Reprise du message précédent :

https://www.ssi.gouv.fr/guide/recom [...] directory/

il y a aussi à la page 15/48
https://www.ssi.gouv.fr/uploads/IMG [...] teTech.pdf

C'est pas choquant sachant que tu ne surfes pas depuis le DC et que tu analyses par un antivirus les applis téléchargées depuis une autre station qui seraient potentiellement installées sur le DC.
Et les seuls ports ouverts sur le DC sont liés aux rôles de l'AD, rien de plus donc ça doit minimiser les attaques par le  LAN. Et zéro ouverture de flux vers Internet.

+1
Et souvent ces softs tournent avec des droits élevés donc sauf si c'est géré par la même équipe qui gère l'AD c'est la porte ouverte aux admin de ces softs pour être en qq clics domain admins.

Tu donnes l'indication d'attaquer par du phishing et ensuite d'essayer de regarder les AD et autres serveurs critiques car ils n'ont pas d'antivirus.
Une personne mal attentionnée pourrait arriver avec une clef USB, compromettre le serveur et repartir.
C'est pas dit que tous les AD aient des restrictions en sortie.

Y a encore du monde qui fait tourner un AD en physique sur la machine ? Donc le coup de la clé USB...
Le phishing sur le DC? Alors que tu ne fais que de l'AD dessus, pourquoi tu irais voir tes mails et donc consulter un mail de phishing?

Oui, c'est toujours bien de garder un AD physique.
Le coup de la clef usb, c'est peut être très con, mais ca marche très bien.
Je ne sais plus quelle société laisse trainer des clefs USB et si jamais quelqu'un la connecte pour voir ce qu'il y avait dessus, ils pouvaient se faire virer.
La consigne est de rapporter toutes les clefs USB et de ne jamais connecter une clef USB de source inconnue.
 
Le phishing est fait vers les mails des utilisateurs, une fois que tu as l'accès au poste d'un utilisateur, tu regardes ce qu'il y a sur le réseau.
Il n'y a pas de client mail configuré sur les AD avec une adresse.

 
pour moi c'est lync qui est integré à o365 et non le skype grand public non ?

 
Plus serieusement : tu es dislexique ou un truc du genre ?

C'est skype for business, lync est abandonné depuis 3 ans environ.

En général un serveur ad c’est pas une truc dans un couloir ouvert aux 4 vents.
Enfin chez moi c’est que des vm.

Les préco de microshiot ne sont pas d'avoir un ad physique à minima?

bien sur

Je ne crois pas, il y a juste une liste de preco longue comme l’annuaire pour gérer un ad en vm

J'allais dire que Skype vient des mecs de KaZaA mais dans ton post suivant tu en parles
 
Jusqu'à l'année dernière tu avais toujours un client (linux tout du moins) disponible et déployable qui utilisait le P2P. D'ordre général les recommandations sont d'éviter d'utiliser des services qui passent via, entre autres, les US et dont on a peu d'informations sur le cheminement de l'information, de son chiffrement, etc.
Je ne me suis pas informé plus que ça depuis quelques temps je t'avoue et c'est peut-être un héritage (dont in fine était toujours d'actualité en 2017 pour la question du P2P et des fluxs vers les US, dont relativement récent) mais bon moi ça me va si ça peut m'éviter de supporter encore plus de trucs
 
La DINSIC, plus récente, recommande l'utilisation de logiciels opensource/libre aussi Tu as des recommandations et un monitoring des softs sur leur site je crois.

Je t'ai dit que j'étais dans le Ministère de la Recherche, enfin l'E.Sup et Recherche Pas dans l'EN.
Tu fais de sacrés raccourcis sur cette histoire de Kazaa/Skype, personne ne dit ça
Les décideurs ils se sont fait refilés des solutions à la con d'ailleurs, j'ai vu passer du Skype Entreprise
Superbe choix vu qu'il n'y a pas de support linux    
Si je retrouve des infos côté CNR$ je te donnerais des news si tu veux
 
XaT

Pourquoi le garder en physique? J'aimerais bien avoir ton opinion là-dessus.
Ok t'as un poste user vérolé par du phishing ou whatever. Comment tu veux qu'un intrus s'élève Administrateur sur le DC par cette méthode ?

Si t'as pas de contrôle d'accès à tes serveurs physiques aussi
 
XaT

 
Je bosse avec les hopitaux, et les décideurs m'avaient sorti une vieux truc de l'anssi de 2005 qui expliquait ça. C'est pour ça que j'en parle. Quand on me sort anssi+skype j'ai automatiquement ça qui me revient en mémoire.
 
Pas sur de pouvoir publier le doc entier, donc screenshot :
 

FPH != FPE
Ca va sinon, je m'attendais à pire, c'est pas un si gros amalgame que ça entre KaZaA et Skype
Le P2P bon effectivement si t'as un client qui passe en supernode et qui pompe toute la connexion Vu qu'on a des grosses BP ça va dépoter
L'auth/annuaire/fluxs dont on sait pas par où ça passe et qui contrôle, ouais in fine c'est pas génial.
 
XaT

Apres on peut se demander pkoi l'ansii sort ca. Peut etre qu'a cause d'une decentralisation c'est plus dur de tout controler.
Mais aussi grace à cela, on recoit des données de tout le monde.
Theorie de complot inside

 
Je pense que c’est une vieille histoire de cluster de volume hyper-v.. en cas de défaillance, le cluster a besoin du contrôleur de domaine pour démarrer.. mais depuis 2012, le problème ne se pose plus apparemment (j’ai une très faible xp hyper-v)
 
Aujourd’hui, si tu fais les choses pas trop mal, tes dc sont sur 2 hôtes (volumes)différents.

 
Je suis les recommandations de Microsoft
https://docs.microsoft.com/en-us/pr [...] 3(v=ws.10)
dans "Avoid creating single points of failure."

 
Si je devais faire cela, ce serait en attaque brute force vers l'AD avec tous les comptes les plus courants.
Sinon ce serait en utilisant des exploits vers l'ad ou la faille du SMB s'il n'y a pas de patch.
Comme il n'a pas d'antivirus, l'administrateur n'aura pas de remonté de l'antivirus.

Dans le cas où tu fais du Hyper-V. Et je disais justement que quand tu fais tourner un DC conséquent tu sépares les rôles, donc exit Hyper-V sur le DC, et donc pas de raison de ne pas le virtualiser.

C'est du 2008R2. On en est à 2016
Ok donc tu pars d'un phishing à maintenant du bruteforce, exploits et cie, c'est pas tout à fait la même chose...
Bruteforce => t'es pas trop con et tu choisis des mots de passe béton pour tes comptes avec droits d'administrateur
Faille => t'es pas trop con et tu gardes ton DC à jour
Bref à part du 0day tu risques pas grand chose. Avec ou sans antivirus ça changera que dalle de toute façon. Et encore faudrait qu'entre la découverte de la faille et le correctif MS y ait un gus qui ait infecté un desktop et choisisse de cibler le DC. On n'est pas loin de la parano ou le sentiment de persécution

Ouais pour Hyper-V quoi
 
XaT

 
Bin ton cluster hyper-v qui vient de tomber en carafe il héberge justement ton/tes DC.  
 
 
Microsoft te recommande d’avoir un physique dans le cas où tu utilises hyper -v. Si t’es sous vmware ils s’en bâtent les couilles, tu respectes pas le manuel
 
 
Édit: je cite le cluster car j’ai connu une infra de la sorte. Les 2 hypervideurs dans la même baie, rattachés à la même baie de stockage sur une seule source d’alimentation. Avec 2500 comptes actifs (école)
Et ça doit pas être un cas isolé.

Ca évite à des admins virtu de dumper les disques des DC. Cela dit c'est résolu sous Hyper-V 2016 avec les Shielded VM (pas d'équivalent sous VMWare à ma connaissance).
 
Pour l'antivirus, c'est un mal necessaire. Oui il augmente la surface d'attaque, oui il permet d'éventuelles élévations de privileges, mais c'est infiniment mieux que d'être aveugle et à poil face au premier ransomware/wiper venu.
 
Si on veut réduire la surface d'attaque on peut déjà passer tous les serveurs d'infra en mode core (que je n'ai quasiment jamais vu en production).

Vous utilisez quoi pour tout ce qui est mots de passe ?
Lastpass c'est mignon, mais on peut pas renseigner bien de champs autre que le classique FTP...

keepass

Et j'oubliais : en SaaS, pas d'app.

ssh -X

et multi-users.

Idem depuis plus de 10 ans. Cela a une certification bancaire. Avant sur Pocket PC sous Windows CE(le truc d’avant les smartphone) je l’utilisai aussi.
Dommage que cela ne soit pas sous IOS.

Question pour ceux qui bossent en Agile ici : à quelle heure faites vous le stand up?

Pour les DC, si toute ton infra est par terre, ou que disons tu as du tout couper, avoir un DC physique a rallumer en premier c'est quand même cool..

Pas besoin d'avoir une machine de guerre en plus, c'est pas ca qui coûte cher.

 
La même ici.

Et tu doubles pas ton DC sur une seconde machine? Pas top ça

Comme je disais, je vois pas quel risque craindre si tu limites ton DC à ce seul rôle. Après oui dans le cas d'un Windows Server à la sauce SBS donc avec plein de rôles et fonctionnalités oui un antivirus est plus qu'indispensable.

bah avec du skype enterprise (lync si tu préfères) t'as parfaitement la maitrise de l'annuaire et des flux si  

 
Carnet et crayon
 
Et aussi la liste telephonique et id des prestats en cas de panne.

Tu peux démarrer un cluster avec un AD KO (cluster bootstrapping) depuis Windows 2012, et tu peux créer un cluster sans AD (ou avec des noeuds joints à des domaines différents) depuis windows 2016  ( https://blogs.msdn.microsoft.com/cl [...] rver-2016/ )

Le cas que tu décrit, finalement le problème va plus loin que juste l'AD pété si toute la virtu est tombée... les gens peuvent toujours se logger sur leur postes puisque les sessions sont en cache, et derrière de toute facon ils ne peuvent plus accéder à aucune appli qui tournait sur le cluster   .
Et en plus dans ce cas précis, redémarrer l'AD finalement c'est juste récupérer le VHD d'un contrôleur de domaine (depuis le stockage du cluster si dispo ou depuis un backup) et le démarrer n'importe où, dans l'absolu même ton laptop permettrait de redémarrer l'AD!

Si, tu as un autre DC, sur l'autre hyper-v.. dans la même baie toujours (les machines étaient démarrées sur le même hyper-v, en cas de défaillance, le cluster gère le basculement ²²²)

 
là c'était du 2008r2, avec backup de prod sur un syno grand public posé sur la baie, et pour compléter le tout un onduleur de 12 ans avec batteries HS    
 
Heureusement je n'ai fait qu'y passer, j'ai jamais eu à gérer cette daube