Reprise du message précédent :
les bases de la productivité

 
Je vais essayer de retrouver les termes précis écrit dans l’audit. En gros : Le SSH peut être intercepté avec une attaque man un the midle... c’est aussi gros que : votre site n’est pas en HSTS, en cas de man the middle, c’est dangereux.
 
Réponse : Je vous laisse me montrer l’exploit du man in the midle entre orange et le OVH/Azure svp. On peux aussi demande au pirate du FBI/DGSE de le faire.
 
Réponse2 : Je vous laisse me montrer l’exploit SSH. Bougez pas, je filme car la communauté sera friant de l’exploit.
 
Réponse3 : Que pensez vous de l’auth au Login mot de passe de O365 en powershell ?
 
Réponse 4 : C’est marrant je vois rien dans votre audit sur le scan en IPV6 ... c’est en option ?
 
 
Ils sont pas méchant et cela va dans le bon sens mais je trouve cela aberrant de payer un audit pour chaque nouvelle applicatif dans le cloud pour avoir une pseudo papelar qui ne sert à rien. Je préférai un vrai red flag sur le SI. On irait plus vite pour les évolutions du SI.

T'as des auditeurs ils font juste un scan nessus et basta

Ah bah pas besoin d'auditeurs pour faire ça.

On va l'acheter cette année pour une mise en production l'an prochain.  

C'est un bon produit.
Je voulais juste dire que certaines boîtes font pas vraiment de vraie valeur ajoutée sur ce sujet.

Ah si si, mettre en forme proprement un rapport du scan de vulnerabilité.

le tres officiel RFC 2549
https://tools.ietf.org/html/rfc2549

 
   
 
0 - oui, un site sans HSTS est interceptable, c'est un fait et c'est pas du tout stupide de le mettre en avant. Dans l'idéal il faut même du certificate pinning qui évite les CA corrompues et les sysadmins trop curieux de la navigation internet de la stagiaire de la compta.  
1 - à partir du moment où techniquement une interception est réalisable, on se fout de savoir qu'elle est réalisée entre deux hébergeurs/cloud/sur du mpls. Des attaquants suffisamment motivés peuvent accéder à n'importe quoi. La bonne réponse c'est plutôt la manière dont tu peux gérer ça dans ton script de connexion : y'a pas d'attaque MITM qui by pass l'information que le fingerprint distant a changé. Tu en fais une exception de cnx dans ton script avec notification d'alerte dans ton SIEM et c'est plié, tu as couvert le risque.  
2 - l'exploit existe (mais affichera le fameux message de changement de fingerprint)  
3 - que le module ExchangeOnlineManagement supporte le MFA et que celui qui n'active pas le MFA sur l'ensemble des comptes O365 mérite la mort, d'être réanimé, pour être tué à nouveau

Bonjour les gens !
 
C'était quoi encore maître achat pour un casque  
- stéréo  
- avec micro  
- utilisable à partir d'un gsm  
- utilisable à partir d'un PC
- Donc je suppose Bluetooth+usb
- Confortable pour tenir plusieurs heures

 
la hype depuis 2 ans c'est rust ça devrait arriver chez vous dans 10 ou 15 ans    

 
Moi j'ai un sennheiser pcx550 qui fait tout ça.

 
Dans le monde indus qui se fait bouffer par le soft, Rust est clairement une solution d'avenir (surtout vs le C++ qui est sa race trop complexe pour pas faire de la merde sans être très bien formé). Le C restera bien entendu, ainsi que certains langages de niches qui font très bien le taff

 
Tu m'étonnes, elles sont juste là pour prendre du pognon sur des bases relativement réglementaires / opposable, et basta.

On change pas souvent les très gros outils (genre même pas tous les 20 ans quoi...). Par contre ils évoluent au fil du temps.
 
La c'était pour comparer des langages pour un petit soft sans la moindre criticité. Le comparatif prend genre plus de volume que le code lui même On a aussi un logiciel pas trop critique qui est partiellement codé node.js, sur du docker. Faut pas croire, on arrive à être à jour aussi

avian carrier, sinon ca veut rien dire
/

Par contre ca fait vraiment pas longtemps que l'auth par certificat est passée GA
Et y'a un gag avec le role GlobalReader qui renvoie "[user machin] isn't assigned to any management roles." quand t'essayes de te connecter

de toute façon il y a bien des choses à mettre en place avant le HSTS et la protection contre les attaques mitm...
et un attaquant motivé (état ou attaques très ciblées) trouvera toujours une faille et celle-ci sera vraisemblablement humaine.

 
En sans fil : https://www.poly.com/fr/fr/products [...] r-focus-uc (bluetooth +usb, switch automatique)
En filaire : https://www.poly.com/fr/fr/products [...] kwire-5200 (USB / USB-C / Jack)

Y'a un truc qui s'appelle la défense en profondeur. C'est important comme concept.

 
Les boîtes de conseil en sécu ...
 
Tu prends un ingé, tu lui fait suivre le MOOC de l'ANSSI, et pouf ca devient un Ingénieur Cybersécurité
 
Plus sérieusement, sur le SSH, on conseille de réduire la surface d'attaque, ne serait-ce que parce que le moindre port 22 ouvert sur un réseau public va se faire instantanément spammer de partout    
 

 
Ouais genre S0di.France qui prend quelques K pour ca  

 
 
j'ai un bose 700 ça fait bien le job

C'est un casque d'écoute/musique, niveau micro c'est pas top.

 
Moui... je dois être déconnecté de la vrai vie.  
SI de 2000 personnes avec du cloud azure et ovh. Environ 200 sites web et 1000 serveurs on prem. On est 7 à gérer la partie infra/sys/réseaux.  
 
J’ai pas encore trouvé un mec qui as réussi à intercepter entre Orange et le vps ovh. Au niveau opérateur donc.
Je suis bien d’accord que l’exploit existe mais c’est un peu too much pour une majorité d’entreprise (dont la mienne).
Par contre, en entendre parler... y’a du monde :-)
 
Sur le sujet SSH. Je veux bien un petit link de l’exploit. Ça remet juste en cause un peu prêt tout le sujet infras as code à base de clef/git...  
 
 
 
 

 
Oui, mais maintenant ça l'est, vu que j'ai répondu le 2 oct 2020, dans le contexte c'est la réponse adéquate  
 

 
Ca c'est la réponse typique des gens qui refusent d'avancer sur les points notés dans les audits : le combo "ouais mais y'a plein d'autres choses avant ton truc" cumulé à "de toutes manières un attaquant très motivé il te pwnera dans tous les cas".
Et la je lolz parce que mettre en place HSTS, vu la faible complexité de la chose et l'absence d'impact quand tous tes connecteurs supportent HTTPS c'est simplement une ligne à ajouter dans la majorité des fichiers de conf des serveurs web : https://fr.wikipedia.org/wiki/HTTP_ [...] 9mentation donc c'est un bon quickwin.  
Je veux bien qu'on cause projet de transfo cybersécu (surtout que c'est un peu la base de ma boite et notre spécialité) et priorisation, mais ce genre d'arguments je les laisse aux sysadmins qui pensent ne pas avoir besoin de protection sur leur endpoint parce qu'ils "maitrisent".  
Dire dans le vide "y'a bien des choses à mettre en place avant le hsts", dans le cas présent, ça ne veut rien dire, genre rien du tout. Faut contextualiser le risque : la probabilité par l'impact, ou plutôt la gravité, pour utiliser la terminologie correcte de la gestion de risques. Ensuite ton plan d'action prend en charge cette matrice, pondéré par la facilité de mise en place (HSTS est un excellent exemple de correction d'un risque en quickwin, bien plus que la mise en place d'une automatisation des patchs système sur le parc, par exemple).  
 

Infra as code avec des clés ssh sur un réseau trusté (donc vpn IPSec sur les interco) : bien.
Infra as code over internet en tapant des ips publiques : pas bien.
C'est pas parce qu'aujourd'hui l'exploit n'existe pas ou n'est pas facile a exploiter que demain ce ne sera pas le cas.
Bref, la sécu c'est un métier, et ça se voit

 
Pour info vu qu'on fait pas mal de RI, les temps de persistance qu'on constate dans les SI vont en général entre 4 et 6 mois, le partenaire avec lequel j'interviens le plus souvent (ex anssi qui a monté sa boite, spécialisé RI / recherche de compro) a trouvé une persistance de 4 ans (oui oui, quatre années, 1460J, toussa). Trouver un attaquant c'est vraiment un métier à part.  
 
 
Pour le MITM avec password :  
https://www.ssh.com/attack/man-in-the-middle  
https://www.riccardoancarani.it/man [...] es-please/
 
Avec la clé il n'y a pas d'exploit publié effectivement, pour l'instant. Ceci étant on n'est jamais à l'abri, hélas, d'une 0 Day vendue par une boite de chercheur à des individus malveillants.
Mais perso je ferais pas de l'infra as a code sans encapsulation au niveau du réseau, ne serait qu'en cas de faille Heartbleed-like.
 
Après comme je le disais plus haut, faut faire l'évaluation de la gravité et de la probabilité. Effectivement, de la publication sur un service web via un tunnel ssh identifié par une clef, avec en plus un firewall de chaque côté qui bride source et destination, dans mes recos ce serait tout en bas, en jaune clair : c'est très grave, mais aussi très peu probable, modulo le type de structure.

 
Voilà, merci

Tu interprètes ce que je dis pour le déformer...
 
Quand les admins de messagerie cliquent sur des mails de spams grossiers tu as pas vraiment la même problématique...
 
Je bataille pour que les métiers ne publient plus de site en http simple déjà.
Ils ont encore des sites avec la page de login en non chiffré alors le HSTS tu m'excusera de pas le mettre en top priorité dans ma liste des choses à faire...
 
La question n'est pas de vouloir ou non suivre des recommandations d'un audit mais surtout d'être en capacité et d'avoir les levier pour changer les choses.

Exactement, tu fais comment si le point d'entrée est public en SSH, et que dans le w-e un chinois de 17 ans publié un 0day qui vise ta version d'OpenSSH ?

Deja vu un exploit publié un vendredi soir, avec PoC en  +; et des IPs qui commencent a scanner l'internet tout de suite après. Si tas pas anticipé t'es mort, c'est pas un samedi à 19h que tu vas ramener toutes les équipes de prod pour faire des màj  sur tes 500 serveurs en IIS

 
Ce sont tes métiers qui déploient de manière autonome leurs serveurs web ?

Change le port du SSH, c'est pas de la sécurité hein.

Historiquement oui c'était le cas, et le shadow IT est une pratique courante voir une habitude, voir un geste politique dans certaines directions.

 
Bah ça c'est un problème sur l'onglet de la gouvernance, pas de la technique. C'est pas la même personne qui appliquera une bonne pratique de conf d'Apache ou IIS et celle qui remettra au carré la gestion des assets, applis & Co dans ta cogip.

 
j'ai pas de retour négatif de la part de mes interlocuteurs et la réduction de bruit c'est très cool en open space bruyant : bon ok en ce moment c'est un peu moins utile  

Il y a des choses plus dures à changer que d'autres.
Et vu le contexte de mon client, il y a des combats qu'il ne sert à rien de mener (de front).

Bonsoir à tous !
Je sors de ma position de lurker pour avoir des avis.
Certains connaissent la solution Micro SOC de chez Orange Cyberdéfense ?
Vous voyez un intérêt sur la solution ? Des avis ?
J'ai une présentation rapide, ils vont me faire une offre (pour une 100aine de postes / serveurs). A priori c'est intéressant....

Achète achète, j'ai des milliers d'actions Orange qui ne demandent qu'à reprendre de la valeur

Edit : les phautes.

 
Merci, je ne retombais pas sur les discussions en parlant
 

J'ai bossé de février à aout sur un script lié à une migration exchange online (par petites touches hein, j'étais pas full time là dessus )
On a passé des siècles à tergiverser sur comment réussir à gérer proprement les credentials, on a mis en place un truc pas dégueu mais pas simple non plus basé sur la récupération en live dans un vault pas vraiment prévu pour être attaqué comme ca à la base.
Et à peu près au moment où on considère que le script est bouclé, MS sort ca en GA  

Tu va trouver une offre comparable chez les gros noms du service cyber et du soc (SopraSteria, probablement Sogeti, ptete pas Thalès).
Sans connaître les spécificités de l'offre je te conseil de quand même faire des devis/étude de marché pour un vrai soc mutualisé qui va être customisé par rapport à ton périmètre, tes risques, ...
L'offre type micro soc sera probablement moins chère, et probablement pas du tout custom.

La tristesse