Quiz de Validation - MODULE 6
Ce quiz de 30 questions vous permet de valider vos connaissances sur la securite reseau AWS avant de passer au lab pratique.
Question 1
Quelle est la difference principale entre un Security Group et une NACL ?
A) Aucune difference
B) Security Group est stateful au niveau instance, NACL est stateless au niveau sous-reseau
C) NACL est plus securise
D) Security Group est gratuit, NACL est payant
Voir la reponse
Reponse : B
Les Security Groups sont stateful (les reponses au trafic autorise sont automatiquement permises) et s'appliquent au niveau de l'instance. Les NACLs sont stateless (il faut des regles explicites pour le trafic entrant ET sortant) et s'appliquent au niveau du sous-reseau.
Question 2
Que signifie "stateful" pour un Security Group ?
A) Il conserve l'etat des regles
B) Si le trafic entrant est autorise, le trafic de reponse sortant est automatiquement autorise
C) Les regles sont permanentes
D) Il ne peut pas etre modifie
Voir la reponse
Reponse : B
Stateful signifie que le Security Group suit l'etat des connexions. Si vous autorisez une requete HTTP entrante (port 80), la reponse HTTP sortante est automatiquement autorisee sans avoir besoin d'une regle outbound explicite.
Question 3
Que signifie "stateless" pour une NACL ?
A) Elle n'a pas d'etat
B) Il faut des regles explicites pour le trafic entrant ET pour le trafic sortant
C) Elle est plus rapide
D) Elle ne supporte pas TCP
Voir la reponse
Reponse : B
Stateless signifie que la NACL ne suit pas les connexions. Pour autoriser une connexion HTTP, il faut une regle inbound pour le port 80 ET une regle outbound pour les ports ephemeres (1024-65535) de la reponse. Chaque direction est evaluee independamment.
Question 4
Quel est le comportement par defaut d'un Security Group pour le trafic entrant ?
A) Tout est autorise
B) Tout est refuse
C) Seul SSH est autorise
D) Seul HTTP est autorise
Voir la reponse
Reponse : B
Par defaut, un Security Group refuse tout le trafic entrant (inbound). Il faut ajouter explicitement des regles pour autoriser le trafic souhaite. Par contre, le trafic sortant (outbound) est autorise par defaut.
Question 5
Quel est le comportement par defaut d'une NACL personnalisee pour le trafic entrant ?
A) Tout est autorise
B) Tout est refuse
C) Depend de la configuration VPC
D) Meme regles que le Security Group
Voir la reponse
Reponse : B
Une NACL personnalisee (custom) refuse tout le trafic par defaut (entrant et sortant) jusqu'a ce que des regles soient ajoutees. La NACL par defaut du VPC autorise tout le trafic. Il est important de distinguer les deux.
Question 6
Quel est le comportement par defaut de la NACL par defaut du VPC ?
A) Tout est refuse
B) Tout est autorise (entrant et sortant)
C) Seul le trafic interne est autorise
D) Seul SSH est autorise
Voir la reponse
Reponse : B
La NACL par defaut creee avec le VPC autorise tout le trafic entrant et sortant. C'est different d'une NACL personnalisee que vous creez, qui refuse tout par defaut. Attention a ne pas confondre les deux.
Question 7
Comment sont evaluees les regles d'une NACL ?
A) Toutes les regles sont evaluees
B) Par ordre de numero de regle, la premiere qui correspond est appliquee
C) La regle la plus specifique gagne
D) Aleatoirement
Voir la reponse
Reponse : B
Les regles NACL sont evaluees dans l'ordre numerique croissant (de la plus basse a la plus haute). Des qu'une regle correspond au trafic, elle est appliquee et les regles suivantes sont ignorees. C'est pourquoi l'ordre des numeros est important.
Question 8
Comment sont evaluees les regles d'un Security Group ?
A) Par ordre de priorite
B) Toutes les regles sont evaluees et si une autorise le trafic, il est permis
C) La premiere regle qui correspond est appliquee
D) Par ordre alphabetique
Voir la reponse
Reponse : B
Contrairement aux NACLs, toutes les regles d'un Security Group sont evaluees. Si au moins une regle autorise le trafic, celui-ci est permis. Il n'y a pas de concept de priorite ou d'ordre. Les Security Groups sont "allow only" (pas de regles deny).
Question 9
Peut-on creer des regles DENY dans un Security Group ?
A) Oui
B) Non, les Security Groups ne supportent que des regles ALLOW
C) Seulement pour le trafic sortant
D) Seulement pour certains ports
Voir la reponse
Reponse : B
Les Security Groups ne supportent que des regles ALLOW. Tout ce qui n'est pas explicitement autorise est refuse par defaut. Pour creer des regles DENY explicites, il faut utiliser les NACLs qui supportent les regles ALLOW et DENY.
Question 10
Peut-on creer des regles DENY dans une NACL ?
A) Non
B) Oui, les NACLs supportent ALLOW et DENY
C) Seulement pour le trafic entrant
D) Seulement pour UDP
Voir la reponse
Reponse : B
Les NACLs supportent les regles ALLOW et DENY, ce qui permet de bloquer explicitement certains types de trafic ou certaines adresses IP. C'est utile pour bloquer des IP malveillantes connues au niveau du sous-reseau.
Question 11
A quel niveau s'applique un Security Group ?
A) Au niveau du VPC
B) Au niveau du sous-reseau
C) Au niveau de l'instance (ENI)
D) Au niveau de la region
Voir la reponse
Reponse : C
Un Security Group s'applique au niveau de l'interface reseau elastique (ENI), donc au niveau de l'instance. Chaque instance peut avoir plusieurs Security Groups, et un Security Group peut etre associe a plusieurs instances.
Question 12
A quel niveau s'applique une NACL ?
A) Au niveau de l'instance
B) Au niveau du sous-reseau
C) Au niveau du VPC
D) Au niveau de l'AZ
Voir la reponse
Reponse : B
Une NACL s'applique au niveau du sous-reseau. Tout le trafic entrant ou sortant du sous-reseau est evalue par la NACL. Un sous-reseau ne peut etre associe qu'a une seule NACL, mais une NACL peut etre associee a plusieurs sous-reseaux.
Question 13
Quel numero de regle NACL represente la regle par defaut (deny all) ?
A) 0
B) 100
C) * (asterisque)
D) 999
Voir la reponse
Reponse : C
La regle avec le numero * (asterisque) est la regle par defaut qui refuse tout le trafic ne correspondant a aucune autre regle. Elle ne peut pas etre modifiee ou supprimee. Elle est toujours evaluee en dernier.
Question 14
Quelle est la meilleure pratique pour numeroter les regles NACL ?
A) Utiliser 1, 2, 3, 4...
B) Laisser des intervalles (100, 200, 300...) pour pouvoir inserer des regles
C) Utiliser des nombres aleatoires
D) Toujours commencer par 1000
Voir la reponse
Reponse : B
Il est recommande de laisser des intervalles entre les numeros de regles (par exemple 100, 200, 300) pour pouvoir inserer de nouvelles regles entre les regles existantes sans avoir a tout renumeroter.
Question 15
Que sont les ports ephemeres et pourquoi sont-ils importants pour les NACLs ?
A) Des ports reserves pour AWS
B) Des ports temporaires (1024-65535) utilises pour les reponses, necessaires dans les regles outbound NACL
C) Des ports pour le chiffrement
D) Des ports pour le monitoring
Voir la reponse
Reponse : B
Les ports ephemeres sont des ports temporaires alloues dynamiquement par le systeme pour recevoir les reponses. Pour les NACLs (stateless), il faut autoriser les ports ephemeres (1024-65535) en sortie pour que les reponses aux requetes entrantes puissent passer.
Question 16
Peut-on referencer un Security Group dans une regle d'un autre Security Group ?
A) Non
B) Oui, on peut autoriser le trafic provenant d'un autre Security Group
C) Seulement dans le meme sous-reseau
D) Seulement pour SSH
Voir la reponse
Reponse : B
On peut referencer un Security Group comme source dans une regle d'un autre Security Group. Par exemple, le Security Group de la base de donnees peut autoriser le trafic sur le port 3306 provenant du Security Group des serveurs d'application, sans specifier d'adresses IP.
Question 17
Quel est l'avantage de referencer un Security Group plutot qu'une adresse IP ?
A) C'est plus rapide
B) La regle s'applique automatiquement a toutes les instances du SG reference, meme si leurs IPs changent
C) C'est moins cher
D) Aucun avantage
Voir la reponse
Reponse : B
En referencant un Security Group, la regle s'applique automatiquement a toutes les instances qui ont ce SG, independamment de leurs adresses IP. C'est plus dynamique et plus maintenable, surtout avec l'Auto Scaling ou les IP changent souvent.
Question 18
Combien de Security Groups peut-on attacher a une instance par defaut ?
A) 1
B) 5
C) Illimite
D) 10
Voir la reponse
Reponse : B
Par defaut, on peut attacher jusqu'a 5 Security Groups a une interface reseau (donc a une instance). Cette limite peut etre augmentee via une demande de quota. Toutes les regles de tous les SG attaches sont evaluees ensemble.
Question 19
Ou sont evaluees les NACLs par rapport aux Security Groups pour le trafic entrant ?
A) Security Group d'abord, puis NACL
B) NACL d'abord, puis Security Group
C) En parallele
D) Seulement la NACL
Voir la reponse
Reponse : B
Pour le trafic entrant : NACL est evaluee en premier (au niveau du sous-reseau), puis le Security Group (au niveau de l'instance). Pour le trafic sortant : Security Group d'abord, puis NACL. Le trafic doit etre autorise par les deux.
Question 20
Une instance ne peut pas recevoir de trafic HTTP. Le Security Group autorise le port 80 et la NACL refuse le port 80. Que se passe-t-il ?
A) Le trafic est autorise grace au Security Group
B) Le trafic est refuse car la NACL le bloque avant d'atteindre l'instance
C) Le trafic est partiellement autorise
D) Cela depend de la priorite
Voir la reponse
Reponse : B
Le trafic est refuse. La NACL est evaluee en premier, avant le Security Group. Si la NACL refuse le trafic, il n'atteint jamais l'instance et le Security Group n'est meme pas evalue. Le trafic doit etre autorise par les DEUX pour passer.
Question 21
Quelle commande diagnostique permet de tester la connectivite sur un port specifique ?
A) ping
B) telnet ou nc (netcat)
C) traceroute uniquement
D) nslookup
Voir la reponse
Reponse : B
telnet IP PORT ou nc -vz IP PORT permettent de tester si un port specifique est accessible. ping teste seulement ICMP (et peut etre bloque). Ces outils aident a distinguer les problemes de Security Group/NACL des problemes applicatifs.
Question 22
Le trafic ICMP (ping) est-il autorise par defaut dans les Security Groups ?
A) Oui
B) Non, il faut ajouter une regle explicite
C) Seulement pour le trafic interne
D) Seulement depuis le VPC
Voir la reponse
Reponse : B
Par defaut, le trafic ICMP (ping) n'est pas autorise dans les Security Groups. Il faut ajouter une regle inbound specifique pour ICMP (Type: All ICMP - IPv4 ou Echo Request) si vous voulez pouvoir ping les instances.
Question 23
Comment permettre a une instance dans un sous-reseau prive d'acceder a Internet pour les mises a jour ?
A) Ajouter une route vers l'IGW
B) Utiliser un NAT Gateway et ajouter une route 0.0.0.0/0 vers le NAT
C) Ouvrir le port 80 dans le Security Group
D) Ce n'est pas possible
Voir la reponse
Reponse : B
Pour qu'une instance privee accede a Internet, il faut un NAT Gateway dans un sous-reseau public et une route dans la table de routage du sous-reseau prive : 0.0.0.0/0 -> nat-xxx. Le Security Group doit aussi autoriser le trafic sortant (par defaut, c'est le cas).
Question 24
Quelle est la meilleure pratique pour securiser l'acces SSH a des instances de production ?
A) Ouvrir le port 22 a 0.0.0.0/0
B) Limiter le port 22 a des IPs specifiques ou utiliser un bastion host
C) Desactiver SSH completement
D) Utiliser le port 2222 au lieu de 22
Voir la reponse
Reponse : B
Ne jamais ouvrir SSH (port 22) a 0.0.0.0/0 en production. Limitez l'acces a des plages IP specifiques (votre bureau, VPN) ou utilisez un bastion host dans un sous-reseau public. AWS Systems Manager Session Manager est une alternative sans port SSH ouvert.
Question 25
Qu'est-ce qu'un bastion host (jump box) ?
A) Un serveur de base de donnees
B) Un serveur dans un sous-reseau public servant de point d'entree SSH securise
C) Un type de load balancer
D) Un service AWS manage
Voir la reponse
Reponse : B
Un bastion host est une instance EC2 renforcee dans un sous-reseau public qui sert de point d'entree unique pour les connexions SSH. Les administrateurs se connectent d'abord au bastion, puis de la aux instances privees. Cela reduit la surface d'attaque.
Question 26
Quel outil AWS permet d'analyser les logs de trafic reseau VPC ?
A) CloudWatch Logs
B) VPC Flow Logs
C) AWS Config
D) GuardDuty uniquement
Voir la reponse
Reponse : B
VPC Flow Logs capture des informations sur le trafic IP vers et depuis les interfaces reseau du VPC. Les logs peuvent etre envoyes vers CloudWatch Logs ou S3. Ils sont essentiels pour le depannage et l'analyse de securite.
Question 27
Que signifie ACCEPT dans un log VPC Flow Logs ?
A) Le paquet a ete accepte par AWS
B) Le paquet a ete accepte par le Security Group et/ou la NACL
C) L'application a repondu
D) Le paquet etait chiffre
Voir la reponse
Reponse : B
ACCEPT dans les Flow Logs signifie que le trafic a ete autorise par les Security Groups et NACLs. REJECT signifie qu'il a ete refuse. Attention : ACCEPT ne garantit pas que l'application a repondu, seulement que les regles reseau l'ont autorise.
Question 28
Vous voyez beaucoup de REJECT dans les Flow Logs pour un port specifique. Que cela indique-t-il ?
A) L'application a des bugs
B) Du trafic est bloque par les Security Groups ou NACLs
C) Le serveur DNS ne repond pas
D) Le VPC est mal configure
Voir la reponse
Reponse : B
Des REJECT repetitifs indiquent que du trafic est bloque par les regles de securite. Cela peut etre du trafic legitime mal configure (verifiez les regles) ou des tentatives d'acces non autorisees (normal et attendu pour du trafic malveillant).
Question 29
Quelle regle NACL faut-il ajouter pour autoriser les reponses HTTP (port 80) ?
A) Inbound: Allow TCP 80
B) Outbound: Allow TCP 1024-65535 (ports ephemeres)
C) Outbound: Allow TCP 80
D) Aucune, c'est automatique
Voir la reponse
Reponse : B
Pour une NACL (stateless), il faut une regle inbound pour le port 80 ET une regle outbound pour les ports ephemeres (1024-65535) car les reponses utilisent des ports ephemeres alloues dynamiquement. C'est une erreur frequente lors de la configuration des NACLs.
Question 30
Dans quel ordre devez-vous verifier les problemes de connectivite reseau ?
A) Application, puis Security Group, puis NACL
B) NACL, puis Security Group, puis Application, puis Table de routage
C) Table de routage, puis NACL, puis Security Group, puis Application
D) Tout en meme temps
Voir la reponse
Reponse : C
L'ordre logique de verification suit le chemin du trafic : 1) Table de routage (le trafic peut-il atteindre le sous-reseau ?), 2) NACL (le sous-reseau autorise-t-il le trafic ?), 3) Security Group (l'instance autorise-t-elle le trafic ?), 4) Application (le service ecoute-t-il ?).
Resultat
Comptez vos bonnes reponses :
- 27-30 : Excellent - Vous maitrisez la securite reseau AWS
- 22-26 : Bien - Quelques points a revoir
- 17-21 : Moyen - Relisez le cours avant le lab
- Moins de 17 : Insuffisant - Reprenez le cours depuis le debut
Passez au Lab Depannage VPC une fois que vous avez atteint au moins 22 bonnes reponses.