Cybersecurity Interview Preparation (FR)
Interview preparation questions and answers in French.
Explique-moi le principe de la CIA Triade en sécurité ?#
« Explique-moi le principe de la CIA Triade en sécurité ? »CIA Triad "La CIA Triade représente les trois objectifs principaux de la sécurité informatique Confidentialité : protéger les données pour qu’elles restent secrètes et accessibles uniquement aux personnes autorisées. Par exemple : cryptage, contrôle d’accès. Intégrité : garantir que les données restent correctes et qu’elles n’ont pas été modifiées de manière non autorisée. Par exemple : hachage, signatures numériques. Disponibilité : les informations doivent être accessibles quand on en a besoin.Par exemple : sauvegardes, redondance.
Quelle est la différence entre Threat, Vulnerability et Risk ?#
« Quelle est la différence entre Threat, Vulnerability et Risk ? »Menace (Threat) : tout ce qui peut potentiellement causer un dommage au système. Exemples : un pirate, un malware.
Vulnérabilité : une faiblesse ou faille dans le système. Exemple : un logiciel non mis à jour.
Risque : la probabilité qu’une menace exploite une vulnérabilité et cause un dommage.
Formule simple :
"Risque = Menace × Vulnérabilité"Donne des exemples d’attaques courantes.#
« Donne des exemples d’attaques courantes. »Injection SQL (SQL Injection) Cross-Site Scripting (XSS) Cross-Site Request Forgery (CSRF) Attaques par déni de service (DoS/DDoS) Phishing (hameçonnage)
Quelles sont les étapes d'une attaque ?#
« Quelles sont les étapes d'une attaque ? »Reconnaissance : collecte d’informations sur la cible. Exemples : recherche WHOIS, Google, réseaux sociaux. Scanning : identification des services et ports ouverts. Outil : Nmap. Exploitation : utilisation d’une faille pour accéder ou contrôler le système. Exemple : exploitation d’une vulnérabilité SQLi.
Explique le concept de Defense in Depth.#
« Explique le concept de Defense in Depth. (Défense en profondeur) »"La défense en profondeur est une stratégie de sécurité qui utilise plusieurs couches de protection. Même si une couche échoue, les autres continuent à protéger le système. Exemples : pare-feu, systèmes de détection d’intrusion (IDS), cryptage, contrôle des accès."
C’est quoi le Principle of Least Privilege ?#
« C’est quoi le Principle of Least Privilege ? »"C’est une règle qui dit qu’on donne à chaque utilisateur uniquement les permissions dont il a besoin pour son travail, rien de plus. Ça réduit l’impact d’une attaque ou d’une erreur."
Donne-moi quelques bonnes pratiques en sécurité.#
« Donne-moi quelques bonnes pratiques en sécurité. »Utiliser des mots de passe forts et l’authentification à deux facteurs (MFA). Chiffrer les données au repos et en transit. Mettre à jour les logiciels régulièrement. Appliquer le principe du moindre privilège. Surveiller et enregistrer les activités (logs). Faire des sauvegardes régulières.
Qu’est-ce que l’Attack Surface ? (Surface d’attaque)#
« Qu’est-ce que l’Attack Surface ? (Surface d’attaque) »"La surface d’attaque est l’ensemble des points par lesquels un attaquant peut attaquer un système. Exemples : ports ouverts, services vulnérables, mots de passe faibles. L’objectif en sécurité est de réduire cette surface au maximum."
Quels sont les types d’Access Control ?#
« Quels sont les types d’Access Control ? »DAC : Discretionary Access Control#
C’est quand TOI tu choisis qui a accès. Tu es le propriétaire du fichier. Tu dis : « Oui, toi tu peux voir mon fichier » ou « Non, toi tu peux pas ».
Exemple très simple :
Sur ton ordinateur, tu partages un dossier avec ton ami. Tu cliques sur « Partager ». ➜ C’est toi qui décides. ➜ DAC = tu décides toi-même.
MAC : Mandatory Access Control#
C’est quand les RÈGLES sont imposées par l’entreprise ou le système. TOI tu peux pas changer les permissions. Les règles sont très strictes.
Exemple très simple :
Dans l’armée : Si t’as pas la bonne autorisation, même si tu veux, tu peux pas voir le document. ➜ Personne ne peut changer ça sauf l’administrateur principal. ➜ MAC = règles strictes imposées.
RBAC : Role-Based Access Control#
C’est basé sur ton RÔLE. Les accès dépendent de ton poste.
Exemple très simple :
Dans une entreprise : Employé : peut voir ses propres infos. Manager : peut voir l’équipe. Admin : peut tout voir et changer. ➜ RBAC = accès selon ton rôle.
ABAC : Attribute-Based Access Control#
C’est plus complexe et flexible. Les accès dépendent de plusieurs choses en même temps.
Exemple ultra simple :
On regarde : Ton poste (employé, manager) Ton service (RH, Finance) Ton lieu (au bureau ou à la maison) L’heure (pendant le travail ou pas) ➜ Tout ça décide si tu peux accéder ou non. ➜ ABAC = accès selon plusieurs critères.
Conclusion :
DAC = C’est toi qui choisis.
MAC = Règles imposées, très strictes.
RBAC = Accès selon ton poste.
ABAC = Accès selon plusieurs conditions.ÉTAPE 2 : Database Security Concepts
Comment tu fais pour sécuriser les données dans la base de données ?#
« Comment tu fais pour sécuriser les données dans la base de données ? »"Je protège les données dans la base de plusieurs façons :
1️⃣ Chiffrement au repos
Je chiffre les données stockées sur le disque. Comme ça, même si quelqu’un vole le disque dur ou fait une copie des fichiers, il ne peut pas les lire. Exemple : TDE (Transparent Data Encryption).
2️⃣ Contrôle des accès (Access Control)
Je définis qui a le droit de lire ou modifier les données. J’applique le principe du moindre privilège : chacun a seulement les droits qu’il lui faut. J’utilise des rôles et des permissions.
3️⃣ Authentification forte
Je demande des mots de passe forts. J’active l’authentification à deux facteurs (MFA) pour les comptes d’administration.
4️⃣ Audits et logs
Je garde des traces (logs) de qui se connecte et de ce qu’il fait. Comme ça je peux détecter les accès suspects.
5️⃣ Masquage des données (Data Masking)
Je masque les données sensibles pour les environnements de test ou pour certains utilisateurs. Exemple : remplacer un numéro de carte bancaire par ****.
6️⃣ Sauvegardes chiffrées
Je fais des copies de sauvegarde régulières. Je chiffre les sauvegardes pour qu’elles restent protégées même si elles sont volées.
7️⃣ Mises à jour et correctifs (Patching)
Je tiens la base à jour pour corriger les failles de sécurité."
et bien sur "Je choisis aussi le bon système de base de données en fonction des besoins et de la sécurité. Par exemple :
PostgreSQL : très robuste, beaucoup de fonctionnalités de sécurité comme TDE, rôles avancés.
MySQL : populaire, avec options de chiffrement et gestion des utilisateurs.
SQL Server : offre TDE intégré, gestion avancée des permissions.
Oracle : très sécurisé avec des options de chiffrement et audit détaillé.Le choix du moteur est important pour la sécurité globale."
Comment sécuriser les données en transit ?#
« Comment sécuriser les données en transit ? »"Je chiffre les communications entre l’application et la base avec TLS/SSL. Comme ça personne ne peut intercepter et lire les données pendant le transfert."
Explique le principe du moindre privilège en base de données.#
« Explique le principe du moindre privilège en base de données. »"Je donne à chaque utilisateur seulement les permissions dont il a besoin. Par exemple : un lecteur ne peut que lire. Ça limite les dégâts en cas d’attaque."
Pourquoi c’est important de faire des logs et audits sur la base ?#
« Pourquoi tu fais des logs ? »Les logs permettent de détecter des activités suspectes. En cas d’attaque, on peut enquêter et comprendre ce qui s’est passé."
Pourquoi faire des sauvegardes (backups)?#
« Pourquoi faire des sauvegardes régulières ? »"Pour ne pas perdre les données en cas de problème. Exemple : panne, attaque ransomware. On peut restaurer la base et continuer à travailler."
Qu’est-ce que le patching ?#
« C’est quoi patcher une base ? »"C’est mettre à jour la base pour corriger des failles de sécurité. Sans patch, des pirates peuvent utiliser ces failles pour attaquer."
C’est quoi le chiffrement au repos ?#
« Explique le chiffrement at rest. »"C’est chiffrer les données stockées sur le disque. Même si quelqu’un vole le disque ou les fichiers, il ne pourra pas les lire."
C’est quoi le chiffrement en transit ?#
« Explique le chiffrement in transit. »"C’est chiffrer les données quand elles voyagent entre l’application et la base. Exemple : avec TLS. Personne ne peut les lire sur le réseau."
Qu’est-ce que le hardening d’une base de données ?#
« Explique le hardening. »"C’est rendre la base plus sécurisée : Désactiver les comptes inutiles. Fermer les ports non utilisés. Appliquer les patchs. Limiter les accès."
C’est quoi le contrôle d’accès dans une base ?#
« Explique le contrôle d’accès. »"C’est gérer qui a le droit de faire quoi sur la base : Lire Écrire Supprimer On donne les droits selon le besoin, pas plus."
ÉTAPE 3 : Authentication / Authorization#
Quelle est la différence entre Authentification et Autorisation ?#
« Quelle différence fais-tu entre authentification et autorisation ? » Authentification : vérifier qui est la personne. ➜ Exemple : entrer un mot de passe, scanner un badge.
Autorisation : vérifier ce qu’elle peut faire. ➜ Exemple : peut-elle lire, écrire ou supprimer ?
donc : Authentification = qui tu es. Autorisation = ce que tu as le droit de faire.
C’est quoi le MFA (Multi-Factor Authentication) ?#
« Explique le MFA. »"MFA veut dire Authentification Multi-Facteurs. On demande au moins deux preuves pour vérifier l’identité. Exemple :
Mot de passe (ce que tu sais)
Code sur téléphone ou application (ce que tu as) Ça rend plus difficile pour un pirate de se connecter." docn : "MFA = deux ou plusieurs étapes pour se connecter."
Pourquoi utiliser MFA ?#
« Pourquoi mettre en place MFA ? »"Parce qu’un mot de passe seul peut être volé ou deviné. Avec MFA, même si le mot de passe est volé, l’attaquant ne peut pas se connecter sans le deuxième facteur."
ÉTAPE 4 : Database Hardening#
C’est quoi le hardening d’une base de données ?#
« Explique le hardening. »"C’est rendre la base plus sécurisée en réduisant les risques. ➜ On enlève ce qui est inutile et on applique des règles de sécurité."
Donne des exemples de hardening.#
« Comment tu fais du hardening sur une base de données ? »1️⃣ Désactiver les comptes inutiles ➜ Supprimer ou désactiver les utilisateurs par défaut.
2️⃣ Fermer les ports non utilisés ➜ Limiter les connexions seulement aux ports nécessaires.
3️⃣ Mettre des mots de passe forts ➜ Éviter les mots de passe simples ou par défaut.
4️⃣ Limiter les permissions ➜ Appliquer le principe du moindre privilège.
5️⃣ Activer les logs et audits ➜ Savoir qui fait quoi.
6️⃣ Appliquer les mises à jour (patches) ➜ Corriger les failles connues.
7️⃣ Chiffrer les données ➜ Protéger même en cas de vol des fichiers.
ÉTAPE 5 : Incident Response#
C’est quoi la réponse à incident ?#
« Explique ce que c’est l’Incident Response. »"C’est la façon de réagir quand il y a une attaque ou un problème de sécurité. On veut limiter les dégâts, comprendre ce qui s’est passé et rétablir le service."
Quelles sont les étapes principales de la réponse à incident ?#
« Quelles sont les étapes ? »1️⃣ Préparation : avoir un plan, former l’équipe. 2️⃣ Détection : repérer qu’il y a un problème. 3️⃣ Analyse : comprendre ce qui s’est passé. 4️⃣ Contenir : empêcher que ça s’aggrave. 5️⃣ Éradiquer : enlever la cause du problème. 6️⃣ Récupération : remettre le système en marche. 7️⃣ Leçons apprises : améliorer pour la prochaine fois.
"Préparer, détecter, analyser, contenir, éradiquer, récupérer, apprendre."
Pourquoi c’est important d’avoir un plan ?#
« Pourquoi avoir un plan d’incident ? »"Pour savoir quoi faire rapidement si ça arrive. Moins de panique, moins de dégâts."
Comment détecter un incident ?#
« Comment tu détectes un incident ? »"Avec : Logs et audits Alertes de sécurité (SIEM) Activité anormale sur le réseau ou la base. ➜ Exemple : connexion suspecte, changement non prévu."
C’est quoi contenir un incident ?#
« Explique la phase de containment. »Exemples : isoler le serveur, bloquer l’accès, changer les mots de passe."
C’est quoi éradiquer ?#
« Qu’est-ce que l’éradication ? »"Enlever la cause du problème. ➜ Exemple : supprimer le malware, corriger la faille."
C’est quoi récupérer ?#
« Explique la phase de récupération. »"Remettre le système en service en toute sécurité. ➜ Exemple : restaurer une sauvegarde propre."
Pourquoi faire les leçons apprises ?#
« Pourquoi c’est important ? »"Pour ne pas refaire la même erreur. On analyse ce qui s’est passé et on améliore la sécurité."
ÉTAPE 6 : Questions Techniques SQL & Injection#
C’est quoi une SQL Injection ?#
« Explique ce que c’est la SQL Injection. »"C’est une attaque où l’attaquant injecte du code SQL malveillant dans une requête. ➜ Il peut lire, modifier ou supprimer des données sans permission."
"Exemple : écrire 'OR 1=1' dans un champ de connexion pour tout voir."
Pourquoi c’est dangereux ?#
« Pourquoi la SQL Injection est dangereuse ? »"Parce qu’elle permet à un pirate de voler ou changer toutes les données de la base. Il peut aussi parfois contrôler le serveur."
Donne-moi des exemples d’injection SQL.#
' OR 1=1 -- ➜ contourner la connexion. DROP TABLE users; ➜ supprimer une table. UNION SELECT ➜ voler d’autres données.
Comment prévenir la SQL Injection ?#
« Comment tu empêches la SQL Injection ? »1️⃣ Utiliser des requêtes préparées (Prepared Statements) ➜ le code et les données sont séparés. 2️⃣ Utiliser des ORM (Object-Relational Mapping) ➜ ils génèrent du SQL sécurisé. 3️⃣ Valider et nettoyer les entrées utilisateur. 4️⃣ Limiter les droits des comptes de base de données. 5️⃣ Mettre à jour les applications et la base.
C’est quoi une requête préparée ?#
« Explique une requête préparée. »Quand tu écris du SQL normal sans protection, tu fais :
SELECT * FROM users WHERE username = 'INPUT'Si l’utilisateur écrit du code malveillant, ça va s’exécuter directement. Le problème : L’attaquant peut mettre du SQL dans l’entrée et tromper la requête. ➜ Il peut se connecter sans mot de passe ou effacer des données.
Requête préparée = sécurisée. Avec une requête préparée : Tu écris le code SQL une fois, et tu dis les données seront mises ici plus tard.
SELECT * FROM users WHERE username = ? AND password = ? Le ? c’est un emplacement réservé (comme un trou vide). ➜ Le code SQL est séparé des données. ➜ Le SGBD (la base de données) va tout nettoyer et vérifier avant d’exécuter. ➜ Même si l’utilisateur essaye de mettre du code malveillant, ça ne marchera pas.
C’est quoi une requête préparée ? Phrase la plus simple au monde :
➜ « C’est une requête SQL avec des cases vides qu’on remplit après. »Pourquoi ? ➜ « Comme ça, l’utilisateur ne peut jamais écrire du code SQL dedans. »
C’est quoi un ORM ?#
« C’est quoi un ORM ? »"ORM veut dire Object-Relational Mapping. C’est un outil qui transforme le code en requêtes SQL automatiquement et de façon sécurisée. ➜ Il aide à éviter les injections SQL."
Pourquoi valider les entrées utilisateurs ?#
« Pourquoi valider les entrées ? »"Pour empêcher qu’un utilisateur mette du code dangereux. On vérifie que l’entrée est correcte avant de l’utiliser."
ÉTAPE 7 : Encryption et Hashing#
C’est quoi le hashing ?#
"C’est transformer une donnée en une empreinte unique. ➜ On ne peut pas revenir en arrière. ➜ Très utile pour stocker des mots de passe."
Mot de passe → haché → stocké en base. ➜ Même si la base est volée, le mot de passe reste protégé.
Pourquoi on hash les mots de passe ?#
« Pourquoi on ne stocke pas les mots de passe en clair ? »"Si la base est volée, les mots de passe ne seront pas lisibles. Même nous on ne les voit pas."
C’est quoi TLS/SSL ?#
« Explique TLS ou SSL. »"C’est un protocole qui chiffre les données quand elles voyagent sur Internet. ➜ Exemple : le HTTPS dans le navigateur. ➜ Personne ne peut lire ce qu’on envoie ou reçoit."
ÉTAPE 8 : Compliance Basics (Réglementation et bonnes pratiques)#
C’est quoi la conformité (compliance) ?#
« C’est quoi la compliance en sécurité ? »"C’est respecter les lois et les règles sur la protection des données. ➜ Ça veut dire protéger les données des utilisateurs et suivre les obligations légales."
C’est quoi le RGPD (ou GDPR) ?#
« Explique-moi le RGPD. »"Le RGPD est une loi européenne sur la protection des données personnelles. ➜ Elle dit comment on doit collecter, stocker et utiliser les données des personnes. ➜ Elle donne des droits aux utilisateurs (accès, suppression, etc.)."
C’est quoi une politique de rétention des données ?#
« Explique la data retention policy. »"C’est une règle qui dit combien de temps on garde les données. ➜ Après un certain temps, on doit les supprimer ou anonymiser."