CompTIA SY0-701 — Le domaine Menaces, vulnérabilités et mitigations décrypté (22 % de l’examen)

Sur l’examen CompTIA Security+ (SY0-701), le domaine « Threats, Vulnerabilities, and Mitigations » pèse à lui seul 22 % des questions — soit environ 20 questions sur les 90 possibles, d’après le blueprint officiel CompTIA (objectifs d’examen version 5.0). C’est le deuxième domaine le plus pondéré derrière « Security Operations » (28 %), et celui où revient le plus souvent un piège de vocabulaire simple mais redoutable : confondre menace, vulnérabilité et risque, ou mélanger le canal d’une attaque d’ingénierie sociale avec sa technique.

Les 4 concepts que ce domaine teste systématiquement

Contrairement à d’autres domaines très techniques (chiffrement, architecture réseau), celui-ci teste surtout votre capacité à catégoriser correctement une situation décrite en scénario. Quatre points reviennent presque à chaque examen :

• Menace vs vulnérabilité vs risque : une vulnérabilité est une faiblesse exploitable (ex. un logiciel non patché), une menace est l’acteur ou l’événement qui peut l’exploiter, un risque est la probabilité de survenue combinée à l’impact. L’examen construit des questions entières autour de cette seule distinction.
• Acteurs de la menace et motivations : savoir associer un profil (État-nation, hacktiviste, menace interne, script kiddie, courtier d’accès initial) à sa motivation typique (espionnage, idéologie, vengeance, notoriété, profit) et à son niveau de ressources.
• Ingénierie sociale — canal vs technique : le canal (email = phishing, voix = vishing, SMS = smishing, en personne = tailgating) et la technique (pretexting, baiting, quid pro quo) sont deux axes de classification distincts et souvent combinés dans une même question.
• Cycle de vie d’une attaque ransomware : accès initial, exécution, mouvement latéral, exfiltration, chiffrement, extorsion. L’examen demande souvent d’identifier à quelle étape correspond un indicateur de compromission donné, pas seulement de reconnaître « c’est un ransomware ».

L’erreur de vocabulaire qui coûte le plus de points

La confusion la plus fréquente ne porte pas sur un concept technique complexe, mais sur la catégorisation d’un scénario d’ingénierie sociale. Beaucoup de candidats identifient d’abord la technique (le scénario inventé, la manipulation psychologique) et répondent « pretexting » par réflexe — alors que la question demande souvent de qualifier le canal utilisé. Un appel téléphonique frauduleux reste un cas de vishing même s’il repose sur un prétexte élaboré ; le pretexting est la technique sous-jacente, pas la catégorie principale attendue quand la question précise explicitement le moyen de contact.

Exemple de question type

Un employé reçoit un appel d’une personne se présentant comme un technicien du support IT, qui affirme devoir « confirmer son mot de passe » pour résoudre un incident urgent affectant son compte. Quel type d’attaque décrit le mieux ce scénario ?

• A. Phishing
• B. Vishing
• C. Pretexting
• D. Smishing

Réponse attendue : B. Vishing. L’énoncé précise explicitement le canal — un appel téléphonique — ce qui oriente directement vers le vishing (voice + phishing). Le piège classique est de répondre « pretexting » (C), qui décrit bien la technique employée (le faux prétexte du « problème urgent ») mais pas la catégorie principale que l’examen demande ici. Phishing (A) et smishing (D) sont éliminés dès la première lecture puisqu’aucun email ni SMS n’intervient dans le scénario.

Ce qu’il faut retenir avant l’examen

Le domaine « Threats, Vulnerabilities, and Mitigations » ne demande pas de mémoriser une liste de malwares, mais de savoir catégoriser rapidement et sans ambiguïté un scénario selon le bon axe de classification — canal plutôt que technique, étape du cycle de vie plutôt que nom générique de l’attaque. C’est aussi le domaine où une bonne méthode d’analyse de vos résultats d’examen blanc paie le plus : repérer si vos erreurs viennent d’un manque de connaissance ou d’une confusion de catégorisation change complètement la façon de réviser. Le même type de piège de vocabulaire technique se retrouve d’ailleurs sur d’autres certifications, comme la confusion EC2 vs Lambda vs Fargate sur l’AWS CLF-C02 ou la distinction IaaS/PaaS/SaaS sur l’AZ-900.