Плохой сис. админ

[Weroum228]

Добрый день! Помогите пожалуйста разобраться с нашим сис. админом, подскажите куда его ткнуть носом или просто проучить. Ситуация довольно интересная и подходов много. Напишите пожалуйста ваше мнение и предложения, как можно этого админа проучить. Вот как обстоит дело:
Я работает в орг. веб-дизайнером и немного знаком с ИБ. У нас есть WIFI, доступ к нему имеют все, интернет контролируется (стоит SKYDNS, forefront tmg). После небольших манипуляций я понял, что с компа №1 идет правила для обработки информации на роутер, который раздает WIFI. Существует локальная сеть. Наши компы + принтеры + охрана и тд. Этот роутер как стена (для Firewall работает странно) и отделяет наши компы от тех кто к Wifi подключился. Получается примерно следующее: У тех кто заходит в инет через Wifi нет доступа к нашим принтерам, он может только в инете лазать и то только на разрешенных сайтах. Взяв свой ноут, подключившись к WIFI и просканировав сеть, я нашел наши принтеры и компы с открытыми портами, но если в браузере я открываю IP принтера, меня отбрасывает TMG, но если в локальной сети (сеть наших компов) открыть эти ip, то откроется страница принтера. Получается любой, кто нашел этот порт и он открыт может печатать? Какие у вас будут соображения, относительно наказания такого админа?

 

[Ondrik8]

ответ сам напрашивается... перевести бумагу с портретом !!

 

[Dmitry88]

1) В чем смысл "проучения" админа?
2) Наличие сети скорее всего разделены vlan , соотвественно гости с вайфая не должны иметь доступ во внутреннюю сеть.
3) То что виден порт, то теоретически можете напечатать. А Вы попробуйте напечатать портретик сверху. Если получится, тогда уже и будет о чем говорить.

ПС: если найдете способ печатать из гостевой сетки на принтере для внутренней, то нужно админа не "проучать", а указать на недостаток, для того, чтобы он его устранил.
ППС: сегодня Вы "наказываете" админа, а завтра условный V@s14-H4(K3R-666 удаляет Вам проект.

 

[<~DarkNode~>]

Обход форефронт в Гугле довольно таки много информации, берете эту информацию, тестируете ,составляете отчёт. Идете к начальнику со словами, типо : "У нас серьезные проблемы с безопасностью,позвольте вам показать и прокомментировать свой отчёт,я понимаю что пентест дело затратное ,но я его сделал с целью улучшения безопасности нашей компании, бла бла бла..."
предоставляете ему этот отчёт с просьбой когда он вызовет к себе сис админа не говорить ему кто этот отчёт ему даст.

Что касается доступа к соц сетям ,думаю это имея возможность изменять настройки сетевого адаптера прописать DNS сервер Гугла вида 8.8.8.8 и 8.8.4.4 .
Я просто мало знаком с форефронт, по этому не факт что поможет.
Так же можно попробовать прописать в файле
hosts
запись с разрешенным доменом но на айпи адрес нужного сервера соц сети.
Если форефронт пропускает только днс сигнатуры из Вайт листа - это должно помочь с обходом.

 

[DusikOff]

Наверное если вы веб-дизайнер -- то нужно заниматься дизайном....
Это тоже самое что приехать на СТО... отдать авто в ремонт, посмотреть как все делается, и сказать " ..Ну я немного понимаю в механике, давайте делать вот так вот..."

Если с Wifi вас "отбрасывает TMG", то с какого "XYZ" они могут быть доступны остальным?! Если разрешения на действия в "общем WIFI" ограничены для всех, при этом через него же нет доступа в локаль.... то вам нужно боятся только таких умников, "немного понимающих",... как и вы... =)

Может немного жестко... но по сути

 

[Runinterface]

расчпечатай по 100 документов с каждого принтера, с претензией и забавной картинкой.
Подробно разложи все по полочками. И хорошо если бы долетело до принтера начальника или директора.

И все таки удостоверься в том, что уязвимость есть...

 

[Breed]

Кажется я один туплю, ведь все отвечают уверенно.
Лично я не вижу логики, вижу только противоречия, а потому моя соображалка - в отключке. Итак:

У тех кто заходит в инет через Wifi нет доступа к нашим принтерам, он может только в инете лазать и то только на разрешенных сайтах.

не вяжется с

Взяв свой ноут, подключившись к WIFI и просканировав сеть, я нашел наши принтеры и компы с открытыми портами

А можно поинтересоваться, какая из цитат соответствует действительности? В первой - утверждение, что при подключении к WiFi доступа к принтерам не имеют. А во второй - ТС лично подключается к WiFi и видит принтеры. (???)

2) Наличие сети скорее всего разделены vlan , соотвественно гости с вайфая не должны иметь доступ во внутреннюю сеть.
3) То что виден порт, то теоретически можете напечатать. А Вы попробуйте напечатать портретик сверху. Если получится, тогда уже и будет о чем говорить.

+++ Поддерживаю. У самого применяется нечто похожее. Это как расшаривание ресурса (он виден всем), а ограничения выставляются на уровне NTFS.

ППС: сегодня Вы "наказываете" админа, а завтра условный V@s14-H4(K3R-666 удаляет Вам проект.

Верно, можно и такую пилюлю замутить!
ТС, а вот это уже серьезно. Все зависит от личности и "г*внистости" человека. Он, при желании, может нагадить куда больше и это необходимо учитывать, прежде чем схватываться в открытую. Наиболее дипломатичный и верный (IMHO) ход тебе дал ~~DarkNode~~(https://codeby.net/threads/ploxoj-sis-admin.60120/#post-281381). Если ты претендуешь на место админа, то это 100% попадание в "яблочко" (если ваш директор с головой дружит).
[doublepost=1502559252,1502559187][/doublepost]Только нужны доказательства, а не предположения.

 

[Triton]

Да ну. Бред. У чувака разделена сетка и это хорошо. То, что видится принтеры, не означает, что их можно использовать. Да и зачем лезть туда? Работает не трогай!

 

[aveseth]

хакеры хд

 

[Dmitry88]

Да и зачем лезть туда? Работает не трогай!

А вот тут заблуждение. Оно может работать через известное место. Все же логичней проверить, есть ли действительно уязвимость доступа и если такая есть, то совместно устранить. Еще и пиво от админа получить можно
Я часто сталкивался с отмазкой админов о том, что "работает- не трогай" , а потом случается ЧП и все бегают в панике, пыются что-то починить, вместо того, чтобы заблаговременно исправить косяк.

 

[DusikOff]

А вот тут заблуждение. Оно может работать через известное место. Все же логичней проверить, есть ли действительно уязвимость доступа и если такая есть, то совместно устранить. Еще и пиво от админа получить можно
Я часто сталкивался с отмазкой админов о том, что "работает- не трогай" , а потом случается ЧП и все бегают в панике, пыются что-то починить, вместо того, чтобы заблаговременно исправить косяк.

Да, но тогда лучше для начала сообщить Админу, а не палить его проЁб перед начальством, он ведь тоже человек....
Трудится в одной компании и подставлять друг друга это зашквар полнейший...

 

[mrBunny]

А можно поинтересоваться в чем же суть претензии к админу? Запретил смотреть видео в вк или тп?
Пардон за офтоп!

 

[Stinger]

Может я чего-то не понимаю, но в чём, собственно, провинился админ?