Questions d'entraînement — CCFA

Question 1

Un administrateur Falcon examine un Threat Graph et observe que le champ 'Objective' d'une détection est marqué comme 'Falcon Intelligence' avec une sévérité 'Critical'. Le graphe montre qu'un processus svchost.exe a établi une connexion vers une adresse IP connue comme infrastructure de commande et contrôle (C2). Quelle est la signification de l'indicateur 'Objective' dans le contexte du Threat Graph ?

Answer

A. L'Objective indique la politique de prévention spécifique qui a déclenché le blocage du processus malveillant

Answer

B. L'Objective identifie le groupe d'adversaires (Threat Actor) responsable de l'attaque selon la nomenclature CrowdStrike

Answer

C. L'Objective décrit l'intention tactique ou stratégique estimée de l'activité malveillante détectée, aidant l'analyste à comprendre le but de l'attaquant

Answer

D. L'Objective représente le score de confiance attribué par le moteur d'intelligence artificielle de Falcon à la détection

Question 2

Votre entreprise déploie CrowdStrike Falcon sur un parc de 15 000 endpoints répartis dans 12 pays. L'équipe réseau s'inquiète de l'impact sur la bande passante. Quelle affirmation décrit le mieux l'architecture de communication entre le Falcon Sensor et le Falcon Cloud ?

Answer

A. Le sensor envoie une copie complète de chaque fichier exécuté vers le cloud pour analyse, ce qui nécessite une bande passante élevée et un canal permanent.

Answer

B. Le sensor transmet uniquement des métadonnées d'événements et des indicateurs comportementaux légers vers le cloud via un canal TLS chiffré, minimisant ainsi l'utilisation de la bande passante.

Answer

C. Le sensor stocke toutes les données localement et ne communique avec le cloud qu'une fois par jour lors d'une synchronisation planifiée.

Answer

D. Le sensor utilise un protocole UDP non chiffré pour maximiser la vitesse de transmission des télémétries complètes vers le Threat Graph.

Question 3

L'équipe de sécurité d'une entreprise constate dans Falcon qu'un endpoint a généré une détection de type 'Credential Theft' avec la tactique MITRE ATT&CK 'Credential Access' (TA0006). L'investigation révèle qu'un outil légitime d'administration IT utilise une technique similaire à Mimikatz pour valider les credentials Active Directory. L'administrateur doit résoudre ce faux positif sans compromettre la détection de véritables attaques de credential theft. Quelle approche est la plus appropriée ?

Answer

A. Créer une IOA Exclusion ciblant spécifiquement le processus de l'outil d'administration (par son chemin et hash) pour la règle IOA de credential theft concernée, et l'assigner uniquement au groupe de machines des administrateurs IT

Answer

B. Passer la catégorie 'Additional User Mode Data' en mode 'Detect' au lieu de 'Prevent' dans la Prevention Policy pour réduire les blocages de credential access sur toutes les machines

Answer

C. Ajouter le hash SHA256 de l'outil d'administration dans la liste 'Allow' des IOC Management pour qu'il soit globalement autorisé sur tous les endpoints de l'organisation

Answer

D. Créer une Detection Exclusion générique pour toutes les détections de type 'Credential Theft' sur les machines du groupe administrateurs IT afin d'éliminer le bruit

Question 4

Un analyste SOC observe dans la console Falcon une détection de type 'Process Hollowing' sur un endpoint Windows. Le processus suspect est svchost.exe lancé depuis un répertoire inhabituel (C:\Users\Public\). L'analyste souhaite comprendre l'ensemble de la chaîne d'attaque avant de prendre une décision de remédiation. Quelle fonctionnalité de Falcon doit-il utiliser en priorité pour visualiser l'arborescence complète des processus liés à cette détection ?

Answer

A. Event Search avec le filtre CommandLine

Answer

B. Le Process Tree (Execution Details) dans la vue de détection

Answer

C. Le rapport Host Timeline exporté en CSV

Answer

D. Le module Falcon Discover pour identifier les assets compromis

Question 5

Un auditeur de sécurité demande la preuve que tous les sensors Falcon déployés dans l'organisation sont protégés contre la désinstallation non autorisée. Il souhaite également comprendre le mécanisme de protection. Quel mécanisme CrowdStrike Falcon utilise-t-il pour empêcher la suppression non autorisée du sensor, et où se configure-t-il ?

Answer

A. Le sensor s'enregistre comme un service Windows protégé (Protected Process Light) et ne peut être arrêté que par un administrateur de domaine

Answer

B. Un Uninstall Token unique est généré par la console Falcon et doit être fourni lors de toute tentative de désinstallation ; ce token est configurable dans la Sensor Update Policy avec l'option de protection anti-tamper

Answer

C. Le sensor utilise un certificat numérique signé par CrowdStrike qui empêche toute modification ou suppression par les utilisateurs locaux, même avec des privilèges administrateurs

Answer

D. La protection repose sur une clé de registre chiffrée HKLM\SOFTWARE\CrowdStrike\UninstallProtection qui bloque la commande msiexec /x

Examen CCFA — CCFA — CrowdStrike Certified Falcon Administrator

À propos de l'examen CCFA

Comment se préparer à l'examen CCFA ?

5 exemples de questions — CCFA

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen CCFA complet