CISSP · Réussir du premier coup
Domaine 4, première partie : le modèle OSI couche par couche, l'adressage, TCP/UDP, les ports et le câblage — avec les chiffres à mémoriser.
Le modèle OSI découpe la communication en sept couches empilées : chaque couche rend service à celle du dessus et s'appuie sur celle du dessous. À l'émission, la donnée descend en s'encapsulant (chaque couche ajoute son en-tête) ; à la réception, elle remonte en se désencapsulant. L'examen teste trois choses par couche : sa fonction, ses protocoles/équipements, et les attaques associées.
| # | Couche | PDU | Rôle | Protocoles / équipements | Attaques |
|---|---|---|---|---|---|
| 7 | Application | Data | Interface applicative | HTTP, FTP, SMTP, DNS ; pare-feu applicatif, passerelle | Injection, malware, phishing |
| 6 | Presentation | Data | Format, chiffrement, compression | TLS/SSL, JPEG, ASCII | Attaques crypto |
| 5 | Session | Data | Ouvre/gère/ferme les sessions | RPC, NetBIOS, PPTP | Session hijacking |
| 4 | Transport | Segment / datagram | Livraison bout-en-bout, fiabilité | TCP, UDP | SYN flood, scan de ports |
| 3 | Network | Packet | Adressage logique, routage | IP, ICMP, IGMP ; routeur, L3 switch | Spoofing IP, attaques de routage |
| 2 | Data Link | Frame | Adressage physique (MAC), accès média | Ethernet, ARP, PPP ; switch, pont | ARP poisoning, MAC flooding, VLAN hopping |
| 1 | Physical | Bit | Signaux électriques/optiques | Câbles, connecteurs ; hub, répéteur | Écoute (tap), brouillage, coupure |
Du haut (7) vers le bas (1) : « All People Seem To Need Data Processing ». Du bas (1) vers le haut (7) : « Please Do Not Throw Sausage Pizza Away ». Pour les PDU : Bits, Frames, Packets, Segments aux couches 1-2-3-4.
Le modèle TCP/IP condense l'OSI en quatre couches : Link/Network Access (OSI 1-2), Internet (OSI 3), Transport (OSI 4), Application (OSI 5-6-7). C'est le modèle réellement implémenté ; l'OSI reste la grille de référence pour raisonner et situer une attaque.
| Classe | Premier octet | Usage |
|---|---|---|
| A | 1–126 | Très grands réseaux (/8) |
| B | 128–191 | Réseaux moyens (/16) |
| C | 192–223 | Petits réseaux (/24) |
| D | 224–239 | Multicast |
| E | 240–255 | Réservé (expérimental) |
| Plage spéciale | Bloc | Rôle |
|---|---|---|
| Privée A (RFC 1918) | 10.0.0.0/8 | Non routable sur Internet |
| Privée B (RFC 1918) | 172.16.0.0 – 172.31.255.255 (/12) | Non routable sur Internet |
| Privée C (RFC 1918) | 192.168.0.0/16 | Non routable sur Internet |
| Loopback | 127.0.0.0/8 (127.0.0.1) | La machine elle-même |
| APIPA | 169.254.0.0/16 | Auto-attribution si DHCP échoue |
Le CIDR (notation /n) remplace les classes rigides par des masques variables. Le NAT traduit adresses privées ↔ publique (le PAT multiplexe plusieurs hôtes derrière une seule IP publique via les ports) — il économise les adresses et masque la topologie interne.
Adresses de 128 bits (contre 32 en IPv4), notées en 8 groupes hexadécimaux. Types : unicast, multicast, anycast (plus de broadcast). L'auto-configuration SLAAC permet à un hôte de se donner une adresse ; la double pile (dual stack) et le tunneling assurent la transition. Sécurité : IPsec y est intégré nativement, mais les mécanismes de découverte de voisins (NDP) créent de nouvelles surfaces d'attaque, et les tunnels de transition peuvent contourner des contrôles conçus pour IPv4.
| Critère | TCP | UDP |
|---|---|---|
| Connexion | Orientée connexion (handshake) | Sans connexion |
| Fiabilité | Garantie (accusés, retransmission, ordre) | Aucune garantie (best effort) |
| Vitesse | Plus lent (surcoût) | Rapide, léger |
| Usages | Web, email, transfert de fichiers | DNS, VoIP, streaming, SNMP |
Le three-way handshake TCP ouvre une connexion en trois temps : SYN (le client demande) → SYN/ACK (le serveur accepte) → ACK (le client confirme). L'attaque SYN flood (couche 4) exploite ce mécanisme : l'attaquant envoie des SYN sans jamais renvoyer l'ACK, saturant la table des connexions à moitié ouvertes. Les principaux flags : SYN, ACK, FIN (fin propre), RST (fin brutale), PSH, URG.
| Port | Service | Port | Service |
|---|---|---|---|
| 20/21 | FTP (données/contrôle) | 143 | IMAP |
| 22 | SSH / SCP / SFTP | 161/162 | SNMP |
| 23 | Telnet (clair) | 389 | LDAP |
| 25 | SMTP | 443 | HTTPS (TLS) |
| 53 | DNS | 445 | SMB |
| 67/68 | DHCP | 636 | LDAPS |
| 69 | TFTP | 993 | IMAPS |
| 80 | HTTP | 995 | POP3S |
| 88 | Kerberos | 1433 | SQL Server |
| 110 | POP3 | 3268 | Global Catalog LDAP |
| 123 | NTP | 3389 | RDP |
| 135/137-139 | RPC / NetBIOS | 1521 | Oracle |
Les trois tranches : well-known 0–1023, registered 1024–49151, dynamic/ephemeral 49152–65535. Repérez les couples clair/chiffré : Telnet 23 vs SSH 22, HTTP 80 vs HTTPS 443, LDAP 389 vs LDAPS 636, POP3 110 vs POP3S 995 — la version chiffrée est presque toujours la bonne réponse. ICMP (ping, traceroute — types echo request/reply, time exceeded) et IGMP (gestion des groupes multicast) opèrent à la couche 3, sans numéro de port.
Encapsuler un protocole dans un autre apporte de la souplesse mais crée des canaux cachés (tunneling) et complique l'inspection. Les protocoles convergés font passer des flux hétérogènes sur l'infrastructure de données :
| Protocole | Rôle |
|---|---|
| FCoE | Fibre Channel over Ethernet — stockage SAN sur Ethernet |
| iSCSI | Stockage en mode bloc sur IP (alternative économique au Fibre Channel) |
| VoIP | Voix sur IP : SIP (signalisation), RTP (transport média), SRTP (RTP chiffré) |
| DNP3 | Protocole des systèmes industriels/SCADA (chapitre 7) |
| InfiniBand, CXL | Interconnexions haute performance (datacenters, HPC) |
Star (étoile — dominante aujourd'hui : chaque nœud relié à un switch central ; panne d'un lien = un seul nœud isolé), mesh (maillée — redondance maximale, coûteuse), bus (un segment partagé, une coupure paralyse tout), ring (anneau, jeton). Les plans logiques d'un équipement moderne : data plane (transfert des paquets), control plane (décisions de routage), management plane (administration) — séparation clé pour le SDN (chapitre 11).
| Média | Débit | Distance | Note |
|---|---|---|---|
| Cat5e | 1 Gbps | 100 m | Paire torsadée cuivre |
| Cat6 | 1–10 Gbps | 100 m (10G : 55 m) | Cuivre |
| Cat6a | 10 Gbps | 100 m | Cuivre |
| Cat7 / Cat8 | 10–40 Gbps | 100 m / 30 m | Datacenter |
| Coaxial | Variable | Plus longue que la paire torsadée | Historique |
| Fibre multimode | Élevé | Jusqu'à ~2 km | Courtes/moyennes distances, LED |
| Fibre monomode | Très élevé | Dizaines de km | Longue distance, laser |
Point à retenir : la paire torsadée cuivre plafonne à 100 m ; au-delà, on passe à la fibre. La fibre est de plus immunisée aux interférences électromagnétiques (EMI/RFI) et beaucoup plus difficile à mettre sur écoute — un argument de sécurité, pas seulement de performance. La distinction baseband (un signal, tout le média — Ethernet) vs broadband (plusieurs canaux) et analogique vs numérique, synchrone vs asynchrone complètent le vocabulaire.
Awa cartographie le réseau fusionné. Le site berlinois utilisait encore Telnet (port 23) et SNMPv1 en clair pour administrer ses switchs : bascule immédiate vers SSH et SNMPv3. Un incident de redirection de trafic est attribué à de l'ARP poisoning sur le LAN plat de Berlin — elle active la Dynamic ARP Inspection et segmente. Le résolveur DNS interne passe au DNSSEC après une tentative d'empoisonnement de cache visant le domaine de paiement. Côté câblage, une liaison cuivre de 130 m entre deux bâtiments (au-delà des 100 m réglementaires) expliquait des pertes de paquets : remplacée par de la fibre monomode, immunisée aux perturbations de la ligne électrique voisine. Enfin, Awa fait remarquer au comité que les pare-feu ne filtraient que le trafic north-south : tout le east-west entre serveurs de paiement circulait sans contrôle — chantier de micro-segmentation ouvert pour le chapitre suivant.
Conditions réelles : 30 minutes, une seule passe, réponses notées avant de consulter le corrigé.
At which OSI layer does a router primarily operate?
Le routeur raisonne en adresses logiques (IP) et route entre réseaux : couche 3. Le switch classique est L2 (B), le hub L1 (A).
Which OSI layer is responsible for physical (MAC) addressing and media access?
Adressage MAC et accès au média = Data Link (L2), où opèrent switchs et ARP. La couche physique (A) ne gère que les signaux.
What is the correct order of protocol data units from Layer 1 to Layer 4?
Bits (L1) → frames (L2) → packets (L3) → segments (L4). Mémoriser cet ordre situe instantanément une attaque à sa couche.
TLS encryption is MOST closely associated with which OSI layer?
Chiffrement, formatage et compression relèvent de la présentation (L6) — TLS y est classiquement rattaché dans le modèle OSI. (En pratique il chevauche L4-L7, mais l'examen attend L6.)
The TCP/IP model's Internet layer corresponds to which OSI layer?
La couche Internet de TCP/IP correspond à la couche réseau (L3) de l'OSI : c'est là que vit IP.
Which of the following is a RFC 1918 private address range?
172.16.0.0/12 est l'une des trois plages RFC 1918. 169.254 = APIPA (A), 127 = loopback (C), 224 = multicast (D) — aucune n'est une plage privée assignable.
A workstation configured for DHCP fails to reach the server and assigns itself 169.254.10.5. What is this mechanism?
169.254.x/16 auto-attribuée après échec DHCP = APIPA. Signe classique d'un problème DHCP : la machine n'atteint personne hors de son segment.
Which technology allows many internal hosts to share a single public IP address using port numbers?
Le PAT multiplexe plusieurs hôtes privés derrière une IP publique via les numéros de port. Le CIDR (A) découpe les réseaux ; SLAAC (C) est de l'auto-config IPv6.
How many bits is an IPv6 address?
128 bits, contre 32 pour IPv4 — d'où un espace d'adressage immense. Les autres valeurs sont des leurres.
Which statement about TCP and UDP is correct?
TCP : connecté et fiable ; UDP : sans connexion et rapide. A et B inversent, D est faux (UDP ne garantit pas l'ordre).
What is the correct sequence of the TCP three-way handshake?
SYN → SYN/ACK → ACK. Les autres ordres sont incorrects — FIN (C) clôt une connexion, il n'ouvre rien.
A SYN flood attack works by exploiting which mechanism?
Le SYN flood laisse des connexions à moitié ouvertes en n'envoyant jamais l'ACK final, saturant la table de l'hôte (attaque L4). B décrit l'ARP poisoning, C une attaque DNS, D une injection L7.
Which port does SSH use?
SSH = 22. Telnet est 23 (B), SMTP 25 (C), HTTPS 443 (D). SSH remplace Telnet en chiffrant la session.
Which pair correctly matches the service to its default port?
LDAP 389 / LDAPS 636 : exact. B inverse HTTP/HTTPS, C inverse RDP/SSH, D est fantaisiste.
Which port is used by Kerberos?
Kerberos = 88. 53 = DNS, 389 = LDAP, 445 = SMB — tous à connaître, tous distincts.
An administrator must choose between Telnet and SSH for remote management. Which is appropriate and why?
SSH chiffre ; Telnet transmet identifiants et commandes en clair — proscrit. C confond les ports (SSH = 22, pas Telnet), A et D ignorent le risque de confidentialité.
What protection does DNSSEC provide?
DNSSEC signe les réponses : authenticité et intégrité, contre l'empoisonnement de cache — mais pas de confidentialité (c'est le rôle de DoH/DoT).
Why is ARP inherently vulnerable to poisoning attacks?
ARP n'a aucune authentification : une réponse forgée est crue sur parole, d'où le MITM. Il opère sur le LAN (pas Internet, C) et en clair (pas chiffré, D).
Which protocols support Voice over IP?
VoIP = SIP (signalisation) + RTP/SRTP (média). FCoE/iSCSI sont du stockage (B), DNP3/Modbus de l'industriel (C), SMTP/IMAP de l'email (D).
Which converged protocol carries block-level storage traffic over standard IP networks?
iSCSI transporte du stockage en mode bloc sur IP — alternative économique au Fibre Channel. Les autres protocoles ont des rôles étrangers au stockage.
What is the maximum standard distance for Category 6a twisted-pair cabling?
La paire torsadée (Cat5e à Cat6a) plafonne à 100 m. 55 m (B) est la limite du 10G sur Cat6 standard, pas du Cat6a. Au-delà de 100 m : fibre.
A link must span 20 kilometers with immunity to electromagnetic interference. Which medium is BEST?
20 km + immunité EMI = fibre monomode (longue distance, insensible aux interférences, difficile à écouter). Le cuivre est limité à 100 m et sensible à l'EMI.
Which network topology provides the greatest redundancy through multiple interconnections?
Le maillage (mesh) relie les nœuds par de multiples chemins : redondance maximale, au prix du coût. L'étoile (C) dépend du switch central ; le bus (A) tombe entier sur une coupure.
Which metric describes the variation in packet delay, critical to VoIP quality?
Le jitter est la variation du délai entre paquets — fatal à la VoIP (voix hachée). La bande passante (A) est la capacité, le throughput (C) le débit réel.
Traffic between two servers inside the same data center is described as which type of flow?
Serveur↔serveur interne = east-west, le trafic que le zero trust interne vise à contrôler. Le north-south (A) relie l'extérieur au datacenter.
≥ 20/25 : passez au chapitre 11. Entre 15 et 19 : récitez la table des ports et l'ordre des couches OSI jusqu'à l'automatisme. < 15 : relisez le chapitre ; le domaine 4 récompense la mémorisation brute des ports, couches et distances.