Reprise du message précédent :

mais si je ne m'abuse, et je n'ai fait que très rapidement regarder la page et le code, il te génère un code là, il ne te donne pas la licence utilisée par le serveur, non?  
 
le problème: sur on va dire 10 serveurs, il y en a 4 qui n'ont plus de licences et qui sont plus importants que les autres. Il faudrait que je vérifie par rapport à leur licence à quel contrat ils appartiennent (différentes entités ici) et avec ces infos, que je contacte RH pour leur dire: il me faut la licence pour ce serveur, la licence pour celui là, ...  
Mais ces infos, c'est quasi impossible à trouver

J'ai reçu ça du responsable info de ma boite. C'est possible qu'un virus ransonware qui crpyte soit une macro excel ???
 

Ca me parait très très bizarre... A moins qu'il ne crypte que les fichiers de la suite office ? Mais ce serait une macro sacrément puissante !

 
Non, la macro déclenche le téléchargement du ransomware

Pas instnum.py il me semble.
A vrai dire je m'étais pas fait chier avec les licences, une licence pour mon serveur Spacewalk et les RHEL de mon LAN s'inscrive à mon Spacewalk. Et après tu peux prendre des autant de licences chez RH que t'as de machines RHEL pour être raccord avec leur politique de licensing.

 
 
 
Même si effectivement il y a de fortes chances que la macro déclenche le téléchargement du ransomware, c'est techniquement completement possible et faisable d'avoir un ransomware dans une macro excel. C'est completement à la portée du VB d'office. (la seule contrainte viendrait du fait qu'il ne serait actif que pendant que le doc est ouvert)
 
Peut-être qu'on y arrivera dans pas longtemps pour bypasser les protection sur l'execution des exe d'ailleurs...

Une macro excel peut télécharger un fichier et l'éxécuter ?
Une macro excel peut ouvrir un fichier, crypter son contenu et le remplacer par la version cryptée ?
 
C'est très embêtant ça car un virus de ce type peut être dormant. On échange des fichiers doc avec ses collègues, s'il sont infectés sans le savoir, comme on leur faire confiance (et qu'un fichier docx semble inoffensif), on ouvre les fichiers. On est infecté, on continue à contaminer collègues et amis. Et le jour J...
 
Si ça se trouve tous nos postes sous office sont déjà contaminés et on ne le sait pas. Et le jour J tout internet va être crypté
 

 
Si je te dis qu'un pote même pas dev avait fait un antp-renamer like avec excel ?

 
 
C'est pour ça que ça fait dix ans que les macros sont désactivées par défaut, que l'onglet est planqué et que même si tu les as réactivés, tu as soixante-quinze popups de confirmation pour l'execution.
 
Un mec qui se prends un excel vérolé par mail, j'apelle ça de la selection naturelle perso..

un fichier docx ne contient pas de macros, c'est le format docm ou xlsm qui contient les macros (pour les fichiers crées avec office 2007 ou +)

 
Certains outils affichent la KB dynamiquement dès qu'il repère des mots clefs tapés dans le ticket et je trouve ca pas mal. Chat c'est assez utile, facon amazon par exemple surtout qu on fait du 5h-20h.
 
Les Sla me faut vraiment un truc plus simple comme j'ai proposé la démarche  
 
Je test freshdesk je verrai bien.

Ma boîte vient de changer de locaux, on bosse au milieu des cartons et de la poussière parce que les travaux ont 1 mois de retard.
On a travaillé trois jours sur une ADSL 10M parce que la fibre avait elle aussi 1 mois de retard. Actuellement, c'est du coax NC qui nous sauve la vie  
 
Mais depuis hier soir, il y a des problèmes de téléphonie  
La femme de ménage est venue à 18h, a trouvé une prise de courant dispo dans la baie réseau qui est ouverte pour permettre à notre installation temporaire de tourner (la baie serveur n'est pas encore arrivée, il faut attendre que le sous-sol soit fini...) et y a branché son aspirateur.
C'était une prise ondulée, l'onduleur n'a pas aimé, il s'est éteint pour ne plus jamais repartir.
Et le PABX non plus n'a pas aimé visiblement. Une fois mis sur une autre prise, il est reparti, mais depuis, plus de double appel ni d'interception des appels entrants  
 
Pratique pour une hotline  
 

+1

Personne n'a jamais expliqué à votre femme de ménage qu'on ne se branche pas dans une baie ?

baie pas livrée si j'ai bien lu

 
Je vois pas trop le rapport non plus.

 
Au pire si ça tire trop il se mettent en bypass. C'est tout.

si tu pompe trop de jus dessus ( puissance max depassé ... avec les ~2000W d'un aspi ca vas vite ) il se met en securité et coupe la sortie  
=> coupure de jus sur les équipements

C'est aussi un coup de gueule contre l'onduleur

Le type de truc branché ça joue aussi. Puissance réactive, toussa...

Surtout qu'un moteur d'aspi c'est 2000W en usage, pas en démarrage. Un moteur électrique pendant ça phase de démarrage peut tirer jusqu'a 3 fois sa puissance nominale pendant quelque millisecondes

Hello, je repondis sur l'actualité du DDOS de la derniere semaine.
Comment reagir lorsqu'on subit cela ?
On coupe le router et on attend que l'orage passe ?
On regarde les logs pour bannir toutes les ip ?

j'ai 4 sites.
Je bannis toutes les connexions et je n'autorise que les connexions IPSEC de mes sites ?

Ou cela ne sert à rien car avec 1tbit/s le fw saute de toute façon.

J'aimerais savoir comment réagir .

ça ne sert à rien pour plusieurs raisons, et pas besoin que le routeur saute pour que ta ligne soit surchargée et inutilisable.

J'ai jamais été confronté, donc je n'ai aucune idée des reactions à avoir.
Oui la ligne ^^
 
Mais sachant que je vois dans les options DDOS services,  
C'est que pour les petites attaquent.

 
Ca dépend où tu te situes et si tu es la cible ou si c'est un client à toi. En bout de chaîne, tu demande à ton fournisseur de filtrer.
Si tu filtres à ton niveau, ça n'a aucun intérêt les paquets sont déjà arrivés.  
Si tu es bien connecté (gros tuyau + plein de peerings), tu filtres (avec FastNetMon ou un service "cloud" par exemple) et tu communiques avec tes peers pour qu'ils fassent de même.

Gros tuyau vu le tarif qui est encore pratiqué cela ne sera pas le cas.
et en ipsec je gère tout de bout en bout (sauf ce qui se passe sur internet )

Mais le filtrage arrivera à gérér tous les paquets ? Car c'est bien le principe du DDOS, surcharger, donc pas le temps de traiter.
 

Une attaque à 1Tb/s si t'es pas dans une boite qui s’appelle Google ou Amazon tu ne pourrais rien faire tout seul, et même des attaques sensiblement plus petites tu ne pourras rarement les traiter avec des méthodes à l'ancienne sur les firewall/routeurs a base de bloquage d'IP manuels.
 
Pour gérer ce genre de crise faut déjà bien maitriser son infra, ses applis et ses flux pour comprendre ce qu'il se passe, et être rapidement capable de décider ce qui est critique ou non pour la boite : dans ton cas si tu peux tout couper sauf les liens IPSec entre tes sites ça peut déjà être une bonne base pour passer la crise avec au moins les lumières d'urgence ouverte. Après les DDoS ce sont des attaques en permanente évolutions (une attaque à 1Tb/s c'était considéré comme de la science-fiction y'a quelques mois), il faut essayer d'identifier le type d'attaque précis que tu subis pour vois les méthodes de mitigation que tu peux appliquer, mais si t'es pas spécialistes pointu du sujet ça va être dans tous les cas compliqués d'être capable d'aller chercher et identifier les bonnes infos.
 
Dans beaucoup de cas le mieux et le plus simple est sans doute de passer par des boites spécialisées offrant des services de protection, DDoS genre cloudfare, akamai, etc., en essayant evidemment de ne pas attendre d'avoir une attaque pour se poser de la question de comment ils peuvent t'aider.

Grace a SCOM, tu peux maitriser ton infra.
 

Nouveau pseudal?

Une attaque à 1Tbps perso je débranche tout et je prend quelques jours de vacances
 
XaT

Renommage, téma son profil
 
XaT

j'en avais marre de recevoir des MP d'insultes de dieudonné

Cool, ça fera plus court à taper
 
Quand je pense que tu râlais parfois quand on disait "yoak"

Il a changé

je trouverai aut' chose

 
Oki donc le fait de couper tout sauf les connexions inter site c'est un bon début. Mais les fournisseurs, ne detectent pas ce genre d'attaque dans leur tuyau, car comme l'a dit bmenez, si je vois les paquets c'est qu'ils sont déjà passé donc trop tard, le routeur va faire "rip je pars en vacance".
Ou alors prévoir une autre adresse ip public et non dans le meme range, en sommeil.
 
 
 

à ton niveau c'est pas tant une question d'adresse IP que de lien réseau, tu peux bien avoir une autre adresse IP, si elle est routée sur le même accès internet elle sera inutilisable aussi.

 
Si tu mets en place un filtre, tu t'arranges pour qu'il puisse traiter le flux, c'est le pré-requis.

Putain mais l'interface de config d'ARR    

dans le même genre, un ancien collègue DBA faisait tout avec des procédures SQL dans SQL Server