CISSP · Réussir du premier coup

Chapitre 20
Patch, change,
sauvegarde et reprise

Domaine 7, troisième partie : gestion des correctifs et des changements, sauvegardes, sites de secours, résilience et tests DR.

Domaine
7 — Security Operations · 13 %
Objectifs couverts
7.8 · 7.9 · 7.10 · 7.11 · 7.12
Entraînement
25 questions + corrigé raisonné
L'essentiel en 60 secondes
  • Patch : évaluer → tester → approuver → déployer → vérifier ; systèmes non patchables → virtual patching + isolation.
  • Change management : demande → revue/approbation (CAB) → test → déploiement → doc → rollback ; les changements d'urgence se documentent après.
  • Full (tout) · incremental (depuis la dernière sauvegarde, restaure N jeux) · differential (depuis la dernière full, restaure 2 jeux).
  • Incremental efface l'archive bit ; differential ne le touche pas.
  • Réplication : electronic vaulting (par chapitres) < remote journaling (transactions) < remote mirroring (temps réel).
  • Sites : hot (minutes, cher) · warm (heures) · cold (jours, pas cher).
  • RAID : 0 (perf, 0 tolérance) · 1 (miroir) · 5 (parité, 1 disque) · 6 (double parité, 2 disques) · 10 (miroir+stripe).
  • HA (disponibilité par redondance) ≠ fault tolerance (aucune interruption).
  • Règle 3-2-1 : 3 copies, 2 supports, 1 hors site.
  • Tests DR par risque croissant : checklist → tabletop → simulation → parallel → full interruption.

Objectifs 7.8–7.9Patch et change management

Patch & vulnerability management (7.8)

Cycle : évaluer (le correctif s'applique-t-il ?), tester (en environnement de recette — un patch peut casser la production), approuver, déployer, vérifier. Pour les systèmes qu'on ne peut pas corriger (legacy, ICS — chapitre 7) : virtual patching (un IPS/WAF bloque l'exploitation sans modifier le système) et contrôles compensatoires (isolation, surveillance).

Change management (7.9)

Processus formel : demande → revue et approbation par le CAB (Change Advisory Board) → test → planification → déploiement → documentation, avec toujours un plan de rollback. Les changements d'urgence suivent une voie accélérée mais se documentent après coup (jamais « sans trace »). Nuance : le configuration management gère l'état des systèmes (baselines, versions) ; le change management gère le processus de modification.

Objectif 7.10Sauvegardes

TypeSauvegardeArchive bitRestauration
FullToutes les donnéesEfface1 jeu (la full)
IncrementalCe qui a changé depuis la dernière sauvegarde (full ou incrémentale)EffaceLa full + toutes les incrémentales (rapide à sauver, lent à restaurer)
DifferentialCe qui a changé depuis la dernière fullN'efface pasLa full + la dernière differential (lent à sauver, rapide à restaurer)
Exercice — combien de jeux pour restaurer ?

Full le dimanche, puis sauvegardes quotidiennes. On restaure le jeudi soir. Incremental : full (dim) + lun + mar + mer + jeu = 5 jeux. Differential : full (dim) + jeudi = 2 jeux. Le differential restaure toujours en 2 jeux, quel que soit le jour.

🧠 Mnémonique — incremental / differential

« Incremental = rapide à écrire, lent à lire ; Differential = lent à écrire, rapide à lire. » L'incrémentale efface l'archive bit (elle « prend » les changements), la différentielle le laisse (elle « accumule » depuis la full).

Réplication et rotation

Objectif 7.10Sites de secours et résilience

SiteÉtatDélai d'activationCoût
HotÉquipé, données à jour, prêtMinutes à heuresÉlevé
WarmÉquipé, données à rechargerHeures à joursMoyen
ColdLocal vide (électricité, réseau)Jours à semainesFaible

Autres options : mobile site (unité déployable), cloud DR / DRaaS, reciprocal agreement (accord d'entraide entre deux entreprises — peu fiable : capacité et confidentialité incertaines), multiple processing sites (redondance active), service bureau.

Résilience des systèmes

Objectif 7.11Processus de reprise

Objectif 7.12Les 5 tests DR

Par risque et réalisme croissants :

  1. Read-through / checklist : chacun relit sa partie du plan. Aucun risque.
  2. Tabletop / structured walkthrough : l'équipe déroule un scénario autour d'une table.
  3. Simulation : on joue un scénario réaliste sans toucher la production.
  4. Parallel : on active le site de secours en parallèle de la production (qui continue) — on vérifie qu'il fonctionne sans risquer l'activité.
  5. Full interruption : on bascule réellement sur le secours en coupant la production — le plus réaliste et le plus risqué ; exige l'accord explicite du management.
🧠 Mnémonique — les 5 tests

« Checklist, Table, Simule, Parallèle, Coupe » — du plus sûr au plus risqué. Le parallel double (secours + prod), le full interruption bascule (secours seul). Le full interruption ne se lance jamais sans validation du management.

⚠️ Pièges d'examen
  • Incremental restaure N jeux (full + toutes) ; differential restaure 2 jeux (full + dernière). L'incrémentale efface l'archive bit, pas la différentielle.
  • Electronic vaulting (chapitres) < remote journaling (transactions) < remote mirroring (temps réel).
  • Hot = minutes/heures (cher) ; cold = jours/semaines (pas cher). Le reciprocal agreement est peu fiable.
  • RAID 0 = aucune tolérance ; RAID 5 tolère 1 disque, RAID 6 en tolère 2.
  • HA minimise l'interruption ; fault tolerance vise zéro interruption.
  • Au retour au site primaire : rapatrier les fonctions les moins critiques d'abord.
  • Tests DR croissants : checklist < tabletop < simulation < parallel < full interruption ; le full interruption exige l'accord du management.
  • Changements d'urgence : documentés après, jamais sans trace.
  • 3-2-1 : 3 copies, 2 supports, 1 hors site.
Scénario fil rouge — Awa

Awa met la continuité aux normes. Elle remplace les sauvegardes differential mal comprises de Berlin par une stratégie claire, applique la règle 3-2-1 et instaure des tests de restauration mensuels. Le RPO de 5 minutes du paiement (chapitre 2) impose du remote mirroring temps réel ; le reste passe en remote journaling. Le vieux reciprocal agreement avec un partenaire est abandonné — capacité incertaine — au profit d'un site hot en DRaaS. Les baies de paiement passent en RAID 6 (deux disques tolérés) et clustering pour la fault tolerance. Côté patch, un système de scoring legacy non patchable est protégé par virtual patching. Enfin, Awa planifie un exercice annuel : d'abord un tabletop, puis un test parallel — jamais de full interruption sans l'accord écrit du COMEX. Elle rappelle à l'équipe salvage que, lors du retour au site primaire, on rapatrie d'abord les fonctions les moins critiques.

Quiz25 questions

Conditions réelles : 30 minutes, une seule passe, réponses notées avant de consulter le corrigé.

Question 1

Before deploying a security patch to production, what critical step must occur?

  1. Deploy directly to save time
  2. Test it in a staging environment
  3. Delete the old system
  4. Announce it publicly
Voir la réponse Réponse : B

Tester en recette : un patch peut casser la production. Déployer directement (A) est l'anti-modèle.

Question 2

A critical system cannot be patched. Which approach BEST reduces the risk?

  1. Ignore the vulnerability
  2. Virtual patching with an IPS/WAF plus isolation
  3. Disconnect all backups
  4. Give users admin rights
Voir la réponse Réponse : B

Virtual patching (IPS/WAF) + isolation bloque l'exploitation sans modifier le système. Ignorer (A) est une négligence.

Question 3

Which body reviews and approves proposed changes?

  1. The CSIRT
  2. The Change Advisory Board (CAB)
  3. The red team
  4. The help desk
Voir la réponse Réponse : B

Le CAB revoit et approuve les changements. Le CSIRT (A) gère les incidents.

Question 4

How should emergency changes be handled regarding documentation?

  1. They never need documentation
  2. They follow an expedited path but are documented after the fact
  3. They must wait for the next CAB meeting before being applied
  4. They are applied without any record
Voir la réponse Réponse : B

Les changements d'urgence suivent une voie accélérée mais se documentent après coup — jamais sans trace (D).

Question 5

An incremental backup captures what?

  1. All data every time
  2. Data changed since the last backup of any type, and it clears the archive bit
  3. Data changed since the last full backup only
  4. Nothing
Voir la réponse Réponse : B

L'incrémentale sauve ce qui a changé depuis la dernière sauvegarde et efface l'archive bit. C décrit la différentielle.

Question 6

A differential backup restores using how many sets?

  1. The full plus all differentials
  2. The full plus the most recent differential (two sets)
  3. Only the last differential
  4. One set
Voir la réponse Réponse : B

La différentielle restaure en 2 jeux : la full + la dernière différentielle. L'incrémentale (A) en exige N.

Question 7

Full backup Sunday, then daily incrementals. To restore Thursday evening, how many sets are needed?

  1. 2
  2. 5 (Sunday full + Mon, Tue, Wed, Thu)
  3. 1
  4. 7
Voir la réponse Réponse : B

Full (dim) + Mon + Mar + Mer + Jeu = 5 jeux. L'incrémentale est rapide à écrire, lente à restaurer.

Question 8

Which backup type does NOT clear the archive bit?

  1. Full
  2. Incremental
  3. Differential
  4. None of them
Voir la réponse Réponse : C

La différentielle n'efface pas l'archive bit : elle accumule depuis la full. Full et incrémentale l'effacent.

Question 9

Which replication method transmits data to a remote site in real time?

  1. Electronic vaulting
  2. Remote journaling
  3. Remote mirroring
  4. Tape rotation
Voir la réponse Réponse : C

Le remote mirroring réplique en temps réel (RPO ≈ 0). L'electronic vaulting (A) envoie par chapitres.

Question 10

Which replication method sends transaction logs at intervals?

  1. Remote mirroring
  2. Remote journaling
  3. Grandfather-father-son
  4. Full backup
Voir la réponse Réponse : B

Le remote journaling transmet les journaux de transactions à intervalles. Le mirroring (A) est temps réel.

Question 11

Which recovery site can be activated within minutes because it is fully equipped and up to date?

  1. Cold site
  2. Warm site
  3. Hot site
  4. Reciprocal site
Voir la réponse Réponse : C

Le hot site, équipé et à jour, s'active en minutes/heures — au prix fort. Le cold (A) prend des jours.

Question 12

Which recovery site is the least expensive but takes the longest to activate?

  1. Hot site
  2. Warm site
  3. Cold site
  4. Mirror site
Voir la réponse Réponse : C

Le cold site est le moins cher mais le plus lent (local vide à équiper). Le hot (A) est l'inverse.

Question 13

Why are reciprocal agreements often unreliable?

  1. They are too expensive
  2. The partner's capacity and confidentiality at the time of disaster are uncertain
  3. They activate instantly
  4. They require a hot site
Voir la réponse Réponse : B

Au moment du désastre, la capacité et la confidentialité du partenaire sont incertaines : le reciprocal agreement est peu fiable.

Question 14

Which RAID level provides striping with no fault tolerance?

  1. RAID 0
  2. RAID 1
  3. RAID 5
  4. RAID 6
Voir la réponse Réponse : A

RAID 0 = striping pur, aucune tolérance de panne. RAID 1 (B) est le miroir.

Question 15

How many disk failures can RAID 6 tolerate?

  1. Zero
  2. One
  3. Two
  4. Three
Voir la réponse Réponse : C

RAID 6 (double parité) tolère deux pannes de disque simultanées. RAID 5 (B) n'en tolère qu'une.

Question 16

What distinguishes fault tolerance from high availability?

  1. Fault tolerance allows brief outages; HA allows none
  2. Fault tolerance aims for zero interruption; HA minimizes but may allow brief downtime
  3. They are identical
  4. HA requires no redundancy
Voir la réponse Réponse : B

La fault tolerance vise zéro interruption ; la HA minimise l'interruption mais peut tolérer une brève coupure de bascule.

Question 17

What does the 3-2-1 backup rule specify?

  1. 3 servers, 2 sites, 1 admin
  2. 3 copies, on 2 different media, with 1 offsite
  3. 3 backups per day
  4. 3 encryption keys
Voir la réponse Réponse : B

3-2-1 : 3 copies, 2 supports différents, 1 hors site. Les autres formulations sont inventées.

Question 18

Who declares a disaster and activates the DR plan?

  1. The first technician on site
  2. Management, based on defined criteria such as exceeding the MTD
  3. Any user
  4. The backup software automatically
Voir la réponse Réponse : B

Déclarer un désastre est une décision de management, selon des critères définis (MTD dépassé). Pas au technicien (A).

Question 19

When returning operations to the primary site, which functions should be moved back FIRST?

  1. The most critical functions
  2. The least critical functions
  3. All functions simultaneously
  4. Only the database
Voir la réponse Réponse : B

On rapatrie d'abord les fonctions les moins critiques : si le site primaire flanche encore, ce ne sont pas les fonctions vitales qui retombent.

Question 20

Which DR test involves participants reviewing their portion of the plan with no operational impact?

  1. Full interruption
  2. Read-through (checklist)
  3. Parallel test
  4. Simulation
Voir la réponse Réponse : B

Le read-through/checklist : chacun relit sa partie, sans impact. Le plus sûr des tests.

Question 21

Which DR test activates the alternate site alongside production, which keeps running?

  1. Checklist
  2. Tabletop
  3. Parallel test
  4. Full interruption
Voir la réponse Réponse : C

Le parallel active le secours en parallèle de la production, qui continue : on valide sans risquer l'activité. Le full interruption (D) bascule vraiment.

Question 22

Which DR test is the most realistic and the most risky, requiring explicit management approval?

  1. Simulation
  2. Parallel test
  3. Full interruption
  4. Tabletop
Voir la réponse Réponse : C

Le full interruption coupe la production : le plus réaliste et le plus risqué — accord explicite du management requis.

Question 23

What is the correct order of DR tests from least to most disruptive?

  1. Full interruption, parallel, simulation, tabletop, checklist
  2. Checklist, tabletop, simulation, parallel, full interruption
  3. Tabletop, checklist, full interruption, parallel, simulation
  4. Simulation, checklist, parallel, tabletop, full interruption
Voir la réponse Réponse : B

Checklist → tabletop → simulation → parallel → full interruption : risque croissant.

Question 24

During a disaster, which communication method is essential because the normal network may be down?

  1. Corporate email only
  2. Out-of-band communications (such as call trees)
  3. The production VoIP system only
  4. Social media posts
Voir la réponse Réponse : B

Les communications out-of-band (call trees) fonctionnent quand le réseau normal est tombé. L'email et la VoIP de production peuvent être indisponibles.

Question 25

What is the difference between configuration management and change management?

  1. They are identical
  2. Configuration management governs the state of systems; change management governs the process of modifying them
  3. Change management only applies to hardware
  4. Configuration management is illegal
Voir la réponse Réponse : B

Le configuration management gère l'état des systèmes ; le change management gère le processus de modification. Nuance testée.

Auto-diagnostic

≥ 20/25 : passez au chapitre 21. Entre 15 et 19 : récitez incremental/differential, les sites et les 5 tests DR. < 15 : relisez le chapitre ; sauvegardes et reprise sont un gisement de points chiffrés.

FicheFiche de révision

À savoir par cœur avant le chapitre 21
  1. Patch : évaluer → tester → approuver → déployer → vérifier ; non patchable → virtual patching + isolation.
  2. Change : demande → CAB → test → déploiement → doc → rollback ; urgence documentée après.
  3. Config mgmt = état ; change mgmt = processus.
  4. Full (1 jeu) · incremental (N jeux, efface l'archive bit) · differential (2 jeux, ne l'efface pas).
  5. Incremental = rapide à écrire/lent à lire ; differential = lent à écrire/rapide à lire.
  6. Réplication : electronic vaulting (chapitres) < remote journaling (transactions) < remote mirroring (temps réel).
  7. Rotation GFS, Tower of Hanoi ; 3-2-1 (3 copies, 2 supports, 1 hors site) ; tester la restauration.
  8. Sites : hot (minutes, cher) · warm (heures) · cold (jours, pas cher) ; reciprocal peu fiable ; DRaaS.
  9. RAID : 0 (0 tolérance) · 1 (miroir) · 5 (1 disque) · 6 (2 disques) · 10 (miroir+stripe).
  10. HA = minimise l'interruption ; fault tolerance = zéro interruption.
  11. Déclaration de désastre = management (MTD dépassé) ; salvage team ; retour = fonctions les moins critiques d'abord ; out-of-band comms ; les vies d'abord.
  12. Tests DR : checklist → tabletop → simulation → parallel → full interruption (croissant) ; full interruption = accord management.