Reprise du message précédent :
Je pensais que le smiley troll était suffisant  

gloubi est une IA hein

Après je peux être super fort et trop payé  

 
Only sur de la rev 2002 sous win 7, ou ça arrive régulièrement. Sinon pas embêté.

 
Tiens ça me rappelle que je travaille sur un site où j'ouvre avec mon badge et je commence tôt le matin (7h). Des fois j'arrive quelques minutes en avance, et par deux fois un gusse m'a demandé mon identification et de scanner mon badge. Je lui ai expliqué tranquillement les règles de sécu, il devenait insistant, je l'ai envoyé chier moins poliment. La deuxième ça a été bonjour et je l'ai envoyé chier direct (c'était un autre gars qui me demandait la même chose).
Après remontée à mon manager, qui s'est renseigné j'ai eu une réponse 3 semaines plus tard (oui ce sont des rapides dans ma cogip): c'est un manager lambda qui avait demandé à une société de sécurité de vérifier les badges de ceux qui arrivaient avant 8h.  
 
Je me pose la question: à un moment donné, quand tu formes tes employés aux règles de sécurité et notamment à l'engineering social, tu t'attends à quoi à faire controler tes dits employés par des inconnus sans avoir mis au courant tes dits employés qu'ils allaient être controlés et que c'est normal? Ces génies....
 
Bref pour te répondre: que si c'est validé par ton N+1 2 3 4 5 avec un process ben tu files les accès root au monsieur, sinon tu les envoies chier.

Tu file un accès utilisateur au monsieur, et si il a besoin d'aller voir les fichiers de conf, qu'il se démerde, c'est un audit sécurité, pas un j'te file les droits root. (tu vérifie rien en root)
C'est seulement si il rate son pentest que tu lui MONTRE, accès spécifique audit, droits utilisateurs normaux avec juste accès en LECTURE SEULE aux confs.
Edit : aux confs et rien d'autre, pas les documents internes de l'entreprise, pas les dossiers utilisateurs, rien d'autre.

tiens d'ailleurs on avait un debat la dessus
 
les outils de scan de vulnérabilité
vous les laissez comment. tel que verrai un attaquant potientel (de l'exterieur, depuis un poste bureautique corrompu) donc en laissant visible que ce qu'un attaquant verrait vraiment (restriction firewall par exemple) ou vous les faites tourner en mode open avec tout visible ?

Dépend du contexte.

Si tu veux faire de la compliance, flux ouverts et roule.
Sinon tout par défaut et tu vois ce qui peut être réellement exploité.

Comme pour l'audit, ça dépend de ce que tu cherches à montrer avec l'audit ou avec le scanner.

Sur un réseau correctement segmenté (on va pas revenir sur le débat du zéro trust), c’est impossible de positionner des scanners dans toutes les configurations pour déterminer l’exposition réelle.  
Du coup à mon sens ton outil de gestion de vuln, il faut qu’il soit full open, par contre les accès pour le joindre doivent être particulièrement restreints et la machine la plus sécurisée au possible pour limiter le risque qu’elle va représenter sur ton SI.  
Son gros intérêt c’est aussi de montrer tous les axes d’accès sur la machines, qu’on parle de patchs manquants, d’accès ftp anonymes, de mdp par défaut sur des équipements…  
Après dans la conf (en tous cas de celui qu’on utilise) tu peux pondérer la criticité de certains assets ou vuln remontées pour rendre les rapports plus fins sur le risque réel et optimiser l’automatisation que tu vas mettre en face.

 
Je vois rien dans son message qui laisse à penser qu’il s’agit d’un pentest.  
Mais sinon je suis d’accord un auditeur a besoin d’un accès en RO, inutile de le mettre domain admin.

 
oui mais dans un réseau correctement segmenté, quel interet de savoir qu'un patch OS est pas mis par exemple sachant que l'OS est pas joignable a part sur un port applicatif
tant que l'applicatif en question a pas de faille evidemment, mais pour moi c'est surtout ca qu'il faut vérifier.

 
Je vois mal faire un audit de sécu sans pentest x_x

 
Et pourtant... Combien conduisent ce genre de presta avec un Nmap  

 
Parce qu’il ne faut pas négliger les mouvements latéraux et les pivots possibles de l’attaquant.  
On a déjà vu des machines soit disant déconnectés mais pas airgap pour autant se faire taper parce que dans le cas d’un groupe très énervé ils prendront le temps en phase de découverte d’aller très loin.

Un pentest n’est qu’un type d’audit de sécurité parmi d’autres et son effet est souvent largement survalorisé.

L’audit de conf, de topo, la recherche de compromission via des moyens forensiques, sans même parler des questions de gouvernance, tout ça ce sont des audits de sécurité.
Un pentest ne te dira jamais si quelqu'un est présent ou l'a été dans ton SI, par exemple.

Vous conseillez quoi comme gestionnaire de configuration (router, switch etc...) ? pour un environnement simple.

On va pas revenir sur le débat mais je me souviens plus du débat  
Suis en train de démarrer un chantier là dessus, y avait pas consensus sur le topic ? Ou alors tu veux dire que ça menait à des mauvais pratiques genre je fais du zéro trust donc je peux sécuriser l'interne à la zob?

Dans mes souvenirs on évoquait la sécurité périmétrique et les infras hybrides.

 
Non le débat portait autour du fait que c'est pas clairement défini et du buzzword, deux choses avec lesquelles je suis en total désaccord.  
 
Pour moi l'essentiel à retenir c'est qu'il faut de la défense en profondeur, au niveau système comme réseau et que la zone trust/untrust n'a plus de sens aujourd'hui, ni les DMZ. Conceptuellement tous les sous-réseaux doivent être réduits à des périmètres fonctionnels très identifiés (ad, messagerie, sap, whatever) et être considérés comme des menaces les uns par rapport aux autres donc avec des filtrages forts, des autenth quand c'est possible, voir carrément aller jusqu'à des filtrages horaires si c'est possible (par exemple pour le cas de la sonde de gestion de vuln).

Y'a un papier de l'ANSSI sur le sujet qui est assez accessible  

Je suis le seul à me battre avec des dc qui rebootent toutes les 5 a 10min ce matin ?

C'est le moment de s'inquiéter.
Ou licence de test expirée ?

C'est le moment de désinstaller le CU de janvier surtout.
 
Chez nous on nous a fait un caca nerveux avec celui là:
https://www.cert.ssi.gouv.fr/alerte [...] 2-ALE-001/

 
La derniere MAJ de Microsoft, whatelse ?
https://www.it-connect.fr/mise-a-jo [...] -v-hs-etc/

3 chez 3 client qui n’ont aucun rapport, oui je m’inquiète clairement

Merci, j’avais vu pour hyperv mais pas le reste.

La maj a été retirée du coup..

le truc qui arrive tous les 6 mois

C'est pour nous filer un peu de taf, nous les prolos du On premise

 
J'ai l'impression que c'est un peu plus régulier que ça

J'osais pas le dire

Et de mon expérience on peut rajouter le KB5009546 pour windows 2016

La qualité du on premise est quand même en chute libre ces derniers temps je trouve.

C'est pas comme si il fallait sur-vendre les solutions Azure hein, non, non...

c'est pour ca qu'il faut se mettre un délai de 30j avant d'appliquer les patchs

Il faut faire un shema complet.
 
Est-ce que je patche pour une faille 0 day
Est-ce que cette 0 day est grave et s'applique chez moi
Quel produit
Impacte d'une faille
Impacte du service en rade
 
On va bientot voir fleurir des postes de update strategist  

la base

dans le bureau d'à côté du microsoft licence manager

Ça existe déjà dans les entreprises où la réglementation est stricte (pharma, santé etc).

Edit: pas du poste à proprement (quoi que), mais des missions correspondantes.