Stratégie pour les questions basées sur la performance (PBQ)

Les questions basées sur les performances (PBQ) sont des questions de simulation interactive qui vous demandent de démontrer des compétences pratiques dans un environnement virtuel, plutôt que de simplement sélectionner la meilleure réponse parmi quatre choix textuels. CompTIA a introduit les PBQ pour réduire l’écart entre la connaissance des faits et la capacité à les appliquer : un technicien qui comprend réellement les règles de pare-feu doit savoir en configurer un, et pas seulement expliquer leur fonctionnement. Les PBQ comptent dans votre score, comme les questions à choix multiple, et valent le même nombre de points. Elles apparaissent au début de l’examen SY0-701 et prennent généralement plus de temps que les questions à choix multiple.

L’examen Security+ comporte plusieurs formats distincts de PBQ : configuration de règles de pare-feu — à partir d’un schéma réseau et d’exigences, ajouter des règles ACL pour autoriser ou refuser un trafic précis ; étiquetage d’un schéma réseau — placer le pare-feu, l’IDS, la DMZ et les autres composants aux bons endroits dans un schéma réseau ; analyse de journaux — examiner des extraits de journaux fournis (syslog, journal d’événements Windows, journal d’accès Web) et identifier les types d’attaques ou répondre à des questions précises ; classement par glisser-déposer — organiser les phases de réponse aux incidents, les étapes de criminalistique ou les composants de la PKI dans le bon ordre ; et mise en correspondance — associer des types d’attaques à leurs descriptions ou des outils à leurs fonctions.

Une stratégie essentielle de gestion du temps consiste à ne pas rester bloqué sur les PBQ au début de l’examen. Les PBQ sont présentées en premier et peuvent prendre 5 à 10 minutes chacune si vous hésitez. L’approche recommandée consiste à signaler chaque PBQ et à la passer immédiatement, puis à répondre d’abord à toutes les questions à choix multiple. Vous êtes généralement plus à l’aise avec ces questions, et le fait d’y répondre peut même vous aider à vous souvenir de détails utiles pour les PBQ. Revenez aux PBQ après avoir répondu à toutes les questions à choix multiple. Avec 90 minutes pour un maximum de 90 questions, soit une moyenne d’une minute par question, il vous reste suffisamment de temps pour reprendre les PBQ.

Les PBQ sur les pare-feu fournissent généralement un schéma réseau comportant plusieurs zones (Internet, DMZ, LAN interne) ainsi qu’une liste d’exigences : « Allow HTTP/HTTPS from internet to web server in DMZ; deny direct internet access to internal servers; allow DNS queries from internal to external ». Vous devez ajouter les règles dans le bon ordre (les règles du pare-feu sont traitées de haut en bas ; la première correspondance est appliquée). Points essentiels : refus implicite en bas de tous les ensembles de règles ; inspection avec état permettant automatiquement le trafic de retour ; ports courants (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP). Entraînez-vous à lire les tableaux de règles indiquant la source, la destination, le port et l’action.

Les PBQ d’analyse de journaux fournissent des extraits provenant de différentes sources et vous demandent d’identifier ce qui s’est produit. Dans les journaux de serveurs Web, recherchez des schémas d’injection SQL (' OR '1'='1, UNION SELECT), des attaques XSS (<script> dans les chaînes de requête) ou une traversée de répertoires (../../../etc/passwd). Dans les journaux d’événements Windows : l’ID d’événement 4625 correspond à une connexion échouée, 4740 au verrouillage d’un compte, 4624 à une connexion réussie et 4672 à des privilèges spéciaux ; plusieurs événements 4625 suivis d’un 4624 indiquent la réussite d’une attaque par force brute. Dans les captures réseau, recherchez les inondations SYN (de nombreux SYN sans réponse SYN-ACK), les balayages de ports (numéros de ports consécutifs provenant d’une seule IP) et les inondations ICMP.

Les PBQ sur les schémas réseau évaluent votre compréhension de l’architecture des zones de sécurité. Voici les principaux concepts pour placer correctement les composants : la DMZ (zone démilitarisée) se trouve entre deux pare-feu (orienté vers Internet et interne) et héberge les serveurs accessibles au public (Web, messagerie, DNS) ; le pare-feu orienté vers Internet se trouve à la périphérie, directement relié à la liaison de l’ISP ; les capteurs IDS/IPS sont placés sur des segments réseau où ils peuvent observer le trafic (l’IDS le duplique passivement, tandis que l’IPS est installé en ligne) ; les serveurs mandataires se trouvent entre les utilisateurs internes et Internet ; et le SIEM collecte les journaux de tous les composants. Évitez de placer les bases de données internes dans la DMZ : elles doivent se trouver dans la zone interne de confiance.

Les PBQ par glisser-déposer évaluent la connaissance des processus ordonnés et l’association entre concepts. Maîtrisez les ordres suivants : phases de réponse aux incidents — préparation, détection et analyse, confinement, éradication, reprise, examen après incident (NIST SP 800-61) ; phases d’un test d’intrusion — reconnaissance, balayage/énumération, exploitation, post-exploitation/déplacement latéral, rapport ; ordre de volatilité des preuves criminalistiques — registres/cache du CPU, RAM, espace d’échange/fichier d’échange, processus en cours, connexions réseau, image disque, journaux distants (du plus volatil au moins volatil) ; étapes de gestion des risques — identifier, évaluer, répondre/traiter, surveiller. Ces ordres sont fréquemment évalués sous forme de glisser-déposer.

Les PBQ de CompTIA Security+ accordent des points partiels : vous n’avez pas besoin de réaliser parfaitement chaque élément d’une PBQ pour obtenir des points. Ainsi, même si vous n’êtes pas certain d’un aspect de la configuration d’un pare-feu, réalisez correctement les parties que vous maîtrisez et tentez votre chance pour les parties incertaines au lieu de les laisser vides. Ne passez pas complètement les PBQ et ne les laissez pas sans réponse : les PBQ incomplètes rapportent moins de points, voire aucun, tandis qu’une tentative partiellement correcte rapporte des points partiels. Si une PBQ vous demande de configurer 5 règles de pare-feu et que vous en configurez correctement 3, vous obtenez environ 60 % des points disponibles pour cette question.

La préparation aux PBQ nécessite des simulations pratiques qu’une étude fondée uniquement sur du texte ne peut pas fournir. Ressources de préparation aux PBQ : CompTIA CertMaster Practice — la plateforme d’entraînement officielle proposant des simulations réalistes de PBQ ; cours Udemy de Jason Dion — comprend des simulations de travaux pratiques réalistes et des explications guidées de PBQ ; travaux pratiques de PBQ de Professor Messer — des explications guidées abordables au format PDF ; PBQ gratuites de Dion Training — des simulateurs gratuits de PBQ sur les pare-feu et les schémas réseau, accessibles dans un navigateur ; et travaux pratiques à domicile avec pfSense (pare-feu libre et open source) pour vous entraîner concrètement à configurer des règles. La préparation la plus efficace aux PBQ consiste à refaire des PBQ d’entraînement jusqu’à ce que l’interface et les types de tâches vous soient familiers.

Lorsque vous rencontrez une PBQ et que vous hésitez : utilisez le processus d’élimination — même dans les simulations, certaines réponses sont manifestement incorrectes ; appliquez les principes fondamentaux — le principe du moindre privilège, la défense en profondeur et le refus implicite s’appliquent partout et permettent de trouver les bonnes réponses même si vous ne connaissez pas la règle précise ; lisez attentivement le scénario — les scénarios de PBQ contiennent toutes les informations nécessaires pour répondre correctement, et négliger des détails du scénario est l’erreur la plus courante dans les PBQ ; ne cherchez pas trop loin — les PBQ évaluent des connaissances pratiques, et non des cas limites obscurs. La bonne réponse découle généralement de l’application la plus évidente du principe de sécurité décrit dans le scénario.

Avec 90 minutes et jusqu’à 90 questions, la répartition du temps est essentielle. Voici une stratégie recommandée : premier passage (0 à 45 min) — répondre à toutes les questions à choix multiple dont vous connaissez la réponse avec assurance (passer celles qui vous font hésiter) ; deuxième passage (45 à 70 min) — revenir aux questions à choix multiple signalées et appliquer l’élimination ; troisième passage (70 à 85 min) — tenter toutes les PBQ avec le temps restant ; 5 dernières minutes — vérifier qu’aucune question ne reste sans réponse (les examens CompTIA ne pénalisent pas les mauvaises réponses : répondez donc toujours à toutes les questions). Les examens d’entraînement réalisés avec un chronomètre strict développent la perception du temps nécessaire pour maintenir le rythme pendant l’examen réel.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que les PBQ évaluent des compétences pratiques, notamment la configuration de règles de pare-feu, l’analyse de schémas réseau, l’interprétation de journaux et la connaissance des processus ordonnés ; elles apparaissent en premier, mais doivent d’abord être passées ; les PBQ accordent des points partiels, alors tentez-les toujours avec le temps restant plutôt que de les laisser vides ; enfin, un entraînement régulier avec des simulateurs de PBQ constitue la préparation la plus efficace, car la familiarité avec l’interface de simulation réduit l’anxiété et améliore les performances le jour de l’examen. Nous allons maintenant revoir les sujets à forte fréquence qui apparaissent le plus souvent à l’examen Security+.