Questions d'entraînement — CCFA

Question 1

Votre organisation utilise un proxy web authentifié pour toute la navigation internet. Lors du déploiement du sensor Falcon sur les postes Windows, les sensors s'installent correctement mais affichent un état 'Connection Error' dans la console. Le proxy nécessite une authentification NTLM. Comment configurer le sensor pour qu'il communique via ce proxy ?

Answer

A. Configurer les paramètres proxy directement dans le fichier de configuration falcon.cfg situé dans C:\ProgramData\CrowdStrike\

Answer

B. Le sensor Falcon utilise automatiquement les paramètres proxy système de WinHTTP configurés via netsh winhttp set proxy

Answer

C. Ajouter les paramètres proxy dans la Sensor Update Policy via la console Falcon avec les identifiants NTLM

Answer

D. Installer un proxy PAC file dédié sur chaque poste pointant vers le proxy d'entreprise pour CrowdStrike

Question 2

Un client CrowdStrike Falcon avec un environnement multi-tenant souhaite comprendre comment le Threat Graph gère la corrélation des données télémétriques à grande échelle. L'infrastructure comprend 50 000 endpoints répartis dans 12 filiales à travers le monde. Un incident de type supply chain attack est suspecté, où un même binaire malveillant a été déployé via un serveur de mise à jour compromis sur des endpoints dans plusieurs filiales simultanément. Comment le Threat Graph facilite-t-il l'investigation de cet incident multi-site ?

Answer

A. Le Threat Graph génère un rapport PDF consolidé automatique regroupant toutes les détections liées au même binaire à travers les filiales

Answer

B. Le Threat Graph fonctionne localement sur chaque endpoint et l'analyste doit manuellement corréler les résultats entre les différentes filiales via l'API

Answer

C. Grâce à son architecture cloud centralisée, le Threat Graph corrèle automatiquement les événements télémétriques de tous les endpoints dans un graphe unifié, permettant de lier les détections partageant des indicateurs communs (hash, C2, comportement) à travers l'ensemble du tenant

Answer

D. Le Threat Graph nécessite l'activation préalable d'une licence Falcon Intelligence Premium pour corréler les événements entre plusieurs sites géographiques

Question 3

L'équipe de sécurité d'une entreprise constate dans Falcon qu'un endpoint a généré une détection de type 'Credential Theft' avec la tactique MITRE ATT&CK 'Credential Access' (TA0006). L'investigation révèle qu'un outil légitime d'administration IT utilise une technique similaire à Mimikatz pour valider les credentials Active Directory. L'administrateur doit résoudre ce faux positif sans compromettre la détection de véritables attaques de credential theft. Quelle approche est la plus appropriée ?

Answer

A. Créer une IOA Exclusion ciblant spécifiquement le processus de l'outil d'administration (par son chemin et hash) pour la règle IOA de credential theft concernée, et l'assigner uniquement au groupe de machines des administrateurs IT

Answer

B. Passer la catégorie 'Additional User Mode Data' en mode 'Detect' au lieu de 'Prevent' dans la Prevention Policy pour réduire les blocages de credential access sur toutes les machines

Answer

C. Ajouter le hash SHA256 de l'outil d'administration dans la liste 'Allow' des IOC Management pour qu'il soit globalement autorisé sur tous les endpoints de l'organisation

Answer

D. Créer une Detection Exclusion générique pour toutes les détections de type 'Credential Theft' sur les machines du groupe administrateurs IT afin d'éliminer le bruit

Question 4

Une organisation financière utilise Falcon avec la fonctionnalité 'Sensor Visibility Exclusions'. Un administrateur junior a créé une exclusion de visibilité pour le répertoire d'une application de trading haute fréquence afin de réduire la charge sur les endpoints. Le CISO demande une évaluation des risques de cette configuration. Quelle est la différence fondamentale entre une 'Sensor Visibility Exclusion' et une 'ML Exclusion' ou 'IOA Exclusion' dans Falcon ?

Answer

A. Les Sensor Visibility Exclusions empêchent uniquement les alertes d'être affichées dans la console, mais le capteur continue de collecter toute la télémétrie pour analyse ultérieure

Answer

B. Les Sensor Visibility Exclusions empêchent le capteur de collecter TOUTE télémétrie (événements fichier, processus, réseau) pour les éléments exclus, créant un angle mort complet, tandis que les ML/IOA Exclusions suppriment uniquement les détections spécifiques tout en conservant la visibilité

Answer

C. Les Sensor Visibility Exclusions et les ML Exclusions sont fonctionnellement identiques — les deux empêchent les détections mais conservent la télémétrie ; seul le scope d'application diffère

Answer

D. Les Sensor Visibility Exclusions s'appliquent uniquement aux détections cloud-based tandis que les ML/IOA Exclusions s'appliquent aux détections on-sensor, sans impact sur la collecte de télémétrie dans les deux cas

Question 5

Un administrateur souhaite déployer le sensor Falcon sur des serveurs Linux Red Hat Enterprise Linux 8 en production. Il doit s'assurer que le sensor fonctionne en mode kernel pour une protection maximale. Quelle commande permet de vérifier que le sensor fonctionne correctement et en mode kernel après installation ?

Answer

A. sudo systemctl status falcon-sensor && falconctl -g --rfm-state

Answer

B. sudo /opt/CrowdStrike/falconctl -g --rfm-state

Answer

C. sudo falcon-kernel-check --verify-mode

Answer

D. sudo csagent -status --kernel-mode

Examen CCFA — CCFA — CrowdStrike Certified Falcon Administrator

À propos de l'examen CCFA

Comment se préparer à l'examen CCFA ?

5 exemples de questions — CCFA

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen CCFA complet