Reprise du message précédent :
80-90k... "correct"  

Avec ou sans tickets restos ?

En dehors d'être le fusible qui saute quand le DSI est pas content ?

C'est quand même pas mal de taff et de responsabilités.

Et que l'expertise technique n'est toujours pas assez reconnue.

tickets restau à 130€.

Faut bien manger le midi pour pas risquer de faire un malaise en fin d'après-midi.

Encore faut-il l'avoir

Bien sûr. La remarque venait plus pour expliquer qu'on propose systématiquement de faire évoluer des mecs en encadrement plutôt que de reconnaître une réelle expertise technique avec un salaire décent.

Avis aux spécialistes Windows server.

Dans mon lab à la maison, j'essaie (pour le fun) de faire cohabiter du legacy et du moderne, en gros je voudrais intégrer du XP sur un domaine 2019/2022. Par défaut, ça ne fonctionne pas. Et après quelques recherches, j'ai vu qu'il fallait modifier le chiffrement kerberos, sauf que y'a des incohérences.

J'ai réussi dans un premier temps en modifiant la GPO par défaut du domaine et du DC, en sélectionnant uniquement le RC4, nickel, la station s'intègre bien.

Maintenant les incohérences :

-Par défaut, même en 2022, le RC4 est théoriquement activé (valeur 28) mais j'ai systématiquement "erreur interne" lors de la jonction au domaine
-Si je désactive le RC4 pour ne laisser que AES, la jonction au domaine fonctionne toujours, WTF ?
-Si je sélectionne RC4 + AES, à priori je retombe sur le cas par défaut

Pour le cas AES seul, lorsque je regarde l'échange client > serveur, ce dernier renvoi bien KDC_ERR_ETYPE_NOTSUPP, sauf que la jonction au domaine passe quand même. Donc comment ça fonctionne ? J'ai vu qu'il y avait un mécanisme de fallback en NTLM serait-ce ça ?

J'ai également testé sur du 2016 et là ça fonctionne par défaut (valeur 28 aussi).

Pour confirmer le fallback, j'ai tenté de désactiver le NTLMv1 (vu que XP par défaut est en LM+NTLM) pour n'accepter que le v2, hors même dans ce cas, l'intégration fonctionne toujours. Là je ne comprends pas comment c'est possible si le DC refuse (en théorie) le NTLM. Y'a un 3ème niveau de fallback ??  

Merci  

Pour XP j'ai un doute, mais va peut être te falloir du smbv1 de dispo sur les DCs. Et c'est plus le cas par défaut.

 
Si on filait 100k à chaque fusibles dans une entreprise, y’aurait vite des problèmes de budget.  
Néanmoins j’en ai pas vu beaucoup des RSSI sauter. Notamment parce qu’avec la pénurie de profils on prend le tout venant. J’ai vu d’ex pentesters de vraiment bon niveau comme des gens uniquement orientés conformité et pour qui la tâche se résultat (j’en rajoute à peine) à faire un concours de bite à qui aura l’excel de conformité le plus gros.  
 
Je vais être franc aujourd’hui j’aborde les RSSI avec pas mal de méfiance tant j’y ai vu d’énormités sorties, absolument hors sol. Récemment encore en restit d’audit logan remontait des (très) mauvaises pratiques d’administration, légitimées par le RSSI par un pseudo cadre réglementé.  
 
Ou encore sur une mission de réponse sur incidents un RSSI dans le secteur santé qui nous a interdit d’aller investiguer dans un sens qui nous semblait important, pour des raisons de budget. Devine qui nous a revu 5 semaines plus tard ? Ça rajoutait genre 5k sur une presta à 60…  
 
Actuellement je réponds à un AO, le RSSI nous a envoyé un formulaire de conformité de 290 putain de questions, dont facile 15-20% sont redondantes.

Go se taper une ou deux certifs cloud AWS ou Azure et le 80 est assez "vite" atteignable même en France sur des postes d'architecte en ayant une tête bien faite.  
Le cloud c'est autant inflationniste que la sécu. Bonus en cumulant les 2    
 
 

Et si en plus t'es data-scientist tu palpes mieux qu'un prince saoudien

Après il y a aussi de choix éthiques à faire Tout n'est pas que pognon

Ouais, bosser pas plus de 4 jours par semaine, question de principe

chez nous le RSSI veut supprimer les comptes d'administration.
 
on va tout faire avec LAPS
 
moi j'continue a me taper parce que j'aime ca, mais va falloir que les autres prennent la releve, parce que dans 3 mois...

Faut voir les process qui sont mis en place autour pour que ça reste vivable au quotidien mais dans l'absolu ça doit limiter drastiquement les risques de vol de credentials/ticket à privilèges

C'est pas tellement vrai ça, pour un data scientist t'as généralement besoin d'un multiple de devs et data engineers pour mettre en place l'infrastructure nécessaire à faire tourner ton bordel, et généralement des profils où tu peux pas recruter des juniors (alors que côté data science c'est facile, toutes les écoles en sortent par camions).

Putain, faut vraiment que je me motive à faire l'associate/pro

Le buzz job...

 
Pour GPO/loginscript oui.
Mais ça doit pas empecher l'ajout dans le domaine et l'auth; enfin c'est ce qu'on nous a dit, on vient de lancer l'étude pour migrer notre AD 2008.
Par contre ça m'étonne que ca prenne pas par défaut les XP en AD2019  

 
 
l'associate est accessible la pro c'est plus compliqué et bien relou niveau bachotage si j'en crois les retours  

Le RSSI ça reste un membre du comité de direction dont le rôle est surtout stratégique. C'est un communiquant et pédagogue qui doit s'inscrire dans une logique d'accompagnement des activités métiers.

Il faut constamment justifier les budgets et pour ça il faut bien passer par divers indicateurs.
Comme le CTO est au DSI, il existe des rôles de RSO plus techniques et terrains.

J' ai vu des RSSI barbus très bon techniquement mais limite enfermés dans leur placard car incapable de dialoguer avec des métiers.

Pour le salaire, aux USA, la durée moyenne d'un RSSI en poste avec 15ans d'expérience c'est 2 ans. Pas tellement à cause des licenciement mais plutôt des burnouts(d'ailleurs ça a été l'objet d'une conférence aux assises) . C'est assez toxique comme fonction, il y a donc en plus de la rareté des profils une difficulté à garder les gens.

en vérité ca m'interesse vachement d'avoir un appercu de ce que doit etre la cible de la gestion des droits dans un SI
 
(coté admin modern workplace, notamment)
 
 
 
sachant que quoi qu'il arrive, j'en suis a 2DSI, 2 CTO, 3 RSSI et 6 N+1 en 2+ ans ici, j'ai globalement plus l'énergie de me battre pour des trucs qui vont encore tomber a l'eau dans 4 mois.

Moi aussi, ça commence à être un peu limitant de seulement voir des bouts d'implémentation semi-foireuse chez l'un ou l'autre client
Typiquement chez mon actuel, je peux vraiment pas trop raconter mais pour moi c'est fait n'importe comment, en partant d'une interprétation erronée des recos ansii et d'une compréhension limitée des environnements Microsoft.
Mais je suis pas assez solide pour vraiment opposer un argumentaire global...

Gloubi, log4n, vous nous faites une masterclass?

Il doit y avoir un MOOC

Ça a l'air intéressant comme approche  
Genre, tout TOUT ? C'est pas un peu chiant pour... La traçabilité par exemple ? Parceque bon, c'est un coup a inciter le partage des creds LAPS entre collègues pour se simplifier la vie

Microsoft, Modèle d'accès aux Entreprises/Stratégie d'accès privilégié.
Bon, c'est très crosoft/Azure, mais ça te donne une bonne idée de l'approche qu'ils vendent.

Ça je connais à peu près justement, là j'en suis plus à découvrir les reco anssi, faire coller les deux, puis faire coller l'ensemble aux contraintes métier/organisationnelles du client
Parce que les vzst practices MS elles sont sympa mais quand tu t'attaquer à une implémentation concrète il y a quand même pas mal de questions supplémentaires qui se posent, pour lesquelles les réponses sont un peu compliqués à poser sans un minimum d'expérience perso

En vrai, coller les précos ANSSI aux précos éditeurs, sauf pour les quelques produits qualifiés, parfois c'est plus des choix à faire entre l'une et l'autre qu'une réelle solution technique ou fonctionnelle que tu peux mettre en place
Après si t'a pas de grosses contraintes type DR, presta qualifiée, les précos ANSSI restent des précos et pas des obligations (et même pour DR en fait ).
Mais si ça chauffe du monde, j'peux refaire une liste des docs sympas en terme d'archi/admin/toussa dispo chez l'ANSSI.

Bordel que ça me gave les entrées SPF non conformes sur les domaines qui génèrent du SPAM à tout va    
Le nombre de demande de support à ce sujet est en train d'exploser..

 
j'ai pas la reponse
 
mais a part pour jouer au docteur Frankenstein, pourquoi tu chercherais a faire une merde pareil  

parce que dans la vrai vie avoir des clients en XP c'est encore bien réel comme problématique, peut-être ?

 
c'est pas une problématique quand tu refuses la mission  

Entretien avec un très grand dimeur à midi.

Midi: y'a personne. Si meme les managers sont en retard...

 
Pareil, mais à cause des services SaaS qui ont besoin de faire des envois via les bal m365/autres, et les domaines gérés par des tiers qui te pètent tout comme des blaireaux au lieu d'appender comme il faut.
 
Ce cirque continu de clowns me fatigue au plus haut point

C'est la première chose que j'ai activé  

Intéressant. Pour ce qui est de la prise en charge, malheureusement, plusieurs cas sont remontés sur les forums exactement comme moi, ex :
https://social.technet.microsoft.co [...] rum=ws2019
https://social.microsoft.com/Forums [...] rum=ws2019

Après ça ne m'étonne pas plus que ça, XP est mort depuis 2014, exception faite de POSReady en 2019 (faudrait que je le test lui, voir si ça fonctionne ou pas, ya peut-être eu des MAJ kerberos plus récentes)

C'est pour le fun comme déjà dit et pour pourquoi pas en apprendre un peu mieux sur l’authentification  

A part les fonts sur HFR il est pas dégueux ce Win11 (bon il sait pas lire luks & btrfs hein )

Même avec WSL?

WSL2 y'a un serveur X intégré ?

ce qui reste une faute majeure. Deja avoir encore du 7 c'est limite, mais du XP...

si c'est le cas je prefere encore ne pas upgrader l'AD (2012 R2 de mémoire doit etre la derniere version officiellement supportée), travailler pour les virer, puis maj l'AD apres

Pour quoi faire?