bon je sais c'est tardif mais c'était les vacances....
Toujours est-il que ce n'est pas forcément une question de confiance, c'est une question de contrat.
Quand on parle de réseau, ce n'est pas forcément un réseau d'utilisateurs... Ca peut être des serveurs, le tunnel icmp peut être une manière furtive de sortir des données, et ça peut poser un problème aux utilisateurs du dit serveur. Il y a peut-être des données confidentielles et personnelles dessus. Si quelqu'un parvient à s'introduire sur le serveur (mettons par une faille php, classique), l'idée est qu'il ne puisse pas sortir d'information sans que ça se voie... En plus j'ai déjà vu un gros truc bien évident (type reverse backdoor bloquée par le firewall, tentatives maladroite d'escalade de privilège) qui servait surtout à dissimuler une fuite d'information via un tunnel icmp ou DNS...
Et puis bon, pour les réseaux interne, la question n'est pas de savoir si c'est bien ou pas, c'est de savoir si tu veux avoir la maîtrise de ton réseau. Si on bloque le ssh à l'extérieur, c'est pas pour laisser passer un truc aussi vieux qu'un tunnel icmp. Si on ne le bloque pas, on loggue au moins les accès externe pour savoir qui se connecte où, et faire la différence entre le gars qui se connecte de temps en temps chez lui pour faire de l'irc (inoffensif et pas gênant a priori) et celui qui uploade une énorme quantité de données en ukraine... Personnellement je n'ai aucun problème à laisser sortir un utilisateur en ssh pour se connecter à un serveur perso entre midi et deux, mais le jour où ça sert à sortir des infos confidentielles, c'est que je n'ai pas joué mon rôle. Sans parler du jour où ça sert à lancer des attaques dictionnaire un peu partout... ;-)
La sécurité, c'est pas simple, ce n'est pas les gentils utilisateurs contre les vilains admins, ni l'inverse ; et surtout ça ne peut se faire que si tout le monde y met du sien. Il ne s'agit pas de s'aliéner les utilisateurs (même si parfois il y a des têtes de c**), mais de se protéger contre les indélicats (le gars qui passe plus de temps à bosser sur des trucs perso que pour l'entreprise, celui qui joue double jeu et tente de récupérer des clients à son compte avant de démissionner...), et contre les maladresses (j'ai cliqué sur le mauvais lien, ça m'a installé un troyen et maintenant on est attaqués en justice parce que notre ip de sortie a servi à pirater un ordinateur du minefi).
Bien sûr qu'un type déterminé y arrivera. Ce n'est qu'une question de savoir faire, de motivation et de temps. Mais moi je suis payé pour lui compliquer la vie ! ;-)
[^] # Re: Pas de réponse aux demande de ping
Posté par nodens . En réponse au journal Script Iptables. Évalué à 2.
Toujours est-il que ce n'est pas forcément une question de confiance, c'est une question de contrat.
Quand on parle de réseau, ce n'est pas forcément un réseau d'utilisateurs... Ca peut être des serveurs, le tunnel icmp peut être une manière furtive de sortir des données, et ça peut poser un problème aux utilisateurs du dit serveur. Il y a peut-être des données confidentielles et personnelles dessus. Si quelqu'un parvient à s'introduire sur le serveur (mettons par une faille php, classique), l'idée est qu'il ne puisse pas sortir d'information sans que ça se voie... En plus j'ai déjà vu un gros truc bien évident (type reverse backdoor bloquée par le firewall, tentatives maladroite d'escalade de privilège) qui servait surtout à dissimuler une fuite d'information via un tunnel icmp ou DNS...
Et puis bon, pour les réseaux interne, la question n'est pas de savoir si c'est bien ou pas, c'est de savoir si tu veux avoir la maîtrise de ton réseau. Si on bloque le ssh à l'extérieur, c'est pas pour laisser passer un truc aussi vieux qu'un tunnel icmp. Si on ne le bloque pas, on loggue au moins les accès externe pour savoir qui se connecte où, et faire la différence entre le gars qui se connecte de temps en temps chez lui pour faire de l'irc (inoffensif et pas gênant a priori) et celui qui uploade une énorme quantité de données en ukraine... Personnellement je n'ai aucun problème à laisser sortir un utilisateur en ssh pour se connecter à un serveur perso entre midi et deux, mais le jour où ça sert à sortir des infos confidentielles, c'est que je n'ai pas joué mon rôle. Sans parler du jour où ça sert à lancer des attaques dictionnaire un peu partout... ;-)
La sécurité, c'est pas simple, ce n'est pas les gentils utilisateurs contre les vilains admins, ni l'inverse ; et surtout ça ne peut se faire que si tout le monde y met du sien. Il ne s'agit pas de s'aliéner les utilisateurs (même si parfois il y a des têtes de c**), mais de se protéger contre les indélicats (le gars qui passe plus de temps à bosser sur des trucs perso que pour l'entreprise, celui qui joue double jeu et tente de récupérer des clients à son compte avant de démissionner...), et contre les maladresses (j'ai cliqué sur le mauvais lien, ça m'a installé un troyen et maintenant on est attaqués en justice parce que notre ip de sortie a servi à pirater un ordinateur du minefi).
Bien sûr qu'un type déterminé y arrivera. Ce n'est qu'une question de savoir faire, de motivation et de temps. Mais moi je suis payé pour lui compliquer la vie ! ;-)