Questions d'entraînement — PCNE

Question 1

Une institution financière utilise Cloud Armor avec un Global External Application Load Balancer. L'équipe sécurité souhaite déployer les règles WAF préconfigurées (preconfigured WAF rules) pour se protéger contre les attaques OWASP Top 10, notamment les injections SQL et le cross-site scripting (XSS). Cependant, après activation, plusieurs requêtes légitimes de l'application interne sont bloquées (faux positifs). Quelle approche recommandez-vous pour résoudre ce problème tout en maintenant la protection ?

Answer

A. Désactiver complètement les règles WAF préconfigurées et s'appuyer uniquement sur des règles personnalisées basées sur les adresses IP

Answer

B. Configurer les règles WAF en mode 'preview' pour journaliser sans bloquer, identifier les signatures responsables des faux positifs, puis les exclure via 'sensitivity_level' ou 'opt_out_rule_ids' avant de passer en mode 'deny'

Answer

C. Augmenter le 'sensitivity_level' des règles WAF au maximum pour capturer plus d'attaques et accepter les faux positifs comme un compromis nécessaire

Answer

D. Déplacer l'application derrière un Internal Application Load Balancer pour éviter l'exposition aux attaques externes et supprimer Cloud Armor

Question 2

Une entreprise de e-commerce subit des attaques DDoS de couche 7 ciblant son API de recherche exposée via un Global External Application Load Balancer. L'équipe sécurité souhaite mettre en place une politique Cloud Armor qui bloque les requêtes provenant de certains pays tout en appliquant un rate limiting par adresse IP. Quelle combinaison de règles Cloud Armor est la plus appropriée ?

Answer

A. Créer une security policy avec une règle de geo-restriction utilisant l'expression 'origin.region_code' et une règle séparée de type 'throttle' avec un 'rate_limit_threshold' par adresse IP

Answer

B. Créer une security policy avec une règle utilisant l'expression 'request.headers[X-Country]' et configurer un quota par IP directement sur le backend service

Answer

C. Configurer Cloud NAT pour filtrer par pays d'origine et appliquer un rate limiting au niveau du VPC firewall

Answer

D. Utiliser Cloud IDS pour détecter les pays sources et configurer un rate limiting via Cloud Functions déclenché par Pub/Sub

Question 3

Vous configurez un HA VPN entre votre réseau on-premises et Google Cloud. Votre Cloud Router est configuré avec l'ASN 65001 et votre routeur on-premises avec l'ASN 65002. Après la configuration, les tunnels VPN sont établis mais aucune route n'est échangée. Les logs Cloud Logging montrent que les sessions BGP restent en état 'CONNECT'. Quelle est la cause la plus probable ?

Answer

A. Les ASN configurés sont dans la plage privée et doivent être remplacés par des ASN publics pour le peering BGP.

Answer

B. Le pare-feu on-premises bloque le port TCP 179 utilisé par BGP entre les interfaces de tunnel.

Answer

C. Le mode de routage dynamique du VPC est configuré en mode 'regional' au lieu de 'global'.

Answer

D. Les adresses IP de lien (link-local) configurées sur les interfaces de tunnel ne sont pas dans le même sous-réseau /30.

Question 4

Votre entreprise utilise un VPC avec plusieurs sous-réseaux dans différentes régions. Un ingénieur constate qu'une VM dans le sous-réseau us-east1 (10.0.1.0/24) ne peut pas communiquer avec une VM dans le sous-réseau europe-west1 (10.0.2.0/24), bien que les deux appartiennent au même VPC. Quelle est la cause la plus probable ?

Answer

A. Les VPC GCP ne supportent pas nativement le routage entre sous-réseaux de régions différentes sans configurer un Cloud Router.

Answer

B. Une règle de pare-feu (firewall rule) bloque le trafic entre les deux sous-réseaux, car la règle implicite 'implied deny ingress' rejette tout trafic entrant par défaut.

Answer

C. Le VPC Peering n'a pas été configuré entre les deux régions pour permettre la communication inter-régionale.

Answer

D. Les sous-réseaux dans des régions différentes nécessitent l'activation explicite du global routing sur chaque sous-réseau individuellement.

Question 5

Vous gérez un réseau hybride avec un HA VPN connectant votre data center on-premises à Google Cloud. Votre Cloud Router annonce les sous-réseaux VPC 10.0.0.0/16 et 10.1.0.0/16 vers le réseau on-premises. L'équipe réseau souhaite réduire le nombre de routes annoncées et simplifier les tables de routage on-premises. Le Cloud Router utilise actuellement le mode d'annonce par défaut. Quelle est la meilleure approche ?

Answer

A. Configurer le Cloud Router en mode d'annonce personnalisé (custom route advertisements) et annoncer uniquement le résumé 10.0.0.0/15.

Answer

B. Modifier les plages CIDR des sous-réseaux VPC pour les fusionner en un seul sous-réseau 10.0.0.0/15.

Answer

C. Créer une route statique 10.0.0.0/15 dans le VPC et supprimer les sous-réseaux existants pour que le Cloud Router annonce la route agrégée.

Answer

D. Configurer un filtre d'export BGP (export policy) sur le Cloud Router pour supprimer les routes /16 et les remplacer par une route /15.

Examen PCNE — PCNE — Google Professional Cloud Network Engineer

À propos de l'examen PCNE

Comment se préparer à l'examen PCNE ?

5 exemples de questions — PCNE

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen PCNE complet