U7 — Cybersécurité des services informatiques
Session 2025 — SA Blanca

LED module d'extension orange clignotant → dysfonctionnement sur le commutateur (défaillance d'un port, module ou ventilateur) — Doc A3.

LED des ports orange clignotant très rapidement → collisions détectées à très haute fréquence (la fréquence de clignotement est proportionnelle à la fréquence des collisions) — Doc A3.

Conclusion : le commutateur D2 subit un nombre anormal de collisions, ce qui provoque les lenteurs généralisées sur le VLAN 10.

a) Trame anormale :
La trame n°03 (IP src 192.168.10.61 → dst 192.168.10.86) ne devrait pas apparaître sur la machine 192.168.10.86 car elle n'en est pas la destination. En fonctionnement normal, un commutateur envoie une trame uniquement vers le port correspondant à l'adresse MAC de destination. Si 192.168.10.86 reçoit cette trame, c'est que le commutateur diffuse en broadcast (mode hub).

b) Table MAC saturée → mode fail-open :
La table MAC affiche 8 000/8 000 entrées (capacité RAM maximale atteinte). Les adresses MAC enregistrées sont très proches (0030c1-7f49xx sur les mêmes ports), signe qu'une seule source génère des milliers d'adresses MAC aléatoires. La mémoire étant pleine, le commutateur ne peut plus enregistrer de nouvelles associations → il passe en mode fail-open et se comporte comme un concentrateur (hub) : il diffuse toutes les trames sur tous les ports du VLAN — Doc A1.

c) Impact sur les autres commutateurs :
Les autres commutateurs (C1, C2, D1…) reçoivent massivement ce trafic via les liens inter-commutateurs. Leurs tables MAC se remplissent à leur tour (Doc A7 : C1 port 11 = 601* adresses, C2 port 24 = 601* adresses, D1 port 24 = 603* adresses — toutes en augmentation rapide). Conséquence : saturation progressive de tout le VLAN 10, lenteurs extrêmes généralisées puis impossibilité totale d'utiliser le réseau.

a) Risque RGPD :
Le NAS (192.168.10.243) contient des données personnelles de clients et utilisateurs. Il est accessible via SMBv2 non chiffré (Doc A4 — trames 01 et 04). En mode fail-open, toutes les trames sont diffusées à tous les hôtes du VLAN 10 : n'importe quel équipement peut intercepter les échanges SMB contenant des données personnelles.
→ Critère RGPD violé : confidentialité des données à caractère personnel (article 32 RGPD — obligation de sécurité des traitements).

b) Évolution architecture :
Isoler les serveurs sensibles (NAS, serveurs administratifs) dans un VLAN dédié séparé du VLAN 10 (utilisateurs). Même en cas de saturation du VLAN utilisateurs, les serveurs ne sont pas exposés. Ajouter des règles de filtrage sur les commutateurs L3 pour contrôler l'accès aux serveurs. Envisager SMBv3 chiffré pour les échanges avec le NAS.

Non, la priorité doit être réévaluée à P1 — Majeure.

Raisonnement selon la matrice ITIL (Doc A5) :
• Impact = Élevé : toute l'organisation est affectée (tous les services, tous les utilisateurs → impossibilité totale d'utiliser le réseau)
• Urgence = Urgent : blocage complet de l'activité de l'organisation → système critique indisponible

Matrice ITIL : Impact Élevé + Urgence Urgent → P1 — Majeure

Définition P1 : "Interruption complète d'un service, application ou système, du réseau ou d'un élément de configuration identifié comme critique." Délai de résolution cible : 2 heures.

Initialement P2 car le réseau fonctionnait avec des lenteurs (performance réduite). Maintenant le réseau est totalement bloqué → P1.

Action : Utiliser l'interrupteur d'arrêt d'urgence de l'armoire contenant tous les commutateurs.

Justification :
• Impossible de se connecter à l'interface de contrôle des commutateurs (réseau saturé)
• L'arrêt d'urgence coupe l'alimentation → vide les tables MAC stockées en RAM (mémoire volatile)
• Au redémarrage, les commutateurs repartent avec des tables MAC vides → retrouvent un fonctionnement normal (mode commutateur, pas hub)
• Doc A1 : "Un redémarrage de ces derniers permet de vider ces tables et de retrouver provisoirement un fonctionnement normal."
• C'est une solution provisoire : il faudra ensuite identifier et neutraliser la source de l'attaque.

L'appareil responsable est connecté au port 13 du commutateur D2.

Raisonnement :

a) Réponse partielle du port security :
✅ Limite le nombre d'adresses MAC autorisées par port → détecte et bloque une tentative de MAC flooding
✅ Peut isoler le port incriminé
❌ Ne génère pas d'alerte automatique vers le responsable → nécessite d'être complété par SNMP

b) Type de réaction le plus adapté : shutdown

a) Trap SNMP vs requête SNMP classique (polling) :
• Polling = le serveur interroge périodiquement l'équipement → si l'incident survient entre deux interrogations, il peut ne pas être détecté à temps
• Trap SNMP = notification non sollicitée envoyée immédiatement par le commutateur au serveur de supervision dès que l'événement se produit (violation port-security)
→ Dans ce contexte (P1, réactivité critique), le trap permet une alerte en temps réel sans délai
→ Configuration : snmp-server trap port-security → alerte dès qu'une violation est détectée

b) Deux paramètres de sécurité SNMPv3 :

• Isolation physique totale du réseau Wi-Fi Invité (192.168.30.0/24) vis-à-vis du VLAN 10 → impossibilité physique d'accéder aux ressources internes
• Le pare-feu intercepte et filtre tout le trafic Wi-Fi Invité avant qu'il atteigne internet (politique tout interdit par défaut)
• Le portail captif est hébergé sur le pare-feu (IP 192.168.30.1) → même équipement gère l'authentification ET le filtrage
• Si le Wi-Fi était connecté au cœur de réseau (C1/C2), un bug de configuration pourrait permettre aux apprenants d'accéder au VLAN 10 → risque éliminé par la connexion directe au pare-feu