- FRsAG - frsag.org

Icinga2 & SLA reports
by Lucas 24 Oct '18

24 Oct '18

Hi folks, J'ai lu pas mal de messages de personnes utilisant icinga2 comme solution de monitoring sur la liste. Nous avons donc monté un serveur et c'est vrai que l'interface est sympa ! Par conter je ne trouve aucun moyen simple et propre de générer des PDF pour des rapports de SLA. J'ai essayé les quelques options sans documentation présent sur le net mais sans succès. D'après Thomas Gelf, un module est prévu mais sans date de sortie. CF : https://github.com/Icinga/icingaweb2/issues/104 Du coup je pense installer un Thruk sur le serveur juste pour générer du PDF de SLA. Et vous vous faites comment ? Lucas

2 1

[Stage ] [Télétravail] Supervision PRTG
by Vincent Duvernet 22 Oct '18

22 Oct '18

Bonjour la liste, J'envisage un petit coup de main pour me décharger sur certaines tâches qui ont pris du retard. Thème du stage : Supervision Paessler PRTG - remise à plat et améliorations Mission : stage non rémunéré. Début : 2018/2019 Durée : A déterminer Localisation : Télétravail 100%. Je suis à mon compte sans locaux. Tout se fera en visio-conférence / tel. Détails : Notre serveur de supervision (VPS OVH) gère plusieurs clients répartis sur la France. Les sondes en place sont principalement du Ping et SNMP v2 et quelques sondes http. L'installation est fonctionnelle mais mériterait d'être améliorée en y dédiant plus de temps. Voilà, si quelqu'un est en recherche d'une expérience dans le domaine. Vincent

3 4

[BIZ] Prestation pour mise en place VPN
by ML 22 Oct '18

22 Oct '18

Bonjour, Je recherche un prestataire pour nous accompagner dans la mise en place de solution de VPN SSL ou SSTP résiliente. L’enjeu sera d’avoir des clients différents selon le contexte. Par exemple, client logiciel pour les collaborateurs, client physique pour les VIP et autres filiales. Nous sommes équipés d’IAM RSA. On attends un haut niveau de sécurité, une véritable expertise et un gros accompagnement. A titre d’exemple, des solutions à base de routerOS nous font de l’œil. Néanmoins, nous pourrions être convaincus avec des constructeurs plus habituels. Une équipe technique sur Paris nous parait indispensable pour la mise en œuvre puis pour assurer une tierce maintenance applicative. A suivre en privée. Je vous remercie, p/

17 21

Re: [FRsAG] RGPD - le retour....
by Aurélien J. 15 Oct '18

15 Oct '18

Merci pour les infos et vos contacts. Bonne journée, Aurélien On Sat, Oct 13, 2018 at 1:57 PM jfbaillette <jfbaillette(a)g-echo.fr> wrote: > Bonjour Aurélien, > > Faites-vous accompagner. Jean-Luc en copie pour les questions DPO, > José-Patrick pour les questions SSI. > > Bon we > > JFB > > On 10/12/18 3:32 PM, Aurélien J. wrote: > > @Franck -> ça concerne plus de le PSSI vous avez raison, j'aurai du > préciser > > @Wallace -> je sais mais je suis le seul à ce poste pour faire un peu > tout: > > PSSI, RGPD et gestion de projet > > > > On Fri, Oct 12, 2018 at 3:07 PM Wallace <wallace(a)morkitu.org> wrote: > > > >> Hello, > >> > >> Chacun son métier non? C'est le rôle du DPO de poser les bonnes > questions > >> et de résumer d'un point de vue non technique ce que tu dis en > technique. > >> > >> Dans l'histoire tu es juge et partie ce n'est pas bon ni souhaitable > pour > >> une bonne politique RGPD. > >> Le 12/10/2018 à 14:35, Aurélien J. a écrit : > >> > >> Bonjour à tous, > >> > >> Dans le cadre de mon activité je dois réaliser un document sur les > >> différents items du RGPD. > >> Je bloque sur l'un d'eux en particulier celui de la procédure > >> d’appréciation du risque avant mise en production SI. > >> Comment avez-vous expliqué, abordé cet item et comment avez-vous pu le > >> développer ? > >> > >> Merci je n'arrive pas à trouver d’exemple ni d’explications clairs. > >> > >> Pour le moment mon document se limite à comment intégrer une nouvelle > >> machine dans un SI mais d'un point de vue très technique en vérifiant > >> toutes les recommandations habituelles -> machine à jour, flux réseau à > >> prévoir, applications installées, .... > >> > >> Aurélien > >> > >> _______________________________________________ > >> Liste de diffusion du FRsAGhttp://www.frsag.org/ > >> > >> _______________________________________________ > >> Liste de diffusion du FRsAG > >> http://www.frsag.org/ > > > > _______________________________________________ > > Liste de diffusion du FRsAG > > http://www.frsag.org/ > > -- > JF BAILLETTE +33.6.03.62.14.40 > ISO 27001:2013 Lead Auditor > Clef OpenPGP 87715620 > >

1 0

RGPD - le retour....
by Aurélien J. 12 Oct '18

12 Oct '18

Bonjour à tous, Dans le cadre de mon activité je dois réaliser un document sur les différents items du RGPD. Je bloque sur l'un d'eux en particulier celui de la procédure d’appréciation du risque avant mise en production SI. Comment avez-vous expliqué, abordé cet item et comment avez-vous pu le développer ? Merci je n'arrive pas à trouver d’exemple ni d’explications clairs. Pour le moment mon document se limite à comment intégrer une nouvelle machine dans un SI mais d'un point de vue très technique en vérifiant toutes les recommandations habituelles -> machine à jour, flux réseau à prévoir, applications installées, .... Aurélien

4 4

[JOBS] SysAdmin junior support N2 - Paris La Défense
by Grégory Poudrel 11 Oct '18

11 Oct '18

Bonjour, nous recrutons 2 postes d'Administrateur Systèmes Support niveau 2 (H/F) à Paris La Défense afin de renforcer notre équipe de support. Au sein de l’équipe Hébergement de la société Nerim, vos différentes missions seront : - Apporter le support niveau 2 à nos clients en collaboration avec les équipes N1 et nos experts infrastructures. - Accompagner le déploiement de projets haute-disponibilité et haute-performance en relation constante avec nos clients. - Maintenir en condition opérationnelle nos différentes plateformes. - Créer et maintenir des procédures opérationnelles ainsi que des process d’exploitation. - Etre force de proposition sur l’automatisation des différentes tâches. Dans ce cadre, les technologies et environnements à maîtriser sont les suivants : - Administration de base et maîtrise des bonnes pratiques sur : GNU/Linux Debian, Microsoft Windows Server. - Les réseaux LAN (niveau 2, niveau 3 …). - Virtualisation via VMware vSphere. La connaissance des environnements suivant est un plus : - Active Directory, Remote Desktop Services. - Citrix XenDesktop. Profil Recherché : - Profil junior. Nous ne nous attendons pas à ce que vous maîtrisez tout mais que vous ayez la capacité d'évoluer. - Esprit ouvert et soif d’apprendre, force de proposition. - Passionné(e) par votre métier. - Etre à l’aise dans le contact quotidien avec nos clients. - Beaucoup d'humour :-) Informations utiles : - Poste en CDI, rémunération selon profil aux alentours de ~25K. - Astreintes à prévoir. Conditions de travail : - La Défense Grande Arche avec des locaux sympas. - Poste de travail sous votre os/distribution préféré(e). - Une équipe de barbus au poil. N’hésitez pas à me contacter si vous êtes intéressé. -- Gregory Poudrel

1 0

Base de données de LEGRAND compromise.
by Vincent Duvernet 07 Oct '18

07 Oct '18

Glop, glop, Le truc à la mode en ce moment, c'est de recevoir par mail un message donnant son mot de passe associé à son mail et demandant une rançon à coups de BITCOINS. Sauf que, lorsqu'on utilise qu'un mot de passe par site, et bien, on retrouve vite le site en question. Donc, ce mot de passe pour accéder au portail de LEGRAND (datant de 2012) vient de m'être mailé. Je vais tenter de les contacter à ce sujet. Ceci-dit, j'ai reçu plusieurs mail du même type sur d'autres comptes. Vague d'exploitation massive de faille ? Vincent

4 5

Apéro Lyonnais : lundi 01 octobre 2018
by cam.lafit＠azerttyu.net 28 Sep '18

28 Sep '18

Bonjour tout le monde Pour information le prochain apéro lyonnais et ses environs se fera à : Le Gnome & Rhône Café 157 avenue Maréchal de Saxe Lyon Métro Saxe Gambetta Lundi 1 octobre 2018 dès 19h. Remarque, pour les prochains apéros, on cherche toujours un nouveau lieu propice pour faire des présentations. N'hésitez pas à proposer vos pistes. Et toujours sur : http://www.agendadulibre.org/tags/araas https://www.meetup.com/fr-FR/Auvergne-Rhone-Alpes-Apero-Admin-Sys/ Km

1 0

[TECH] Tests TLS 1.3 (version finale RFC 8446)
by Jean-Francois Billaud 25 Sep '18

25 Sep '18

Tests TLS 1.3 (version finale RFC 8446) --------------------------------------- TROLON;PALU sommaire : La version 1.3 finale de TLS (RFC 8446) a été publiée le 13 août 2018 ; on a de la documentation, des bibliothèques pour tester et une vague idée de la manière de configurer les serveurs. Version 2018-09-24 Conditions opératoires : Debian 8, 9, 10 avec des bouts de testing et de instable dedans, Slackware current, Saccharomyces cerevisiae. Documentation ------------- Le RFC 8446 (The Transport Layer Security (TLS) Protocol Version 1.3) : https://www.rfc-editor.org/rfc/rfc8446.txt Un article de Eric Rescorla (alias EKR), l'auteur du RFC : TLS 1.3 Published: in Firefox Today https://blog.mozilla.org/security/2018/08/13/tls-1-3-published-in-firefox-t… (avec le joli logo) Les commentaires de Stéphane Bortzmeyer : http://www.bortzmeyer.org/8446.html En complément pour les autres versions de TLS : RFC 8447 (IANA Registry Updates for TLS and DTLS) précisant les chiffrements (section 8) et groupes (section 9) recommandés : https://www.rfc-editor.org/rfc/rfc8447.txt RFC 8422 (Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS) Versions 1.2 and Earlier) avec des précisions sur ECDH(E) RSA ECDSA EdDSA : https://www.rfc-editor.org/rfc/rfc8422.txt Sur l'abandon de TLS 1.0 et 1.1 (Deprecating TLSv1.0 and TLSv1.1 - draft-ietf-tls-oldversions-deprecate : https://tools.ietf.org/html/draft-ietf-tls-oldversions-deprecate-00 Voir https://www.ietf.org/mail-archive/web/tls/current/maillist.html pour les avis. Les bibliothèques et autres logiciels ------------------------------------- Trois bibliothèques classiques : openssl https://www.openssl.org/ openssl 1.1.1 (LTS) incluant TLS 1.3 final disponible depuis le 11/9/2018 : https://www.openssl.org/blog/blog/2018/09/11/release111/ Si l'ordre par défaut ne vous plaît pas, ou si voulez rajouter les suites CCM, il faut éditer openssl-1.1.1/include/openssl/ssl.h lignes 176 et suivantes. gnutls https://gnutls.org/ Les versions stables et previous ne parlent pas le TLSv1.3, il faut utiliser la version next branch 3.6.3 : https://www.gnupg.org/ftp/gcrypt/gnutls/v3.6/gnutls-3.6.3.tar.xz NSS https://developer.mozilla.org/fr/docs/NSS version 3.39 https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.39_rele… https://ftp.mozilla.org/pub/security/nss/releases/NSS_3_39_RTM/src/ Serveurs HTTPS -------------- Nginx https://nginx.org/ https://nginx.org/en/download.html version 1.15.3 (mainline, pas stable) avec openssl 1.1.1 A partir des sources (à adapter) : ./configure --with-http_ssl_module --with-http_v2_module \ --with-http_stub_status_module --with-http_gzip_static_module \ --with-http_geoip_module --prefix=/usr/local/nginx \ --add-module=../ngx-fancyindex --with-openssl-opt=no-shared \ --with-stream --with-stream_ssl_module --with-mail --with-mail_ssl_module \ --add-dynamic-module=/usr/src/nginx-ct-master/ \ --with-openssl=/usr/src/openssl-1.1.1 nginx.conf : ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:TLS13-AES-128-CCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA; Il manque juste la configuration spécifique des suites TLS 1.3. Ça a l'air stable et utilisable (sous réserve de tests adaptés à la situation) Apache https://github.com/apache/httpd version 2.5.x (dev) avec openssl 1.1.1, pas envisageable en production Pas facile à installer si openssl 1.1.1 n'est pas installé par défaut On y arrive quand même : [02/Sep/2018:08:11:25 +0000] 192.168.1.253 TLSv1.3 TLS_AES_256_GCM_SHA384 "GET /image.php HTTP/1.1" 353 openssls s_server openssl-1.1.1 utilisable pour des tests ./openssl s_server -accept 443 -www -status -serverpref \ -key privkey13.pem -cert cert13.pem -chainCAfile fullchain13.pem \ -CAfile DST_Root_CA_X3.pem -dhparam dh4096.pem \ -curves X448:X25519:P-521:P-384:P-256 \ -cipher TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA256 Clients HTTPS ------------- openssls s_client openssl-1.1.1 utilisable pour des tests openssl s_client -connect monserveur:443 -curves X25519 -ciphersuites TLS_CHACHA20_POLY1305_SHA256 SSL-Session: Protocol : TLSv1.3 Cipher : TLS_CHACHA20_POLY1305_SHA256 nss version 3.39 ou suivante ./nss/dist/Debug/bin/tstclnt -h monserveur -p 443 -b -v -V tls1.3: LD_LIBRARY_PATH=/usr/src/nss/dist/Debug/lib/ /usr/src/nss/dist/Debug/bin/tstclnt -h monserveur -p 443 -b -v -V tls1.3: tstclnt: SSL version 3.4 using 256-bit CHACHA20POLY1305 with 128-bit AEAD MAC tstclnt: Server Auth: 384-bit TLS 1.3, Key Exchange: 255-bit TLS 1.3 gnutls version 3.6.3 ou suivante Voir README.md To download the version controlled sources: $ git clone https://gitlab.com/gnutls/gnutls.git [...] ./gnutls/src/gnutls-cli monserveur - Ephemeral EC Diffie-Hellman parameters - Using curve: SECP256R1 - Curve size: 256 bits - Version: TLS1.3 - Server Signature: ECDSA-SECP384R1-SHA384 - Cipher: CHACHA20-POLY1305 Firefox version 63 (actuellement beta, finale le 23 octobre) ou suivante RAS, ça marche. extensions utilisables : Certainly Something, ConsistentHTTPS, HTTPS Everywhere Chrome / Chromium version 70 et suivantes (dev channel), 70 finale disponible fin octobre 2018 about://flags TLS 1.3 Sets the TLS 1.3 variant used. – Mac, Windows, Linux, Chrome OS, Android : Enabled (Final) RAS, ça marche. Outils divers ------------- tshark / wireshark version 3.6.3 Voir Client hello tshark -f 'tcp port 443' -V > capture.txt Extension: supported_versions (len=9) Type: supported_versions (43) Length: 9 Supported Versions length: 8 Supported Version: TLS 1.3 (0x0304) <- version finale Supported Version: TLS 1.2 (0x0303) Supported Version: TLS 1.1 (0x0302) Supported Version: TLS 1.0 (0x0301) Qualys SSL Labs SSL Server Test SSL Report v1.32.6 (RFC 8446) disponible depuis le 24/9/2018 https://dev.ssllabs.com/ssltest/index.html (https://www.ssllabs.com/ssltest/ est en version v1.32.5 : draft 28 et non finale RFC 8446) <cite>Experimental: This server supports TLS 1.3 (RFC 8446).</cite> High-Tech bridge (Htbridge) https://www.htbridge.com/ssl/ Conformité PCI DS, HIPAA, NIST reconnait TLS 1.3 final Observatory by Mozilla https://observatory.mozilla.org/ Pas de TLS 1.3 pour le moment, mais analyse des en-têtes dont CSP Choix des protocoles pour HTTPS ------------------------------- Si les clients ne sont pas trop anciens : TSL 1.2 et 1.3 certificats RSA et ECDSA avec des bouts de NIST dedans (pour EdDSA avec X25519 il faudra attendre) CHACHA20-POLY1305 et AES-256 et AES-128 courbes X25519:secp521r1:secp384r1:prime256v1 (X448 pas utilisable avec Firefox et Chrome, utilisable pour test et proxies) Attention à la cohérence de l'ordre des courbes (du chiffrement le plus fort vers le plus faible) A étudier : HTTPS sans HTTP mais avec HSTS Preloading (les logs sont moins remplis) SMTP + StartTLS --------------- MTA Postfix Testé avec Postfix 3.3.1 et postfix-3.4-20180904 smtpd_tls_protocols = TLSv1, TLSv1.1, TLSv1.2, TLSv1.3, !SSLv2, !SSLv3 tls_high_cipherlist=TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA checktls https://www.checktls.com/ https://www.checktls.com/#TLSv1_3 CheckTLS email works with TLS 1.3, as do most of our tests. Dans les logs : Sep 23 09:10:26 mervent postfix/smtpd[19790]: Anonymous TLS connection established from www6.checktls.com[159.89.187.50]: TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits) DNS over TLS ------------ Côté serveur : Stunnel 5.49 + bind La configuration : [dns] accept = :::853 connect = 127.0.0.1:53 cert = /etc/letsencrypt/live/coincoin/cert.pem key = /etc/letsencrypt/live/coincoin/privkey.pem CAfile = /etc/letsencrypt/live/coincoin/chain.pem ciphers = TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA curve = secp384r1 options = NO_TLSv1 options = NO_TLSv1.1 Côté client : getdns_query De la doc : https://linuxfr.org/news/quad9-resolveur-dns-public-et-securise-par-tls http://www.bortzmeyer.org/quad9.html http://www.bortzmeyer.org/7858.html Les tests : $ getdns_query @192.168.1.2 -s -l L monserveur A "address_data": <bindata for 109.190...>, "address_type": <bindata of "IPv4"> $ getdns_query @192.168.1.2 -s -l L monserveur AAAA "ipv6_address": <bindata for 2001:41d0:...>, "rdata_raw": <bindata of 0x200141d0...> Dans les logs de Postfix : 2018.09.23 09:13:14 LOG6[1]: TLS accepted: new session negotiated 2018.09.23 09:13:14 LOG6[1]: TLSv1.3 ciphersuite: TLS_AES_256_GCM_SHA384 (256-bit encryption) EOT JFB

4 5

[Jobs][Montpellier] Poste SysAdmin / IT chez Rakuten Aquafadas
by HOLVECK, Remi 25 Sep '18

25 Sep '18

Bonjour à tous, nous recherchons un Ingénieur système Linux pour un poste de SysAdmin / responsable IT au sein d’Aquafadas, une entité du groupe Rakuten. Un bon niveau d’anglais est requis. Le poste est basé à Montpellier dans des locaux tout neufs et dans un cadre de travail agréable. L’offre est ici : https://www.linkedin.com/jobs/view/administrateur-r%C3%A9seaux-d%C3%A9v-ops… N’hésitez pas à me contacter si vous avez des questions. [Aquafadas]<https://www.aquafadas.com/> Holveck Rémi | Sysadmin / DevOps skype : - Tel : +33(0)4.34.17.07.53 1025 rue Henri Becquerel, Parc Club du Millénaire Bâtiment 3, 34000 Montpellier, France aquafadas.com<http://www.aquafadas.com> [twitter]<https://twitter.com/aquafadas>[blogger]<http://blog.aquafadas.com/>[linkedin]<https://www.linkedin.com/company/337911?trk=tyah&trkInfo=clickedVertical%3A…> [https://newsletter.aquafadas.com/src/rakufcb.png]<https://global.rakuten.com/corp/fcbarcelona/>

1 0