boitiers de securite

Fabien LE LEZ wrote:

On 11 Dec 2004 16:57:41 GMT, Dominique Blas <nospam@spam.int>:

je pense qu'il existe ce qu'on appelle des consultants dont le métier est
de conseiller justement.

La question "Comment choisir un matériel ?" devient donc "Comment
choisir un consultant ?"

La question originale n'était pas << comment >> mais << quel >> je pense.

Elle ne portait donc pas sur la méthode mais sur le produit.

Je n'ignore pas que pas mal de décideurs de PME choisissent de faire
l'impasse sur le conseil sous prétewxte que cela coute cher et ne sert pas
à grand chose.
Il suivent donc le principe selon lequel on n'est jamais mieux servi que par
soi-même et on les retrouve dans les séminaires et les ng (via leur préposé
à l'informatique) à poser ce genre de question.

Autant demander quelle est la meilleure voiture, non ?

Ma foi, chacun voit midi à sa porte, après tout.

db
--
email : usenet blas net

Cedric Blancher wrote:
[...]

Bref, franchement, si je devais choisir un produit dans un domaine que je
ne connais pas, je consulterais plein de monde, mais sûrement pas les
groupes de discussion... Ou en tout cas pas en posant la question
directement.
Les groupes fonctionnent relativement bien (je les utilise depuis 12 ans) à

condition de poser des questions précises et pas des généralités du style :
<< Que pensez-vous de Bidule versus Machin >> ou << J'ai un robinet à
acheter, vous prendriez lequel vous ? >>

Lorqsu'on a un choix à faire un minimum est d'exposer EN DETAILS son cas
avec son architecture, ses besoins, sa politique (en l'occurrence de
sécurité voire d'achat), les fonctionnalités recherchées, les contraintes
éventuelles, le budget, le nombre de produits souhaités, si le panachage
est autorisé, le niveau de formation, etc.

Et là ça marche, car la place laissée à la polémique est mince.

Ca marche ... enfin, à condition que quelqu'un réponde bien entendu.

db



--
email : usenet blas net

gabriel blazquez wrote:

Bonjour,

En 2005 nous allons investir dans un boitiers de securite pour notre
reseau de 60 postes (MACS os x ET pc WIN XP) avez vous des conseils sur le
choix d'un boitier : symantec/nokia/netasq ...
Tiens, au fait, c'est un peu HS je vous l'accorde mais tant pis : pourquoi

systématiquement des marques américaines ou israëlienne (ce
qui revient un peu au même) dans ce domaine ?

Nokia c'est Checkpoint Software si ma mémoire est bonne.

Pourquoi pas du français tel qu'Arkoon, Axiliance ou GFI ? Sous prétexte que
ce n'est pas
connu ? Parce qu'il ne font pas de pub dans les journaux ? C'est un peu
léger comme principe de sélection, non ?

J'en finis même par me demander si ces boîtiers étrangers dits de sécurité
n'introduisent pas justement le vers dans le fruit et ne donnent pas
naissance à une nouvelle forme d'insécurité orientée davantage vers le
piratage industriel. Car enfin, il faut bien reconnaître qu'il s'agit d'un
véritable cheval de Troie dans l'entreprise; Alors quitte à informer une
centrale de renseignements autant que ce soit une française non ?

C'est une des raisons pour laquelle j'introduis (ou tente d'introduire dans
certains cas) une clause, dans le contrat, par laquelle le constructeur ou
son représentant, garantit que son matériel ne stocke ni ne transmet aucune
donnée confidentielle (détails précisés dans la clause).

Je m'arrange par ailleurs pour rendre obscurs, dans la mesure du possible
(pour les courriels c'est difficile, hélas [**]) les flux traversant ce type
de boîtier.

Pour des appels d'offres plus conséquents j'envisage même d'imposer, dans le
cahier des charges, que le client dispose des moyens nécessaires et
suffisants pour connaître le contenu des flux expédiés chez le constructeur
(cas des gateways mails, des ID/PS).
Car je considère, sincèrement, que ces boîtiers fermés et propriétaires,
sensés protégés les entreprises qui les acquièrent contre les intrusions ou
du moins les prévenir portent le germe de l'intrusion en eux !

db

[**] Mon souhait est que les courriels importants soient chiffrés de bout en
bout mais, hélas, mille fois hélas, ce n'est pas simple à imposer.
Pourtant, souvenez-vous que, à la fin des années 90 (cela fait plus de 7
ans maintenant), grâce à Echelon, des courriels non chiffrés représentant
des réponses à dse appels d'offres ont été interceptés ce qui a permis à
des soumissionnaires anglo-américains
d'être mieux positionnés et d'emporter des marchés au final.

merci pour vos avis

--
email : usenet blas net

Fabien LE LEZ wrote:

On 09 Dec 2004 19:37:00 GMT, Cedric Blancher
<blancher@cartel-securite.fr>:

fcsv

Ouais, mais bon, fcsv est un nid à trolls, on dirait presque fufe.

AMHA, le problème ici est inverse : il y a beaucoup de solutions
différentes, et sans doute assez peu d'utilisateurs présents ici.
Donc, pas assez d'avis sur chaque matériel pour se faire un semblant
d'opinion objective.
De mon temps (sic) des bancs d'essai étaient régulièrement publiés dans les

différentes revues notamment américaines : Data Communications, Network
Fusion, etc.
Je suppose qu'il en est toujours ainsi en plus avec l'Internet c'est encore
plus facile non ?

Alors pourquoi ne pas chercher d'ABORD avant de poser une question forcément
plus PRECISE ici ENSUITE ?

Je pense que d'aucuns laissent transparaître un certain mépris pour les
participants actifs à ce type de forum.
A moins que ce ne soit de la timidité ? ;-)

db

--
email : usenet blas net

Francois Yves Le Gal wrote:

On 12 Dec 2004 16:49:22 GMT, Dominique Blas <nospam@spam.int> wrote:

J'en finis même par me demander si ces boîtiers étrangers dits de sécurité
n'introduisent pas justement le vers dans le fruit et ne donnent pas
naissance à une nouvelle forme d'insécurité orientée davantage vers le
piratage industriel.

Vi. Il est particulièrement léger, sinon stupide, de confier les clés et
le montage des serrures à des inconnus, surtout quand ceux-ci sont des
spécialistes provenant de services de renseignements étrangers - et, pour
certains, officiers de réserve dans certaines forces armées où la
différence entre réserve et active est pour le moins tenue et où la
recherche très active d'informations est une constante.

Je ne souhaitais pas lancer le débat sur ce terrain << miné >> (même si j'ai
évoqué Echelon) et écrire ce que pas mal de gens pensent tout bas mais
simplement faire remarquer une chose :
une bonne politique de sécu consiste à défendre un certain périmètre
contre les intrusions, les écoutes, les attaques contre le business de
l'entreprise, etc. Et cela ne concerne pas que le réseau mais
également les documents papiers, les échanges vocaux, etc.
Ceci entraîne donc que l'on neutralise ou au moins tente de circonscrire
les flux inconnus et notamment les flux sortants et si ce n'est pas
possible de les déplacer en dehors du périmètre dit de sécurité (là où la
politique s'exerce).

Or, avec ces engins, et c'est une première (les firewalls ne communiquent
pas, les antivirus se contentent de récupérer des signatures et on peut
très bien placer le serveur de signatures sur une machine neutre voire dans
un endroit neutre [une DMZ par exemple]), d'une part ils s'inscrivent
dans le périmètre de sécurité (ils filtrent, font office de firewall, de
passerelle de courriers, voire de détecteur d'intrusion) mais, en plus,
ils communiquent des informations à l'extérieur soi-disant pour améliorer
les capacités de détection.
Ce type de dispo brise donc la politique de sécurité et je dois noter que
c'est pas mal joué de la part des Symantec, Nokia, etc.

Que dirait-on si un employé transmettait en
permanence le contenu des courriers, des documents papiers, des minutes
de conférence de direction générale, des contrats en cours à l'extérieur de
l'entreprise ? Il serait viré sur le champ pour faute grave non ?

La solution est simple : on n'accorde aucune confiance à des solutions
toutes faites, tout particulièrement provenant de certains pays comme les
États-Unis ou Israël, et, soit on fait appel à des compétences locales en
qui on peut avoir un chouille confiance avec une surveillance étendue,
soit on n'installe que des boiboites maison, avec programmes partant de
sources connues et vérifiées, compilés à la mano.

Ca il faudrait que davantage de décideurs en soient bien conscients car la
mode est VRAIMENT à la << smart gateway >> notamment américaine, hélas.

db



--
email : usenet blas net

Dominique Blas <nospam@spam.int> writes:

gabriel blazquez wrote:

Bonjour,

En 2005 nous allons investir dans un boitiers de securite pour notre
reseau de 60 postes (MACS os x ET pc WIN XP) avez vous des conseils sur le
choix d'un boitier : symantec/nokia/netasq ...
Tiens, au fait, c'est un peu HS je vous l'accorde mais tant pis : pourquoi

systématiquement des marques américaines ou israëlienne (ce
qui revient un peu au même) dans ce domaine ?

Nokia c'est Checkpoint Software si ma mémoire est bonne.

Pourquoi pas du français tel qu'Arkoon, Axiliance ou GFI ?

En l'occurence, NETASQ est "du Francais". Rassure ? :-)

Sous prétexte que
ce n'est pas
connu ? Parce qu'il ne font pas de pub dans les journaux ? C'est un peu
léger comme principe de sélection, non ?

Soyons quand meme lucides: l'essentiel de la clientele n'est pas
reelement competente techniquement parlant pour faire ce genre de
choix !!!


On peut meme pousser un peu plus loin en rappelant aussi qu'une bonne
partie des clients pense que Checkpoint est une societe americaine,
qu'une bonne partie des clients est persuadee que "si c'est marque sur
la plaquette commerciale, alors c'est vrai, pas besoin de lire
l'asterisque".


Donc "sous pretexte que ca n'est pas connu", oui, c'est souvent
largement suffisant en pratique......

J'en finis même par me demander si ces boîtiers étrangers dits de sécurité
n'introduisent pas justement le vers dans le fruit et ne donnent pas
naissance à une nouvelle forme d'insécurité orientée davantage vers le
piratage industriel. Car enfin, il faut bien reconnaître qu'il s'agit d'un
véritable cheval de Troie dans l'entreprise; Alors quitte à informer une
centrale de renseignements autant que ce soit une française non ?

La encore, le client "normal" n'aura jamais cette idee, et si on la
lui suggere, au mieux ca le fera rigoler, au pire il nous regardera
desormais comme il regarderait un fou.....

C'est une des raisons pour laquelle j'introduis (ou tente d'introduire dans
certains cas) une clause, dans le contrat, par laquelle le constructeur ou
son représentant, garantit que son matériel ne stocke ni ne transmet aucune
donnée confidentielle (détails précisés dans la clause).

Belle initiative, mais je crains que ce genre de formulation ne soit
trop specifique a la divulgation active d'informations....

Je m'arrange par ailleurs pour rendre obscurs, dans la mesure du possible
(pour les courriels c'est difficile, hélas [**]) les flux traversant ce type
de boîtier.

Pour des appels d'offres plus conséquents j'envisage même d'imposer, dans le
cahier des charges, que le client dispose des moyens nécessaires et
suffisants pour connaître le contenu des flux expédiés chez le constructeur
(cas des gateways mails, des ID/PS).
Car je considère, sincèrement, que ces boîtiers fermés et propriétaires,
sensés protégés les entreprises qui les acquièrent contre les intrusions ou
du moins les prévenir portent le germe de l'intrusion en eux !

Ca me donne quand meme l'impression d'etre un peu du "discours
opensource extremiste"....

Et dans ce cas, on vire aussi les Windows (bah ouais, c'est des
"boites noires" aussi), on met un firewall devant le firewall (et un
derriere, aussi, au cas ou ?), on vire les routeurs (bah oui, ils
pourraient aussi faire des trucs "pas bien"), et les switches aussi,
on sait jamais, on remplace tout par une grosse machine sous Linxu
avec 250 cartes reseaux....


Plus serieusement, encore une fois, la diffusion "active"
d'informations est la forme la plus evidente de menace, mais ca n'est
pas la seule.

Une backdoor subtilement placee serait beaucoup plus efficace, et
beaucoup plus difficile a detecter tant qu'elle n'est pas utilisee...


Mais bon, comme si c'etait dans l'etat d'esprit des americains de tout
voiloir controller, et de pouvoir etre les seuls a encore utiliser les
technologies en cas de "problemes", ca se saurait, quand meme....

Tiens, par exemple, ils n'auraient pas laisse s'installer Galileo dans
sa version "super top mieux que le GPS".......



A +

VANHU.

VANHULLEBUS Yvan wrote:

Dominique Blas <nospam@spam.int> writes:

gabriel blazquez wrote:

Bonjour,

En 2005 nous allons investir dans un boitiers de securite pour notre
reseau de 60 postes (MACS os x ET pc WIN XP) avez vous des conseils sur
le choix d'un boitier : symantec/nokia/netasq ...
Tiens, au fait, c'est un peu HS je vous l'accorde mais tant pis :

pourquoi systématiquement des marques américaines ou israëlienne (ce
qui revient un peu au même) dans ce domaine ?

Nokia c'est Checkpoint Software si ma mémoire est bonne.

Pourquoi pas du français tel qu'Arkoon, Axiliance ou GFI ?

En l'occurence, NETASQ est "du Francais". Rassure ? :-)
Justement j'en cherchais un troisième. RAssuré quelque part oui.

Sous prétexte que
ce n'est pas
connu ? Parce qu'il ne font pas de pub dans les journaux ? C'est un peu
léger comme principe de sélection, non ?

Soyons quand meme lucides: l'essentiel de la clientele n'est pas
reelement competente techniquement parlant pour faire ce genre de
choix !!!
Il y a des consultants (français) pour ça !

On peut meme pousser un peu plus loin en rappelant aussi qu'une bonne
partie des clients pense que Checkpoint est une societe americaine,
qu'une bonne partie des clients est persuadee que "si c'est marque sur
la plaquette commerciale, alors c'est vrai, pas besoin de lire
l'asterisque".


Donc "sous pretexte que ca n'est pas connu", oui, c'est souvent
largement suffisant en pratique......

J'en finis même par me demander si ces boîtiers étrangers dits de
sécurité n'introduisent pas justement le vers dans le fruit et ne donnent
pas naissance à une nouvelle forme d'insécurité orientée davantage vers
le piratage industriel. Car enfin, il faut bien reconnaître qu'il s'agit
d'un véritable cheval de Troie dans l'entreprise; Alors quitte à informer
une centrale de renseignements autant que ce soit une française non ?

La encore, le client "normal" n'aura jamais cette idee, et si on la
lui suggere, au mieux ca le fera rigoler, au pire il nous regardera
desormais comme il regarderait un fou.....
Peut-être mais le jour où il se verra rafler un contrat important sous le

nez il y repensera peut-être.
D'un côté je trouve sain que dans la vie de tous les jours on ne pense pas
<< sécuritaire >> : la méfiance systématique serait un grand danger pour
les relations personnelles.
En entreprise je pense tout à fait le contraire.

D'un autre côté cela dépend beaucoup du type d'entreprise et du secteur
industriel dans lequel elles oeuvrent. Des sociétés comme Thales ou TI
(américain) ont placé la sécurité aux avant-postes
et sont beaucoup plus réceptives à ce genre de message qu'un <<
Etablissements Tartampion >> qui vend du bois en tant que grossiste.

C'est une des raisons pour laquelle j'introduis (ou tente d'introduire
dans certains cas) une clause, dans le contrat, par laquelle le
constructeur ou son représentant, garantit que son matériel ne stocke ni
ne transmet aucune donnée confidentielle (détails précisés dans la
clause).

Belle initiative, mais je crains que ce genre de formulation ne soit
trop specifique a la divulgation active d'informations....
Pas forcément. C'est une question rédactionnelle et un premier jet.

Un de ces 4 on mettra un juriste sur le coup.

Je m'arrange par ailleurs pour rendre obscurs, dans la mesure du possible
(pour les courriels c'est difficile, hélas [**]) les flux traversant ce
type de boîtier.

Pour des appels d'offres plus conséquents j'envisage même d'imposer, dans
le cahier des charges, que le client dispose des moyens nécessaires et
suffisants pour connaître le contenu des flux expédiés chez le
constructeur (cas des gateways mails, des ID/PS).
Car je considère, sincèrement, que ces boîtiers fermés et propriétaires,
sensés protégés les entreprises qui les acquièrent contre les intrusions
ou du moins les prévenir portent le germe de l'intrusion en eux !

Ca me donne quand meme l'impression d'etre un peu du "discours
opensource extremiste"....
Ai-je parlé un poil d'opensource ? Pas du tout.

En fait mon discours est avant tout méthodologique (respect d'une politique
de sécurité forte).
Tout ce que je demande c'est que le ou les administrateurs de l'entreprise
(les gens compétents disons) qu'ils soient internes ou sous-traitants
sachent parfaitement de quoi il est question dans ces flux voire qu'ils
puissent les débrayer. C'est tout et c'est légitime.

Et dans ce cas, on vire aussi les Windows (bah ouais, c'est des
"boites noires" aussi), on met un firewall devant le firewall (et un
derriere, aussi, au cas ou ?), on vire les routeurs (bah oui, ils
pourraient aussi faire des trucs "pas bien"), et les switches aussi,
on sait jamais, on remplace tout par une grosse machine sous Linxu
avec 250 cartes reseaux....
Je n'ai pas écrit cela. Les << windows >> sont facilement contrôlables via

un proxy par exemple.
Simplement c'est justement le dispostif qui est sensé assurer la sécurité
qui est le plus susceptible de faire des trucs << pas bien >>. C'est tout de
même un comble non ?

Plus serieusement, encore une fois, la diffusion "active"
d'informations est la forme la plus evidente de menace, mais ca n'est
pas la seule.

Une backdoor subtilement placee serait beaucoup plus efficace, et
beaucoup plus difficile a detecter tant qu'elle n'est pas utilisee...
Certes mais la backdoor est facilement filtrée au niveau du firewall

justement ; voire en introduisant un proxy si la backdoor utilise HTTP ou
HTTPS.
Mais si la backdoor est à l'intérieur du boîtier de sécurité on fait
comment ?

Mais bon, comme si c'etait dans l'etat d'esprit des americains de tout
voiloir controller, et de pouvoir etre les seuls a encore utiliser les
technologies en cas de "problemes", ca se saurait, quand meme....

Tiens, par exemple, ils n'auraient pas laisse s'installer Galileo dans
sa version "super top mieux que le GPS".......
Ils ont pourtant bien essayer durant ces dernières années de noyauter le

projet (*) tout comme ils pourrissent depuis 7 ans (en réussissant cette
fois)
les relations entre Lufthansa et Dassault.
Lufthansa souhaitait acquérir des avions de chasse et le Mirage 2000 leur
convenait très bien. Les américains de Belgique (l'OTAN) sont intervenus
dans
l'affaire en faisant (par relation, soudoiement, etc) à faire modifier le
cahier des charges pour que le mirage 2000 ne convienne plus, etc.
Et, depuis lors, personne n'a tapé du poing sur la table.

db

(*) Pourquoi ont-ils renoncé à poursuivre ? Mystère.

A +

VANHU.

--
email : usenet blas net

Dominique Blas <nospam@spam.int> writes:

VANHULLEBUS Yvan wrote:

Dominique Blas <nospam@spam.int> writes:
[Americano-israelien Vs Franco-francais]

En l'occurence, NETASQ est "du Francais". Rassure ? :-)
Justement j'en cherchais un troisième. RAssuré quelque part oui.

Et il existe bien d'autres fournisseurs d'equipements de securite
francais, quoique assez peu de firewalls, au final.


[...]

Soyons quand meme lucides: l'essentiel de la clientele n'est pas
reelement competente techniquement parlant pour faire ce genre de
choix !!!
Il y a des consultants (français) pour ça !

Si le consultant est aussi le vendeur de la prestation d'installation
apres, on peut fortement douter de son impartialite dans les choix.

Et meme si ca n'est pas le cas, comment etre sur qu'il connait
vraiment tous les produits du marche ? Comment etre sur qu'il ne s'est
pas simplement laisse avoir par le cote "bourrage de crane" de
certaines formations pourtant censees etre "techniques" ?

Comme partout, si on est completement novice en la matiere, il est
facile de se laisser avoir par quelqu'un qui bluffe bien !


[Cheval de troie]

La encore, le client "normal" n'aura jamais cette idee, et si on la
lui suggere, au mieux ca le fera rigoler, au pire il nous regardera
desormais comme il regarderait un fou.....
Peut-être mais le jour où il se verra rafler un contrat important sous le

nez il y repensera peut-être.

Non, ce jour la, il se dira qu'il n'a pas eu de chance, et cette
possibilite ne lui viendra meme pas a l'esprit.

D'un côté je trouve sain que dans la vie de tous les jours on ne pense pas
<< sécuritaire >> : la méfiance systématique serait un grand danger pour
les relations personnelles.
En entreprise je pense tout à fait le contraire.

En regle generale, une saine mefiance controllee est une bonne chose.

Une paranoia aigue est par contre systematiquement une mauvaise chose.

D'un autre côté cela dépend beaucoup du type d'entreprise et du secteur
industriel dans lequel elles oeuvrent. Des sociétés comme Thales ou TI
(américain) ont placé la sécurité aux avant-postes
et sont beaucoup plus réceptives à ce genre de message qu'un <<
Etablissements Tartampion >> qui vend du bois en tant que grossiste.

En apparence, oui, mais meme chez certains "specialistes de la
securite", on voit parfois des choses hallucinantes.....

Il y a quelques annees, une equipe (kitetoa ?) avait revele des
failles grossieres sur les sites webs de la plupart des plus grosses
SSII qui fournissent pourtant des prestations "de securite"....

Ca me donne quand meme l'impression d'etre un peu du "discours
opensource extremiste"....
Ai-je parlé un poil d'opensource ? Pas du tout.

J'aurais du dire "ca me rappelle".

En fait mon discours est avant tout méthodologique (respect d'une politique
de sécurité forte).

De bonnes idees, mais me donne l'impression de trop focaliser sur
certains points, qui sont pourtant les plus visibles, les plus faciles
a surveiller, et les plus faciles a bloquer.

Tout ce que je demande c'est que le ou les administrateurs de l'entreprise
(les gens compétents disons) qu'ils soient internes ou sous-traitants
sachent parfaitement de quoi il est question dans ces flux voire qu'ils
puissent les débrayer. C'est tout et c'est légitime.

Ca me parait effectivement legitime.

Et dans ce cas, on vire aussi les Windows (bah ouais, c'est des
"boites noires" aussi), on met un firewall devant le firewall (et un
derriere, aussi, au cas ou ?), on vire les routeurs (bah oui, ils
pourraient aussi faire des trucs "pas bien"), et les switches aussi,
on sait jamais, on remplace tout par une grosse machine sous Linxu
avec 250 cartes reseaux....
Je n'ai pas écrit cela. Les << windows >> sont facilement contrôlables via

un proxy par exemple.

Tout est dans la definition de "facile".... Un traffic http tout a
fait propre sur lui, a destination d'un site "quelconque", ca sera
controlle par la conf du proxy ? Un ICMP echo request, avec un payload
pas si aleatoire que ca et pas si anodin que ca, ca sera controlle ?

Simplement c'est justement le dispostif qui est sensé assurer la sécurité
qui est le plus susceptible de faire des trucs << pas bien >>. C'est tout de
même un comble non ?

"le plus succeptible", je ne suis pas d'accord.

"le mieux place", peut etre.

Et apres, c'est comme pour tout, c'est une question de savoir a qui on
peut faire confiance......

Plus serieusement, encore une fois, la diffusion "active"
d'informations est la forme la plus evidente de menace, mais ca n'est
pas la seule.

Une backdoor subtilement placee serait beaucoup plus efficace, et
beaucoup plus difficile a detecter tant qu'elle n'est pas utilisee...
Certes mais la backdoor est facilement filtrée au niveau du firewall

justement ; voire en introduisant un proxy si la backdoor utilise HTTP ou
HTTPS.
Mais si la backdoor est à l'intérieur du boîtier de sécurité on fait
comment ?

???????

Je parlais bien d'une backdoor eventuelle sur le firewall meme. Et il
est possible la encore de la "noyer" dans quelquechose de tres anodin.

Mais bon, comme si c'etait dans l'etat d'esprit des americains de tout
voiloir controller, et de pouvoir etre les seuls a encore utiliser les
technologies en cas de "problemes", ca se saurait, quand meme....

Tiens, par exemple, ils n'auraient pas laisse s'installer Galileo dans
sa version "super top mieux que le GPS".......
Ils ont pourtant bien essayer durant ces dernières années de noyauter le

projet
[....]

Oui, les '.........' n'ont apparemment pas suffi a indiquer que ma
phrase etait ironique, bien evidemment......



A +

VANHU.

Ils [les méchants] pourrissent depuis 7 ans (en réussissant
cette fois)
les relations entre Lufthansa et Dassault.
Lufthansa souhaitait acquérir des avions de chasse et le Mirage 2000
leur convenait très bien. Les américains de Belgique (l'OTAN) sont
intervenus dans
l'affaire en faisant (par relation, soudoiement, etc) à faire
modifier le cahier des charges pour que le mirage 2000 ne convienne
plus, etc.
Depuis, ils ont acheté des Airbus. C'est moins rapide, mais plus

confortable...

Et, depuis lors, personne n'a tapé du poing sur la table.
Ah, le client est roi ;)

Donc précision :
Lufthansa <-Rhin-> Air France
Luftwaffe <-Rhin-> Armée de l'air

Grindipo

Pourquoi pas du français tel qu'Arkoon, Axiliance ou GFI ? Sous prétexte que
ce n'est pas
connu ? Parce qu'il ne font pas de pub dans les journaux ? C'est un peu
léger comme principe de sélection, non ?

Pour reprendre a partir de la j'ai personnelement testé en prod Arkoon,
Axiliance et Netasq.

mes constats :

- Quand on ouvre un boitier Arkoon on s'aperçoit que c'est un simple PC
vaguement mis dans une boite rackable, ça fait cheap mais ça fonctionne
correctement, j'ai eu de bon rapport avec le support, et tous les bugs
que l'on a remonté on été pris en compte (bug sur la partie compression
des VPN).
L'administration est assez simple une fois que l'on a compris l'esprit.
La gestion des certificat est un peu lourde mais bon cela assure une
certaine securité, au moins le FW est sur que c'est vous, et vous etes
sur que vous parlez au firewall.
la sauvegarde de la config sur carte PCMCIA, et le systeme sur une autre
carte facilite l'utilisation d'un spare.



- Netasq, c'est efficace, les boitiers sont plus petit et ont été
devellopé pour ça.
l'administration est assez simple, a partir du mment ou on a comprit
l'esprit, comme sur l'arkoon.
J'ai eu qu'un seul plantage materiel sur une interface reseau, mais bon
il etait sous garantie donc on me la changer sans probleme.
A l'epoque j'avais du mal a comprendre la politique commerciale, la
difference de prix entre un 2 ports et un trois ports etait enorme, et
les licenses VPN vendu avec n'etait pas forcement necessaire, mais bon
comme j'etais gagnant en prenant un 2 ports, j'allais pas me plaindre :-).
A l'epoque la gestion des logs via etait pas super clean mais cela
remonte a 2 ans maintenant.


- Axilliance, on a essuyé les platres car on a été quasiment les
premiers a mettre leur reverse proxy en prod, donc on remontais les bugs
assez souvent, au final aprés moult mise a jour le produit c'est
revelé fiable.
Pareil l'administration est simple, une fois qu'on vous la expliqué une
fois.

Un peu deçu qu'il n'y est pas de gestion de fail over a l'epoque, et ils
n'ont pas fait un grand effort commercialement parlant pour fournir un
spare à un prix interessant.


Voila, si ça peut aider, mais bon comme on dit d'autres contributeurs,
sans plus d'informations on aurat bien du mal a vous conseillez, une ou
deux journées de consultant secu peuvent vous faire economiser du temps
et de l'argent finalement.