Questions d'entraînement — PCNSE

Question 1

Un ingénieur sécurité configure une politique de décryption SSL sur un firewall PA-5260. Il doit s'assurer que le trafic vers certaines catégories de sites sensibles (santé, finance) n'est jamais décrypté pour des raisons de conformité réglementaire. Quelle approche est la plus appropriée selon les best practices Palo Alto Networks ?

Answer

A. Créer des règles de Security Policy avec l'action 'deny' pour bloquer tout le trafic SSL vers ces catégories

Answer

B. Configurer des règles de Decryption Policy avec l'action 'No Decrypt' en utilisant le filtrage par URL Category pour les catégories santé et finance, positionnées avant les règles de décryption générales

Answer

C. Ajouter les domaines de santé et finance dans la SSL Decryption Exclusion List globale du firewall

Answer

D. Désactiver complètement le SSL Decryption Profile pour les zones de sécurité contenant les utilisateurs accédant à ces sites

Question 2

Une organisation déploie une paire de Panorama en haute disponibilité (HA). L'administrateur souhaite s'assurer que la configuration, les logs et les états de session d'administration sont synchronisés entre les deux nœuds. Quel mode HA de Panorama fournit la synchronisation la plus complète ?

Answer

A. HA en mode Active/Passive avec synchronisation des logs désactivée pour optimiser les performances

Answer

B. HA en mode Active/Active avec load balancing des connexions de management des firewalls

Answer

C. HA en mode Active/Passive avec la synchronisation de la configuration et l'option 'Enable HA Log Sync' activée

Answer

D. HA en mode Active/Active avec Panorama Log Collectors dédiés pour la réplication des logs

Question 3

Lors d'un audit de sécurité, un consultant découvre qu'un cluster HA Active/Passive de PA-3260 a subi un split-brain : les deux firewalls se sont déclarés actifs simultanément pendant 45 secondes avant que la situation ne se résolve. L'analyse post-incident révèle que le HA1 link et le HA1 backup link étaient tous deux down pendant cet intervalle, mais le HA2 link fonctionnait normalement. Quel mécanisme aurait pu empêcher ou réduire la durée du split-brain dans ce scénario ?

Answer

A. Configurer le heartbeat backup via le HA2 link pour maintenir la détection de l'état du peer même en cas de perte totale du HA1

Answer

B. Activer le IP monitoring avec un path group identique sur les deux peers pour permettre une élection déterministe

Answer

C. Réduire le hello interval à 500 ms et le heartbeat interval à 500 ms pour détecter plus rapidement la restauration du HA1

Answer

D. Configurer le preemptive failback avec un hold time de 1 seconde pour forcer le retour rapide au primary

Question 4

Un administrateur sécurité déploie Prisma Access pour protéger les utilisateurs distants et souhaite configurer le SSL Decryption pour inspecter le trafic HTTPS vers les applications cloud. Certains utilisateurs accèdent à des applications financières sensibles qui utilisent le certificate pinning. Après l'activation du SSL Decryption, ces utilisateurs ne peuvent plus accéder à ces applications. Quelle est la solution recommandée pour résoudre ce problème tout en maintenant l'inspection SSL sur le reste du trafic ?

Answer

A. Désactiver complètement le SSL Decryption dans Prisma Access car le certificate pinning rend l'inspection impossible pour toutes les applications

Answer

B. Créer une SSL Decryption Policy Rule de type 'No Decryption' pour les applications utilisant le certificate pinning, en les identifiant par leur App-ID ou domaine de destination

Answer

C. Remplacer le certificat de l'autorité de certification (CA) de Prisma Access par le certificat original de chaque application financière

Answer

D. Configurer un proxy inverse dédié dans le datacenter pour ces applications financières et exclure tout le trafic financier de Prisma Access

Question 5

Lors d'un audit de sécurité, un consultant découvre qu'une paire HA Active/Passive présente un état 'split-brain' : les deux firewalls sont simultanément en état 'active'. Les deux firewalls annoncent les mêmes adresses IP virtuelles sur le réseau, causant des interruptions de service intermittentes. Quelle est la cause la PLUS probable de cette situation et quelle commande permet de la confirmer ?

Answer

A. Le lien HA2 est coupé, empêchant la synchronisation des sessions. Vérifier avec 'show high-availability state'

Answer

B. Les deux liens HA1 (principal et backup) sont simultanément en panne, empêchant l'échange de heartbeats. Vérifier avec 'show high-availability all'

Answer

C. Le device priority est configuré avec la même valeur sur les deux peers. Vérifier avec 'show high-availability state'

Answer

D. Le election settings utilise un algorithme round-robin qui alterne le rôle actif. Vérifier avec 'show high-availability path-monitoring'

Examen PCNSE — PCNSE — Palo Alto Networks Certified Network Security Engineer

À propos de l'examen PCNSE

Comment se préparer à l'examen PCNSE ?

5 exemples de questions — PCNSE

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen PCNSE complet