelle adresse le portable reçoit dans le tunnel, où se fait l'authentification (et le MFA), ce que filtre le pare-feu après le tunnel.
3. Ajoutez une agence reliée en site à site sur le même schéma.

Synthèse (10 min)

Trois lignes : site à site contre nomade, trois protocoles, split tunneling.

Jour 47 · 19/12 — Antivirus, EDR, mises à jour, hygiène numérique

Objectif : savoir ce que protège chaque outil, et auditer rapidement sa propre machine.

Théorie (20 min)

• L'antivirus classique reconnaît des logiciels malveillants connus (signatures) et des comportements suspects. Windows intègre Microsoft Defender.
• L'EDR (Endpoint Detection and Response) enregistre l'activité des postes (processus, connexions, modifications), détecte les comportements d'attaque, et permet d'isoler un poste et d'enquêter. On le pilote depuis une console centrale, souvent avec une équipe de surveillance (SOC).
• Les mises à jour : la majorité des attaques réussies exploitent des failles déjà corrigées. On les applique vite, système et logiciels, après un test sur quelques postes en entreprise.
• L'hygiène numérique : comptes à jour (on supprime les comptes des partants), moindre privilège, sauvegardes testées, MFA, chiffrement des portables, inventaire du parc. L'ANSSI publie un guide d'hygiène informatique en 42 mesures pour les organisations.

Pratique (30 min) : audit de votre machine

1. Windows : Sécurité Windows → protection contre les virus, pare-feu, protection du compte ; Windows Update : des mises à jour en attente ?
2. Comptes : net user (Windows) ou la liste des comptes : qui est administrateur ? Un compte inutile ?
3. Chiffrement : BitLocker (Windows) ou LUKS (Linux) est-il actif sur votre portable ?
4. VM Debian : sudo apt update && apt list --upgradable, puis appliquez.
5. Sauvegarde : quand avez-vous restauré un fichier pour la dernière fois ?
6. Écrivez un rapport d'audit de dix lignes : constat, risque, action, priorité.

Synthèse (10 min)

Trois lignes : antivirus contre EDR, pourquoi les mises à jour d'abord, trois mesures d'hygiène.

Jour 48 · 20/12 — RGPD : l'essentiel pour un technicien

Objectif : connaître les principes qui changent la façon de travailler d'un technicien.

Théorie (20 min)

Le règlement général sur la protection des données (RGPD, règlement européen 2016/679) s'applique depuis le 25 mai 2018. Il protège les données personnelles : toute information qui identifie une personne, directement (nom) ou indirectement (adresse IP, identifiant, photo). En France, l'autorité de contrôle est la CNIL. Les principes de l'article 5 :

• licéité, loyauté et transparence ;
• limitation des finalités : collecter pour un but précis ;
• minimisation : seulement ce qui est nécessaire ;
• exactitude ;
• limitation de la conservation : une durée définie, puis suppression ;
• intégrité et confidentialité : une sécurité adaptée ;
• et la responsabilité : savoir le démontrer.

Pour un technicien, concrètement : ne consulter des données personnelles que pour son intervention, ne pas les copier sur une clé personnelle, signaler sans délai une fuite ou une perte (l'organisation dispose de 72 heures pour notifier la CNIL d'une violation à risque), respecter les durées de conservation des journaux et des sauvegardes.

Pratique (30 min)

1. Lisez sur le site de la CNIL la page qui présente les principes du RGPD et celle sur la sécurité des données personnelles.
2. Rédigez votre fiche de cinq lignes « à connaître » : ce qu'est une donnée personnelle, les principes clés, vos réflexes d'intervention, le délai de notification, qui prévenir dans l'organisation (le délégué à la protection des données, DPO).
3. Repensez au plan de sauvegarde du jour 36 : quelle durée de conservation fixeriez-vous, et pourquoi ?

Synthèse (10 min)

Récitez votre fiche de mémoire.

Jour 49 · 21/12 — Révisions de maths : conversions et puissances de 2

Objectif : vingt calculs chronométrés, sans calculatrice, et mesurer le progrès depuis le jour 3.

Théorie (20 min) : les tables à savoir

Relisez votre carnet des jours 3, 10, 17 à 19 : les poids d'un octet, les puissances de 2 jusqu'à 2¹⁶, la table des préfixes /25 à /30, la méthode du pas. Puis enchaînez les générateurs ci-dessous : l'objectif est la vitesse.

Pratique (30 min)

Vingt calculs sur papier, chronomètre lancé : cinq décimal → binaire, cinq binaire → décimal, trois hexadécimal ↔ décimal, trois nombres d'hôtes, deux adresses réseau, deux adresses de diffusion. Objectif : moins de 30 secondes par conversion. Notez votre temps total et comparez-le à celui du jour 3.

Synthèse (10 min)

Notez les deux types de calculs les plus lents : ce sont eux que vous referez au jour 55.

Jour 50 · 22/12 — Anglais technique : deux documentations officielles

Objectif : lire deux pages de documentation officielle en anglais et les résumer chacune en trois phrases.

Théorie (20 min) : lire une documentation

Une documentation officielle a souvent la même structure : Overview (à quoi ça sert), Prerequisites (ce qu'il faut avant), Installation ou Getting started, Configuration, Examples, Troubleshooting, Reference. Lisez d'abord les titres, puis les exemples, puis le texte. Mots fréquents : deprecated (obsolète, à ne plus utiliser), default (valeur par défaut), required / optional, supported, warning, note, see also.

Pratique (30 min)

1. Lisez la page de manuel de nft (section d'introduction), ou la page « Getting started » de la documentation nginx ou Docker.
2. Lisez une page de Microsoft Learn en anglais sur un sujet vu : les comptes locaux, les GPO ou Get-Service.
3. Résumez chacune en trois phrases en anglais : ce que c'est, comment on s'en sert, un piège ou une limite.
4. Ajoutez les mots nouveaux à vos fiches du jour 11.

Synthèse (10 min)

Relisez vos deux résumés à voix haute.

Jour 51 · 23/12 — Le métier : ticketing, SLA, ITIL, relation client

Objectif : rédiger des tickets clairs et comprendre comment un support s'organise.

Théorie 1/2 : ITIL et les tickets

ITIL est un ensemble de bonnes pratiques de gestion des services informatiques, né au Royaume-Uni à la fin des années 1980 (la version actuelle est ITIL 4). Deux notions à ne pas confondre :

• un incident : une interruption ou une dégradation d'un service (« l'imprimante du 2^e n'imprime plus ») ;
• une demande de service : une demande normale (« créer le compte d'un nouvel arrivant »).

Un problème est la cause d'un ou plusieurs incidents, qu'on cherche à éliminer. Chaque demande devient un ticket dans un outil (GLPI est un outil libre très répandu en France), avec une priorité calculée selon l'impact (combien de personnes) et l'urgence.

Théorie 2/2 : SLA et relation client

Le SLA (accord de niveau de service) fixe les engagements : délai de prise en charge, délai de résolution selon la priorité, horaires couverts, disponibilité promise. Les niveaux de support : niveau 1 (accueil, diagnostic, résolution simple), niveau 2 (technicien spécialisé), niveau 3 (expert ou éditeur). Face à l'utilisateur : écouter, reformuler, poser des questions fermées pour diagnostiquer, annoncer un délai et le tenir, expliquer sans jargon, confirmer la résolution avant de clore.

Pratique (30 min)

Rédigez deux tickets fictifs complets :

1. Un incident : demandeur, date, catégorie, impact, urgence, priorité, description factuelle (ce qui se passe, depuis quand, message d'erreur exact), diagnostic, actions menées dans l'ordre, résolution, confirmation de l'utilisateur, temps passé.
2. Une demande : l'arrivée d'une salariée en compta (compte, groupe, accès au partage du jour 34, messagerie, poste), avec la liste des tâches et qui valide.

Synthèse (10 min)

Trois lignes : incident, demande, problème ; ce qu'engage un SLA ; les trois niveaux de support.

Jour 52 · 24/12 — Refaire le labo réseau complet en une session

Objectif : refaire seul, d'une traite, VLAN, routage, DHCP, DNS et NAT dans Packet Tracer.

Théorie (20 min) : le plan avant le câblage

Avant de poser un équipement, écrivez le plan d'adressage : chaque réseau, son préfixe, sa passerelle, la plage DHCP, les adresses fixes. Puis câblez, configurez couche par couche, et testez à chaque étape au lieu de tout tester à la fin.

Pratique (30 min, chronométrée)

1. Un switch avec les deux VLAN ; un routeur en « router-on-a-stick » : sous-interfaces gi0/0.10 et gi0/0.20 avec encapsulation dot1Q 10 (et 20), le port du switch en trunk.
2. Un pool DHCP par VLAN sur le routeur, en excluant les passerelles.
3. Un serveur Packet Tracer sur le réseau serveurs, service DNS actif avec un enregistrement A intranet.pme.example, et donné comme DNS dans les pools.
4. Un second routeur pour « Internet », le lien en /30, le NAT surchargé sur le premier.
5. Tests : un PC de chaque VLAN obtient une adresse, joint l'autre VLAN, résout intranet.pme.example, joint le routeur « Internet ».

Synthèse (10 min)

Comparez avec le jour 28 : temps passé, commandes oubliées, pannes rencontrées. Notez ce qui reste fragile.

Jour 53 · 25/12 — Refaire le labo Linux complet

Objectif : refaire seul les permissions, les services et un script, sur une VM propre.

Théorie (20 min) : la liste de contrôle

Relisez votre carnet des jours 7 à 9, 32, 37 à 39 et 45, puis écrivez la liste de ce que vous allez faire, sans les commandes : c'est votre plan. Les commandes viendront de mémoire.

Pratique (30 min, chronométrée)

1. Restaurez l'instantané propre de la VM Debian.
2. Utilisateurs et groupes : deux comptes, un groupe, un répertoire partagé en 770, testé avec les deux comptes.
3. Services : nginx installé, page déposée, activé au démarrage ; vérifié par curl et depuis Windows.
4. Pare-feu : la politique du jour 45, appliquée et persistante.
5. Script : le script de sauvegarde du jour 39, planifié par cron, avec une restauration testée.
6. Journaux : retrouvez dans journalctl le démarrage de nginx et une connexion SSH.

Synthèse (10 min)

Comparez avec le jour 14 : temps, hésitations, commandes à revoir.

Jour 54 · 26/12 — QCM blanc type CCNA 1

Objectif : passer un examen blanc dans les conditions réelles et relever précisément vos trous.

Théorie (20 min) : préparer l'épreuve

Le cours « CCNA: Introduction to Networks » de la Cisco Networking Academy (le premier des trois cours CCNA) se termine par des examens de module et un examen final ; si vous y avez accès, passez l'examen d'entraînement (« practice final »). Sinon, composez votre propre QCM de 50 questions à partir de vos quiz des jours 14 et 28 et des exercices de ce site. Règles : une heure, pas de notes, pas de calculatrice, une seule tentative.

Pratique (30 min)

1. Passez le QCM (débordez sur la synthèse si besoin : l'épreuve compte plus que le minutage aujourd'hui).
2. Notez votre score.
3. Pour chaque erreur : le sujet, la bonne réponse, et pourquoi vous vous êtes trompé (oubli, confusion, calcul, lecture trop rapide).

Synthèse (10 min)

Classez vos trous par sujet : ce sera le programme de demain.

Jour 55 · 27/12 — Combler les trous

Objectif : reprendre les sujets ratés la veille et refaire leurs exercices.

Théorie (20 min)

Pour chacun des trois sujets les plus ratés, relisez la séance correspondante de ce parcours et refaites sa synthèse de mémoire. Les générateurs ci-dessous couvrent les calculs, qui sont la cause d'erreur la plus fréquente.

Pratique (30 min)

1. Refaites les exercices ratés du QCM, puis des exercices du même type tirés des séances concernées.
2. Pour chaque confusion (par exemple SMTP et IMAP, ou incrémentale et différentielle), écrivez une phrase qui les distingue.

Synthèse (10 min)

Repassez les questions ratées du QCM : combien en réussissez-vous maintenant ?

Jour 56 · 28/12 — Projet final 1/2 : la PME virtuelle

Objectif : monter la maquette d'une petite entreprise : annuaire, DHCP, DNS, partage de fichiers, impression.

Théorie (20 min) : le cahier des charges

La PME de votre jour 33 : vingt personnes, deux services (Compta, Atelier). Elle a besoin d'un annuaire pour les comptes, d'adresses distribuées automatiquement, de noms résolus en interne, d'un dossier partagé par service, d'une imprimante partagée. Deux voies, selon votre matériel :

• Tout en Packet Tracer : les serveurs simulés fournissent DHCP, DNS et un service de fichiers ; l'annuaire reste un schéma.
• Avec des VM : une VM Windows Server en évaluation (contrôleur de domaine, DNS, DHCP, partages, impression) et votre VM Windows 11 jointe au domaine ; la VM Debian peut fournir le partage Samba et l'imprimante PDF.

Pratique (30 min)

1. Écrivez le plan d'adressage et la liste des serveurs avec leur rôle.
2. Câblez la maquette (Packet Tracer) ou créez les VM sur un réseau interne VirtualBox.
3. Mettez en place, dans l'ordre : annuaire (ou son schéma), DNS, DHCP, partages par service avec les droits par groupe, imprimante partagée.
4. Testez depuis un poste de chaque service : adresse reçue, nom résolu, accès à son partage et refus sur l'autre, impression.

Synthèse (10 min)

Listez ce qui marche, ce qui ne marche pas, et ce qui reste pour demain.

Jour 57 · 29/12 — Projet final 2/2 : sécuriser et documenter

Objectif : durcir la maquette et rédiger sa documentation technique.

Théorie (20 min) : la documentation d'un projet

Le dossier technique attendu en formation suit souvent ce plan : contexte et besoin, architecture (schéma réseau, plan d'adressage), installation et configuration de chaque service, sécurité appliquée, tests réalisés avec leurs résultats, procédures d'exploitation (sauvegarde, ajout d'un utilisateur), limites et améliorations possibles. Un schéma lisible vaut une page de texte.

Pratique (30 min)

1. Sécurisez : pare-feu (seuls les ports utiles), droits par groupe vérifiés, comptes nominatifs, comptes d'administration séparés, mots de passe solides, mises à jour appliquées, une sauvegarde planifiée.
2. Retestez tout ce qui marchait hier : une sécurisation qui casse un service est une panne.
3. Rédigez la documentation selon le plan ci-dessus, avec le schéma.

Synthèse (10 min)

Faites relire la documentation à quelqu'un, ou relisez-la le lendemain matin : chaque question qu'elle soulève est un manque.

Jour 58 · 30/12 — Présentation orale du projet

Objectif : présenter le projet en cinq minutes, à voix haute, comme devant un formateur.

Théorie (20 min) : construire les cinq minutes

1. Le contexte et le besoin (30 s).
2. L'architecture, sur le schéma (1 min).
3. Les services mis en place et un choix justifié (1 min 30).
4. La sécurité (1 min).
5. Une démonstration ou une preuve de test, et une difficulté surmontée (45 s).
6. Les limites et la suite (15 s).

Préparez trois questions qu'on pourrait vous poser, avec votre réponse. Justifier un choix (« pourquoi un /25 ? », « pourquoi ce pare-feu ? ») compte plus que l'énumérer.

Pratique (30 min)

1. Faites la présentation debout, à voix haute, chronométrée, en vous enregistrant.
2. Réécoutez : temps, tics de langage, passages flous.
3. Recommencez une fois en corrigeant.

Synthèse (10 min)

Notez trois améliorations pour la prochaine présentation.

Jour 59 · 31/12 — Bilan final

Objectif : une fiche récapitulative de deux pages : ce que je sais faire, ce qui est à revoir.

Théorie (20 min) : relire le carnet

Relisez tout votre carnet, des jours 1 à 58. Notez au passage les sujets où vos synthèses étaient hésitantes.

Pratique (30 min)

1. Page 1, « ce que je sais faire » : pour chaque module, les compétences acquises, chacune avec sa preuve (un exercice réussi, un labo refait, un document).
2. Page 2, « à revoir » : les sujets fragiles, classés par priorité, avec la séance à reprendre.
3. Cochez honnêtement la check-list de rentrée de la page du parcours.

Synthèse (10 min)

Trois lignes dans le carnet : ce dont vous êtes le plus fier, ce qui vous a le plus coûté, ce que vous ferez la première semaine de formation.