Questions d'entraînement — PCSE

Question 1

Une institution financière utilise Google Cloud pour héberger son portail bancaire en ligne. L'architecture inclut un Global External Application Load Balancer avec Cloud Armor. Lors d'un audit de sécurité, l'équipe constate que Cloud Armor Adaptive Protection est activé mais que les alertes générées ne sont pas traitées efficacement. Le RSSI demande une intégration avec le SIEM existant (Chronicle/Google SecOps) pour une corrélation automatisée des événements. Comment configurer l'export des findings de Cloud Armor Adaptive Protection vers Chronicle ?

Answer

A. Configurer un log sink dans Cloud Logging avec un filtre sur resource.type='cloud_armor' pour exporter les logs vers un topic Pub/Sub, puis ingérer ce topic dans Chronicle via un feed dédié.

Answer

B. Activer l'intégration native entre Cloud Armor et Chronicle en ajoutant le flag --enable-chronicle-integration lors de la création de la security policy.

Answer

C. Configurer Cloud Armor pour envoyer les alertes directement à Chronicle via l'API REST de Chronicle en spécifiant l'endpoint d'ingestion dans les paramètres de la security policy.

Answer

D. Exporter les findings de Cloud Armor vers Security Command Center (SCC), puis utiliser l'intégration native SCC-Chronicle pour la corrélation dans le SIEM.

Question 2

Votre organisation a récemment subi un incident de sécurité au cours duquel un compte de service compromis a été utilisé pour exfiltrer des données depuis Cloud Storage. L'équipe de réponse aux incidents doit reconstituer la chronologie complète des actions effectuées par ce compte de service au cours des 45 derniers jours. Les Data Access Audit Logs pour Cloud Storage étaient activés avec le logType DATA_READ et DATA_WRITE. Cependant, l'équipe constate que certains logs sont manquants dans Cloud Logging. Quelle est l'explication la plus probable ?

Answer

A. Le compte de service compromis a utilisé des clés HMAC pour accéder aux objets Cloud Storage via l'API XML, et ces accès ne génèrent pas de Data Access Audit Logs.

Answer

B. La rétention par défaut du bucket _Default de Cloud Logging est de 30 jours, donc les logs datant de plus de 30 jours ont été automatiquement supprimés. Si aucun sink d'exportation vers une destination de stockage longue durée n'avait été configuré avant l'incident, ces logs sont définitivement perdus.

Answer

C. Les Data Access Audit Logs ne capturent pas les accès effectués par des comptes de service, uniquement ceux des utilisateurs humains authentifiés via Google Identity.

Answer

D. Les exempted_members dans la configuration auditConfigs du projet incluaient probablement ce compte de service, ce qui a exclu ses activités de la journalisation.

Question 3

Vous configurez la rotation automatique des clés Cloud KMS pour un environnement de production. La politique de conformité de votre entreprise exige une rotation tous les 90 jours. Vous avez actuellement une clé symétrique utilisée pour chiffrer des objets dans Cloud Storage via CMEK. Après la rotation, que se passe-t-il lorsqu'un utilisateur tente de déchiffrer un objet qui a été chiffré avec une ancienne version de la clé ?

Answer

A. Le déchiffrement échoue car seule la version primaire active peut être utilisée pour le déchiffrement. L'objet doit être rechiffré avec la nouvelle version.

Answer

B. Cloud KMS identifie automatiquement la version de clé utilisée lors du chiffrement grâce aux métadonnées du ciphertext et utilise cette version pour le déchiffrement, à condition que cette version soit toujours activée.

Answer

C. Cloud Storage rechiffre automatiquement tous les objets avec la nouvelle version primaire lors de la rotation, donc l'ancienne version n'est jamais sollicitée.

Answer

D. Le déchiffrement nécessite que l'utilisateur spécifie manuellement l'identifiant de la version de clé à utiliser via le paramètre --key-version dans la commande gcloud.

Question 4

Votre organisation a activé le dry run mode pour un nouveau VPC Service Controls perimeter avant de l'appliquer en mode enforced. Après deux semaines de monitoring, vous observez des violations dans les logs. L'une d'elles indique qu'un service Cloud Functions dans le périmètre tente d'appeler une API externe tierce via internet. Quelle action devez-vous entreprendre pour résoudre cette violation avant de passer en mode enforced ?

Answer

A. Configurer une egress rule dans le périmètre autorisant le projet Cloud Functions à accéder à l'API externe tierce, car VPC Service Controls bloque les appels sortants vers des API non-Google.

Answer

B. Configurer le VPC connector de Cloud Functions pour utiliser un VPC avec une route vers un Cloud NAT, car VPC Service Controls ne bloque pas le trafic internet sortant mais nécessite une connectivité réseau appropriée.

Answer

C. Ajouter l'API tierce comme un service personnalisé dans la liste des restricted services du périmètre pour autoriser Cloud Functions à y accéder.

Answer

D. Vérifier si la Cloud Function accède à un service Google Cloud API qui n'est pas listé dans les restricted services du périmètre, car VPC Service Controls ne contrôle pas les appels vers des API externes non-Google.

Question 5

Votre entreprise utilise BigQuery et Cloud Storage dans un projet protégé par un VPC Service Controls perimeter. Un data engineer doit exporter les résultats d'une requête BigQuery vers un bucket Cloud Storage situé dans un autre projet, lui aussi à l'intérieur du même périmètre. Cependant, l'opération échoue avec une erreur de violation de périmètre. Quelle est la cause la plus probable et la solution appropriée ?

Answer

A. Les deux projets sont dans le même périmètre mais BigQuery et Cloud Storage ne sont pas tous les deux listés comme restricted services dans la configuration du périmètre. Il faut ajouter les deux services à la liste des restricted services.

Answer

B. Il faut créer un VPC Service Controls bridge entre les deux projets pour autoriser la communication inter-projets même s'ils sont dans le même périmètre.

Answer

C. L'opération nécessite une egress rule explicite car BigQuery traite l'export comme une opération sortante vers un projet différent, même au sein du même périmètre.

Answer

D. Le compte de service utilisé par BigQuery n'a pas les permissions IAM nécessaires sur le bucket de destination, ce qui génère une erreur interprétée à tort comme une violation de périmètre.

Examen PCSE — PCSE — Google Professional Cloud Security Engineer

À propos de l'examen PCSE

Comment se préparer à l'examen PCSE ?

5 exemples de questions — PCSE

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen PCSE complet