Objectifs de l'examen de certification CompTIA Advanced Security Practitioner (CASP+) (CAS-004)

L'examen de certification CompTIA CASP+ est une certification de cybersécurité de niveau avancé, couvrant les compétences techniques requises pour les postes d'architecte de sécurité et d'ingénieur de sécurité senior.

Ce guide aborde les quatre domaines de connaissances de l'examen de certification CASP+, ainsi que les sous-thèmes que vous pouvez rencontrer lors de l'examen CAS-004.

Qu'est-ce que l'examen de certification CompTIA CASP+ ?

La certification CompTIA Advanced Security Practitioner (CASP+) est une certification de cybersécurité de niveau avancé destinée aux architectes de sécurité et aux ingénieurs de sécurité senior. Elle valide les compétences en matière de risques et de conformité, et évalue le niveau de préparation d'une entreprise en matière de cybersécurité.

La certification CASP+ est approuvée par le Département de la Défense des États-Unis (DoD), répond aux exigences de la directive 8140/8570.01-M et est conforme à la norme ISO 17024.

En tant que professionnel certifié CASP+, vous devez mettre en œuvre vos compétences techniques et votre esprit critique pour proposer et appliquer les solutions de sécurité appropriées, notamment les stratégies opérationnelles des organisations, évaluer l'impact des risques et réagir aux incidents de sécurité.

Un professionnel certifié CompTIA CASP+ possède les compétences suivantes :

• Concevoir, développer, intégrer et mettre en œuvre des solutions sécurisées dans des environnements complexes afin de garantir la résilience de l'entreprise.

• Utiliser la surveillance, la détection, la réponse aux incidents et l'automatisation pour soutenir proactivement les opérations de sécurité en continu au sein d'une entreprise.

• Appliquer les bonnes pratiques de sécurité aux infrastructures cloud, sur site, de terminaux et mobiles, en tenant compte des technologies et techniques cryptographiques.

• Prendre en compte l'impact des exigences de gouvernance, de risque et de conformité à l'échelle de l'entreprise.

Détails de l'examen CompTIA CASP+

Examen requis : CAS-004

Nombre de questions : 90 maximum

Types de questions : Questions à choix multiples et questions pratiques

Durée de l'examen : 165 minutes

Expérience recommandée : Minimum de dix ans d'expérience pratique en informatique, dont au moins cinq ans d'expérience pratique approfondie en sécurité informatique. Certifications/connaissances équivalentes : Network+, Security+, CySA+, Cloud+ et PenTest+. Note de passage : Réussite/Échec uniquement — pas de note pondérée

Objectifs de l’examen CompTIA CASP+ (domaines)

Voici la répartition de chaque domaine avec son pourcentage dans l’examen. Aperçu des objectifs de l’examen CompTIA CASP+, divisés en quatre grandes parties :

1.0 Architecture de sécurité - 29 %

2.0 Opérations de sécurité - 30 %

3.0 Ingénierie de sécurité et cryptographie - 26 %

4.0 Gouvernance, risques et conformité - 15 %

Domaine - 1.0 Architecture de sécurité 29 %

1.1 Dans un scénario donné, analyser les exigences et les objectifs de sécurité afin de garantir une architecture réseau appropriée et sécurisée pour un réseau nouveau ou existant.

• Services • Segmentation

• Dépérimétrisation/Zéro confiance

• Fusion de réseaux provenant de différentes organisations

• Réseaux définis par logiciel (SDN)

1.2 Dans un scénario donné, analyser les exigences organisationnelles afin de déterminer la conception de sécurité d’infrastructure appropriée.

• Évolutivité

• Résilience

• Automatisation

• Performance

• Conteneurisation

• Virtualisation

• Réseau de diffusion de contenu

• Mise en cache

1.3 Dans un scénario donné, intégrer de manière sécurisée des applications logicielles à une architecture d'entreprise.

• Configuration de base et modèles

• Assurance logicielle

• Considérations relatives à l'intégration d'applications d'entreprise

• Intégration de la sécurité au cycle de vie du développement

1.4 Dans un scénario donné, mettre en œuvre des techniques de sécurité des données pour sécuriser l'architecture d'entreprise.

• Prévention des pertes de données

• Détection des pertes de données

• Classification, étiquetage et marquage des données

• Obfuscation

• Anonymisation

• Données chiffrées vs non chiffrées

• Cycle de vie des données

• Inventaire et cartographie des données

• Gestion de l'intégrité des données

• Stockage, sauvegarde et restauration des données

1.5 Dans un scénario donné, analyser les exigences et les objectifs de sécurité afin de fournir les contrôles d'authentification et d'autorisation appropriés.

• Gestion des identifiants

• Politiques de mots de passe

• Fédération

• Contrôle d'accès

• Protocoles

• Authentification multifacteur (AMF)

• Mot de passe à usage unique (OTP)

• Racine de confiance matérielle

• Authentification unique (SSO)

• Jeton Web JSON (JWT)

• Attestation et vérification d'identité

1.6. À partir d'un ensemble d'exigences, mettre en œuvre des solutions de cloud et de virtualisation sécurisées.

• Stratégies de virtualisation

• Provisionnement et déprovisionnement

• Intergiciels

• Métadonnées et balises

• Modèles de déploiement et considérations

• Modèles d'hébergement

• Modèles de service

• Limitations des fournisseurs de cloud

• Extension des contrôles sur site appropriés

• Modèles de stockage

1.7. Expliquer comment la cryptographie et l'infrastructure à clés publiques (ICP) répondent aux objectifs et exigences de sécurité.

• Exigences en matière de confidentialité et de protection des données

• Exigences d'intégrité

• Non-répudiation

• Exigences de conformité et de politiques

• Cas d'utilisation courants de la cryptographie

• Cas d'utilisation courants de l'infrastructure à clés publiques (PKI)

1.8. Expliquer l'impact des technologies émergentes sur la sécurité et la protection des données en entreprise.

• Intelligence artificielle

• Apprentissage automatique

• Informatique quantique

• Blockchain

• Chiffrement homomorphe

• Mégadonnées (Big Data)

• Réalité virtuelle/augmentée

• Impression 3D

• Authentification sans mot de passe

• Nanotechnologies

• Apprentissage profond

• Calcul multipartite sécurisé

• Consensus distribué

• Usurpation d'identité biométrique

Domaine - Opérations de sécurité 2.0

2.1. Dans un scénario donné, mettre en œuvre des activités de gestion des menaces.

• Types de renseignements

• Types d'acteurs

• Propriétés des acteurs malveillants

• Cadres de référence

2.2. Dans un scénario donné, analyser les indicateurs de compromission et formuler une réponse appropriée.

• Indicateurs de compromission

• Réponse

2.3. Dans un scénario donné, mettre en œuvre des activités de gestion des vulnérabilités.

• Analyses de vulnérabilités

• Auto-évaluation vs évaluation par un fournisseur tiers

• Gestion des correctifs

• Sources d'information

• Protocole SCAP (Security Content Automation Protocol)

2.4. Dans un scénario donné, utiliser les méthodes et outils appropriés d'évaluation des vulnérabilités et de tests d'intrusion.

• Méthodes

• Outils

• Gestion des dépendances

• Exigences

2.5. Dans un scénario donné, analyser les vulnérabilités et recommander des mesures d'atténuation des risques.

• Vulnérabilités

• Système/application intrinsèquement vulnérable

• Attaques

2.6. Dans un scénario donné, utiliser des processus pour réduire les risques.

• Proactivité et détection

• Analyse des données de sécurité

• Prévention

• Contrôle des applications

• Automatisation de la sécurité

• Sécurité physique

2.7. En cas d'incident, mettre en œuvre la réponse appropriée.

• Classification des événements

• Tri des événements

• Tâches de pré-escalade

• Processus de réponse aux incidents

• Procédures/scripts de réponse spécifiques

• Plan de communication

• Gestion des parties prenantes

2.8. Expliquer l'importance des concepts de l'analyse forensique.

• Objectifs juridiques vs. objectifs internes de l'entreprise

• Processus forensique

• Préservation de l'intégrité

• Cryptanalyse

• Stéganalyse

2.9. Utiliser des outils d'analyse forensique dans un scénario donné.

• Outils de récupération de données

• Outils d'analyse binaire

• Outils d'analyse

• Outils d'imagerie

• Utilitaires de hachage

• Outils de collecte en direct vs. outils d'analyse post-mortem

Domaine - 3.0 Ingénierie de la sécurité et cryptographie

3.1. Appliquer des configurations sécurisées à la mobilité d'entreprise dans un scénario donné.

• Configurations gérées

• Scénarios de déploiement

• Considérations de sécurité

3.2. Configurer et implémenter des contrôles de sécurité des terminaux dans un scénario donné.

• Techniques de renforcement de la sécurité

• Processus

• Contrôle d'accès obligatoire

• Informatique de confiance

• Contrôles compensatoires

3.3. Expliquer les considérations de sécurité ayant un impact sur des secteurs et des technologies opérationnelles spécifiques.

• Systèmes embarqués

• Systèmes de contrôle industriel (ICS) / Supervision, contrôle et acquisition de données (SCADA)

• Protocoles

• Secteurs

3.4. Expliquer l'impact de l'adoption du cloud sur la sécurité organisationnelle.

• Automatisation et orchestration

• Configuration du chiffrement

• Journaux

• Configurations de surveillance

• Propriété et emplacement des clés

• Gestion du cycle de vie des clés

• Méthodes de sauvegarde et de restauration

• Infrastructure vs. informatique sans serveur

• Virtualisation des applications

• Réseaux définis par logiciel (SDN)

• Erreurs de configuration

• Outils de collaboration

• Configurations de stockage

• Courtier de sécurité d'accès au cloud (CASB)

3.5. À partir d'un besoin métier, mettre en œuvre la solution PKI appropriée.

• Hiérarchie PKI

• Types de certificats

• Utilisations/profils/modèles de certificats

• Extensions

• Fournisseurs de confiance

• Modèle de confiance

• Certification croisée

• Configuration des profils

• Gestion du cycle de vie

• Clés publiques et privées

• Signature numérique • Épinglage de certificats

• Agrafage de certificats

• Demandes de signature de certificats (CSR)

• Protocole OCSP (Online Certificate Status Protocol) vs liste de révocation de certificats (CRL)

• HTTP Strict Transport Security (HSTS)

3.6. À partir d'un besoin métier, implémenter les protocoles et algorithmes cryptographiques appropriés.

• Hachage

• Algorithmes symétriques

• Algorithmes asymétriques

• Protocoles

• Cryptographie à courbe elliptique

• Confidentialité persistante

• Chiffrement authentifié avec données associées

• Extension de clé

3.7. À partir d'un scénario donné, résoudre les problèmes liés aux implémentations cryptographiques.

• Problèmes de mise en œuvre et de configuration

• Clés

Domaine - 4.0 Gouvernance, Risques et Conformité

4.1. Appliquer les stratégies de gestion des risques appropriées à un ensemble d'exigences.

• Évaluation des risques

• Techniques de gestion des risques

• Types de risques

• Cycle de vie de la gestion des risques

• Suivi des risques

• Appétit pour le risque vs. tolérance au risque

• Politiques et pratiques de sécurité

4.2. Expliquer l'importance de la gestion et de l'atténuation des risques liés aux fournisseurs.

• Modèle de responsabilité partagée (rôles/responsabilités)

• Dépendance vis-à-vis du fournisseur et exclusion du fournisseur

• Viabilité du fournisseur

• Respect des exigences client

• Disponibilité du support

• Considérations géographiques

• Visibilité de la chaîne d'approvisionnement

• Exigences de signalement des incidents

• Dépôt de code source

• Outils d'évaluation continue des fournisseurs

• Dépendances tierces

• Considérations techniques

4.3. Expliquer les cadres de conformité et les considérations juridiques, ainsi que leur impact organisationnel.

• Problèmes de sécurité liés à l'intégration de secteurs d'activité divers

• Considérations relatives aux données

• Attestation de conformité par un tiers

• Réglementations, accréditations et normes

• Considérations juridiques

• Types de contrats et d'accords

• Considérations géographiques

4.4. Expliquer l'importance des concepts de continuité d'activité et de reprise après sinistre.

• Analyse d'impact sur l'activité

• Évaluation de l'impact sur la protection des données

• Plan de reprise après sinistre (PRA) / Plan de continuité d'activité (PCA)

• Plan de réponse aux incidents

• Plans de test