Reprise du message précédent :

On a dit Ebios et ISO. Même si t'es une PME avec une boîte Gmail.

Sur mon contrat je n'ai que mon brut mensuel
Les primes je les avait sur ma proposition d'embauche: annuelle (2500€ brut), vacance (1262€ brut) et intéressement (2500€ brut)

Deja je me connecte le moins possible aux serveurs. Les outils d'administration à distance sont la pour ça.
Ensuite sur un serveur pas besoin d'être domain admin pour être admin du serveur. Juste sur les DC.
Donc non on utilise que très rarement un compte domain admin mise à part opérations les nécessitant directement...

La boite peut aussi utiliser sa propre méthode d'analyse in house adaptée à sa taille/moyens  

 
ça a surtout le vent en poupe, parce que ça permet de vendre souvent un peu tout et n'importe quoi.
Et le RGPD il y a 1an de ça en a bien rajouté une couche et pourtant bien souvent pas ou peu suivi d'effets...
 
j'en ai entendu plusieurs ne pas se sentir concernée (et meme le dire textuellement).
ok super.

S*partech qui a bricolé je sais pas trop quoi avec leur système de notification automatique, tous leurs mails signalant des incidents ou des avancement de projets sont envoyés depuis un MTA qui n'est pas dans leur SPF  

 
Chaque personne qui travaille comme admin à un compte admin sur le domaine si je comprends bien ? En plus d'un compte normal ou c'est le même compte ?
Je demande parce que chez nous dans notre petite compagnie on est à des éons-lumières de tout ça

oui normalement tu dois avoir un compte genre (par ex) :
- crazy_c0vv pour ton utilisation bureautique de tous les jours
- adm.crazy_c0vv pour l'admin des serveurs
- da.crazy_c0vv si tu es domain admin pour les taches qui le nécessite

Du coup pour l'instant on est à 2 ici. User + admin domaine nominatif.
En sachant que seule la partie système a un compte admin du domaine.

Du coup il faudrait un 3eme admin standard

Et lorsqu'on est tout seul à gerer tout son parc virtualisé,  
j'ai mon login bureautique
et j'utilise que le compte admin du domaine pour me connecter sur les serveurs .
 
Bon, j'ai fait un effort, j'ai créé un compte admin domain bis pour mes batchs et services .

Seul, ça change rien visiblement  

 
 
Ah si je suis admin local de tous les PC avec mon profil .Je me suis autorisé ca    

un compte admin du domaine pour des batchs et services ? wtf

Ouai mais au moins, t'a pas de problème de droit.
Le tout avec un MDP et pas d'expiration

le mec il veut me mettre en PLS direct c'est ça ?

Un compte de service non ? Un compte qui ne peut pas ouvrir une session mais genre le mot de passe n'expire pas et qui execute des taches importantes.
On en a pleins des trucs comme ca ou je bosse.

Ça c'est quand tu fait les choses bien
Voir même t'utilises des certificats
Mais pour certains, c'est juste un compte utilisateur comme un autre.

Ou des gMSA quand c'est supporté

Ouf on est bons sur ça  

 
Faudrait voir ce qu'à auditer ta boîte (mais des experts en sécu MS, c'est extrêmement rare). Mais on parle de mesures basiques là.
 
Faut pas trop se fier aux recommandations ANSSI qui sont souvent la base de la base (et reprennent les précos éditeur d'ailleurs).
 
Depuis quelques années côté MS c'est une grosse révolution côté sécu avec l'apparition d'attaques simples et terriblement efficacies à la fois - Mimikatz, Kerberoast etc...
C'est tout le modèle d'administration qui est remis en cause avec la généralisation des modèles bastion et T0/T1/T2 (ça se faisait déjà il y a plus de dix ans, mais c'était extrêmement rare).

C'est justement grâce à ces comptes que tu peux péter un domaine en moins de deux. Généralement le compte de backup, domain admin, mot de passe simpliste pas change depuis des années. Et je parle même pas côté applicatif.

 
Ca se passe comment en terme de licences ?

C'est sûr qu'ils prennent la base mais pas que, y'a plusieurs préconisations qui sont pas simple pour bcq de structure. Par exemple le cloisonnement, qui ici a un réseau dédié pour le management ?
Je suis pas sûr que ce soit la majorité ici...

 
Il n'y a jamais eu de limites à ce sujet (techniquement oui, mais pas côté licences). Tu paieras pareil que tu aies 10/100/100K comptes utilisateurs.

 
Merci
 

 
Merci, je pensais qu'il fallait une CAL par user

Je vais pas detailler ce qu'on a ou pas, mais clairement, un réseau (physique ou logique ?) pour l'admin, c'est pas le Pérou
Combien ont un, voir des, HSMs ? Là ça deviens plus touchy Pareil pour un troisième site a >100km des deux premiers ?
Plus la boîte est grosse, et plus t'a des chances d'être proche du top du domaine. Après, la plupart des bonnes pratiques nécessitent pas des budgets énormes pour être appliquées.

 
Autant pour moi, je n'avais pas compris la question dans ce sens là. Tu as besoin de CAL par user ou par device oui.

J'attendais car je comprenais pas  

Je dis pas que c'est le Pérou  
Mais des structures moyennes ou le mec gère seul ou à 2 la partir réseau, système , etc.... J'en ai croisé plusieurs et y'en avait pas de cloisonnement... Peut-être qu'ils auraient dû mais temps, connaissance, budget, etc... Fait que ce n'était pas mis en place.
C'est d'ailleurs une des raisons d'être de l'ANSSI, aider à s'occuper de tout ça  

Mais peut-être que vous avez oublié les petits avec vos grosses structures ou que vous êtes tj resté dans vos multinationale aws, office 365        

user veut pas dire compte ad exactement en fait. (sauf certains produits qui t'obligent à avoir une licence rattachée au compte pour faire l'administration et ça c'est la plaie )

en domain admin ? Bah non faut pas.

 
Merci, je suis un peu dans le brouillard la-dessus  

 
Tu veux dire combien d'archive fonctionnelles ?

Qui utilise vraiment selinux ?
 
Faites pas les timides et soyez honnêtes !

En dehors de l0g4n tu veux dire ?

User pour moi, c'est une personne physique, donc là il faut une CAL. Pour d'autres types de compte (un compte AD désactivé qui est lié à une BAL partagée par exemple) là tu n'as pas besoin d'acheter de CAL.

En Enforcing.

Du coup toujours sur le sujet des best practices pour les mots de passe
 
pour les serveurs linux vous faites comment en pratique (contexte d'une PME avec une 30 aine de serveurs)
 
à l'installation vous utilisez un mot de passe root random stocké ailleurs?
vous virez le password root ensuite ?  
etc
 
   

Je mets root en mot de passe et je laisse ouverte la connexion en root en ssh

je pensais que ce serait plus compliqué, merci je vais appliquer ça