Salut ter tous (ch'est comme cha qu'ein dit ds ch'nord pour dire Bonjour),
J'ai un besoin depuis quelques temps qui me tarabusque mais auquel j'ai du mal à trouver la réponse adéquate aussi je me permets de vous solliciter pour avoir vos avis éclairés : - outil en mode caisse à outils où en quelques clicks tu indiques des questions à laquelle le client doit répondre par des cases à remplir, des cases à cocher ou des listes déroulantes et que ça lance l'installation de serveurs derrière avec des middlewares ou des applicatifs prêt à être consommés
J'ai pensé à developper un tel outil avec le dernier framework à la mode, mais j'espère qu'un outil existe pour m'éviter une grosse partie du travail. En recherchant un peu je suis tombé sur le mot clé magique CMP pour Cloud Management Platform
Donc en cherchant un peu j'ai établi une liste d'outils : Vra (https://www.vmware.com/products/vrealize-automation.html)
vCommander Hybrid Cloud Management platform (https://www.embotics.com/hybrid-cloud-management-platform)
CloudBolt (https://www.cloudbolt.io/platform/)
OneOps (http://oneops.com/overview/about.html)
Cloudstack (https://cloudstack.apache.org/)
Manageiq/CloudForms (http://manageiq.org)
En regardant un peu les descriptifs de ces outils (j'en ai pas vraiment testé pour le moment), j'ai l'impression qu'ils promettent tous ça et plus... avec des aspects cycles de vie, gestion financières, utilisation réelles, etc... mais par contre du coup ces outils nécessitent tous ou presque d'être directement connectés à l'hyperviseur directement capable de produire le serveur...
Et là c'est le hic...comme rien n'est jamais simple et que les clients semblent se dire que construire un serveur ça ne rapporte rien, cette partie a été externalisée à une société de service... Cette société devrait à terme nous fournir une interface basée sur AWX (Open Source d'Ansible Tower) pour la partie construction de serveur. J'interviens après cette partie et je dois greffer la partie installation des applis actuellement fait via des playbooks ansible...
Si quelqu'un peut éclairer ma lanterne sur les fonctions et cadres d'utilisations des différents outils cités me permettant d'avancer... ou s'il n'y a pas d'outil magique, n'hésitez pas à commenter
Cdlt,
JYL
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL
Hello,
Le Wed, Aug 22, 2018 at 10:58:24AM +0200, Jean-Yves LENHOF a écrit :
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Maxence
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
-- Maxence DUNNEWIND Contact : maxence@dunnewind.net Site : http://www.dunnewind.net + 33 6 32 39 39 93 GPG : 18AE 61E4 D0B0 1C7C AAC9 E40D 4D39 68DB 0D2E B533
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
le problème de katello, c'est que le support de debian n'est pas encore terminé. (mais bien avancé) https://github.com/pulp/pulp_deb
De plus, on a déjà une infra puppet/hiera qui tourne, et je ne suis vraiment certain qu'on puisse l'intégrer dans foreman (sur lequel s'appui katello), sans devoir gérer les conf via foreman (et adapter les conf avec la structure foreman). Ah voir si il est possible de le plugger sur notre puppetdb.
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
je connaissais pas, ca a l'air sympa ! pour les CVE et co, il y a openscap qui est pas mal, je suis entrain d'étudier ca.
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Merci, je vais jeter un coup d'oeil :
----- Mail original ----- De: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org À: "aderumier" aderumier@odiso.com Cc: "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 10:58:24 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
je connaissais pas, ca a l'air pas mal du tout. moyen d'intégrer ca avec nmap, burp, et co ..
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Effectivement ;) Y'a une version hosté payante apparement. tu connais les tarifs ?
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org Cc: "aderumier" aderumier@odiso.com, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:06:53 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello,
Le Wed, Aug 22, 2018 at 10:58:24AM +0200, Jean-Yves LENHOF a écrit :
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Maxence
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Le Wed, Aug 22, 2018 at 11:30:03AM +0200, Alexandre DERUMIER a écrit :
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
je connaissais pas, ca a l'air pas mal du tout. moyen d'intégrer ca avec nmap, burp, et co ..
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Effectivement ;) Y'a une version hosté payante apparement. tu connais les tarifs ?
Nop du tout. On l'utilise en version gratos. Il y a une limite (que j'ai oubliée) sur le nombre de requête, mais vu qu'on a notre proxy/cache, on ne fait qu'une requête par version par semaine je crois, donc on a jamais eu de probleme.
Leur team est assez réactive et cool, faut pas hésiter à les mail.
Maxence
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org Cc: "aderumier" aderumier@odiso.com, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:06:53 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello,
Le Wed, Aug 22, 2018 at 10:58:24AM +0200, Jean-Yves LENHOF a écrit :
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Maxence
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
-- Maxence DUNNEWIND Contact : maxence@dunnewind.net Site : http://www.dunnewind.net
- 33 6 32 39 39 93
GPG : 18AE 61E4 D0B0 1C7C AAC9 E40D 4D39 68DB 0D2E B533
V
-- Maxence DUNNEWIND Contact : maxence@dunnewind.net Site : http://www.dunnewind.net + 33 6 32 39 39 93 GPG : 18AE 61E4 D0B0 1C7C AAC9 E40D 4D39 68DB 0D2E B533
Nop du tout. On l'utilise en version gratos. Il y a une limite (que j'ai oubliée) sur le nombre de requête, mais vu qu'on a notre proxy/cache, on ne fait qu'une requête par version par semaine je crois, donc on a jamais eu de probleme.
Leur team est assez réactive et cool, faut pas hésiter à les mail.
Ok merci !
j'ai également trouvé ca qui a l'air pas mal du tout
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "aderumier" aderumier@odiso.com Cc: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:34:08 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Le Wed, Aug 22, 2018 at 11:30:03AM +0200, Alexandre DERUMIER a écrit :
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
je connaissais pas, ca a l'air pas mal du tout. moyen d'intégrer ca avec nmap, burp, et co ..
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Effectivement ;) Y'a une version hosté payante apparement. tu connais les tarifs ?
Nop du tout. On l'utilise en version gratos. Il y a une limite (que j'ai oubliée) sur le nombre de requête, mais vu qu'on a notre proxy/cache, on ne fait qu'une requête par version par semaine je crois, donc on a jamais eu de probleme.
Leur team est assez réactive et cool, faut pas hésiter à les mail.
Maxence
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org Cc: "aderumier" aderumier@odiso.com, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:06:53 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello,
Le Wed, Aug 22, 2018 at 10:58:24AM +0200, Jean-Yves LENHOF a écrit :
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Maxence
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
-- Maxence DUNNEWIND Contact : maxence@dunnewind.net Site : http://www.dunnewind.net
- 33 6 32 39 39 93
GPG : 18AE 61E4 D0B0 1C7C AAC9 E40D 4D39 68DB 0D2E B533
V
en commercial, j'ai trouvé ca également https://sysward.com
quelqu'un connait ?
(sur ma volumetrie de servers, ca fait autour de 0,6$/mois, correct)
----- Mail original ----- De: "aderumier" aderumier@odiso.com À: "Maxence Dunnewind" maxence@dunnewind.net Cc: "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 13:34:03 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Nop du tout. On l'utilise en version gratos. Il y a une limite (que j'ai oubliée) sur le nombre de requête, mais vu qu'on a notre proxy/cache, on ne fait qu'une requête par version par semaine je crois, donc on a jamais eu de probleme.
Leur team est assez réactive et cool, faut pas hésiter à les mail.
Ok merci !
j'ai également trouvé ca qui a l'air pas mal du tout
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "aderumier" aderumier@odiso.com Cc: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:34:08 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Le Wed, Aug 22, 2018 at 11:30:03AM +0200, Alexandre DERUMIER a écrit :
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
je connaissais pas, ca a l'air pas mal du tout. moyen d'intégrer ca avec nmap, burp, et co ..
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Effectivement ;) Y'a une version hosté payante apparement. tu connais les tarifs ?
Nop du tout. On l'utilise en version gratos. Il y a une limite (que j'ai oubliée) sur le nombre de requête, mais vu qu'on a notre proxy/cache, on ne fait qu'une requête par version par semaine je crois, donc on a jamais eu de probleme.
Leur team est assez réactive et cool, faut pas hésiter à les mail.
Maxence
----- Mail original ----- De: "Maxence Dunnewind" maxence@dunnewind.net À: "Jean-Yves LENHOF" jean-yves@lenhof.eu.org Cc: "aderumier" aderumier@odiso.com, "French SysAdmin Group" frsag@frsag.org Envoyé: Mercredi 22 Août 2018 11:06:53 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello,
Le Wed, Aug 22, 2018 at 10:58:24AM +0200, Jean-Yves LENHOF a écrit :
Le 2018-08-22 10:11, Alexandre DERUMIER a écrit :
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Chez nous on utilise Vulners (https://vulners.com/). Ca ne répond pas forcément à la partie "mise à jours dispo" mais par contre ça permet de savoir quel CVE impact quel serveur en fonction de ses paquets . Il y a plusieurs façon de l'utiliser (et ça gère aussi les CMS par ex). Chez nous on fait grosso merdo un `dpkg --get-selections` et on lui balance la liste, et ça nous retourne les CVE.
Comme on avait moyennement envie d'envoyer à une boite (russe) les IPs de nos serveurs avec la liste de leurs versions de paquets, on s'est fait un petit proxy qui cache les résultats et ne fait toutes nos requêtes qu'à partir d'une IP.
Maxence
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Cordialement,
Alexandre _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Hello,
La solution pour RedHat désormais ce n'est plus Spacewalk ou son propriétaire RHEL Satellite 5 qui est/ne va plus être maintenue... (C'est d'ailleurs pour ça que Suse a forké si j'ai bien suivi ici : https://github.com/uyuni-project/uyuni)
Désormais la solution upstream de RHEL Satellite 6 c'est plutôt katello
Après ça reste assez lourd à mettre en place à mon avis (j'ai tjs pas eu le temps de faire ça qq part)
Sinon pour Debian, mais qui ne répond pas complètement à ta demande il y a aptly https://www.aptly.info/ Mais de ce que j'ai vu cela ne répond pas à la question sur la partie CVE... même s'il est possible d'avoir une partie des infos puisque les CVE sont corrigées via le repo security.debian.org
Sinon pour Ubuntu, il y a : https://landscape.canonical.com
Sinon en cherchant un peu j'ai trouvé ces trucs proprio là : https://www.manageengine.com/patch-management/help/managing-linux-computers.... https://sysward.com/ https://one.comodo.com/patch-management/linux-patch-management-tools.php https://www.gfi.com/products-and-solutions/network-security-solutions/gfi-la...
N'hésites pas à faire un retour, c'est un sujet intéressant cette affaire
Cordialement,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
-- Maxence DUNNEWIND Contact : maxence@dunnewind.net Site : http://www.dunnewind.net
- 33 6 32 39 39 93
GPG : 18AE 61E4 D0B0 1C7C AAC9 E40D 4D39 68DB 0D2E B533
V
Hello,
On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER aderumier@odiso.com wrote:
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à
monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
ceci : https://github.com/clearlinux/cve-check-tool et un petit script pour lister tous les paquets et les passer un a un en argument a la commande pourrait faire ce qe tu veux.
et encore je n'ai pas compilé le bousin pour vois si on peut pas faire plus simple.
Cordialement.
Le 23/08/2018 à 19:19, Benoit Garcia a écrit :
Hello,
On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER <aderumier@odiso.com mailto:aderumier@odiso.com> wrote:
Bonjour, je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité. compatible debian (et ubuntu), et si possible centos. Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible. quelqu'un connais un solution sympa ?Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
-- Cordialement, Benoit
Liste de diffusion du FRsAG http://www.frsag.org/
Dans le style tu as https://secludit.com/ mais payant. Cocorico et basé sur OpenVAS.
De : FRsAG frsag-bounces@frsag.org De la part de Benoit Garcia Envoyé : jeudi 23 août 2018 19:19 À : French SysAdmin Group frsag@frsag.org Objet : Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello, On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER <aderumier@odiso.commailto:aderumier@odiso.com> wrote: Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ? Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget) Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
-- Cordialement, Benoit
Il y a Pakiti (https://github.com/CESNET/pakiti-server), utilisé pour tester tous les sites de la grille de calcul EGI (https://egi.eu)
exemple de ci-joint pour les admins des sites. Cordialement, Denis
Le 24/08/2018 à 05:10, VALOIS, Pascal a écrit :
ceci : https://github.com/clearlinux/cve-check-tool et un petit script pour lister tous les paquets et les passer un a un en argument a la commande pourrait faire ce qe tu veux.
et encore je n'ai pas compilé le bousin pour vois si on peut pas faire plus simple.
Cordialement.
Le 23/08/2018 à 19:19, Benoit Garcia a écrit : Hello,
On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER <aderumier@odiso.com> wrote: Bonjour,je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
-- Cordialement, Benoit
Liste de diffusion du FRsAG http://www.frsag.org/
Merci à Tous
pas lié au patch management, mais coté sécu trouvé
https://www.wazuh.com/ (qui est un fork de OSSEC, un hids, mais avec une interface kibana/elastic vraiment canon)
qui remonte entre autre cve et packages installé, mais également tout le coté pcidss, la remontée des logs de secu (auditd, antivirus,firewall,..), les changements sur les fichiers,etc... openscap intégré également pour le check de compliance et l'agent fonctionne sous linux, unix && windows
----- Mail original ----- De: "Denis Pugnere" d.pugnere@ipnl.in2p3.fr À: "VALOIS, Pascal" pascal.valois@free.fr Cc: "French SysAdmin Group" frsag@frsag.org Envoyé: Vendredi 24 Août 2018 11:53:03 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Il y a Pakiti (https://github.com/CESNET/pakiti-server), utilisé pour tester tous les sites de la grille de calcul EGI (https://egi.eu)
exemple de ci-joint pour les admins des sites. Cordialement, Denis
Le 24/08/2018 à 05:10, VALOIS, Pascal a écrit :
ceci : https://github.com/clearlinux/cve-check-tool et un petit script pour lister tous les paquets et les passer un a un en argument a la commande pourrait faire ce qe tu veux.
et encore je n'ai pas compilé le bousin pour vois si on peut pas faire plus simple.
Cordialement.
Le 23/08/2018 à 19:19, Benoit Garcia a écrit : Hello,
On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER aderumier@odiso.com wrote: Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
-- Cordialement, Benoit
Liste de diffusion du FRsAG http://www.frsag.org/
_______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
Je ne qualifierais pas OpenVAS ( https://www.openvas.org/ ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers.
Ma>>is au final, ça fonctionne.
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget) Le produit existe également sous formes d'appliances physiques: https://www.greenbone.net/en/product-comparison/
Merci !
la version9 est dispo dans le repo debian buster ou y'a un ppa pour ubuntu. ca s'installe de 10min ;)
----- Mail original ----- De: "Benoit Garcia" benoit.garcia@gmail.com À: "French SysAdmin Group" frsag@frsag.org Envoyé: Jeudi 23 Août 2018 19:19:08 Objet: Re: [FRsAG] solution opensource de patch management compatible debian ?
Hello,
On Wed, Aug 22, 2018 at 10:12 AM Alexandre DERUMIER < [ mailto:aderumier@odiso.com | aderumier@odiso.com ] > wrote:
Bonjour,
je suis à la recherche d'une solution de patch management centralisée, opensource, qui pourrait remonter de facon centralisée les patchs/mise à jour à faire sur les serveurs, avec les CVE/failles de securité.
compatible debian (et ubuntu), et si possible centos.
Il y a spacewalk de redhat, mais c'est l'usine à gaz et le support debian n'est pas terrible.
quelqu'un connais un solution sympa ?
Je ne qualifierais pas OpenVAS ( [ https://www.openvas.org/ | https://www.openvas.org/ ] ) de "sympa": L'interface est .. particulière, ça demande un peu d'huile de coude au début, et les paquets sont fournis par des tiers. Mais au final, ça fonctionne.
BQ_BEGIN
Si pas opensource, possible proprio, mais pas de license par machine à monitorer. (on a un parc de 3000vms, donc ca sera hors budget)
BQ_END
Le produit existe également sous formes d'appliances physiques: [ https://www.greenbone.net/en/product-comparison/ | https://www.greenbone.net/en/product-comparison/ ]
Hello,
Il y a quelques mois j'ai assisté à une présentation de Prologue : https://www.useitcloud.com/ http://www.prologue.fr/pages/cloud/ (bon ce soir le site semble cassé ...) En gros c'est une GUI pour fournir du t-shirt size de VM quel que soit le provider. Ca fonctionne en SaaS de chez eux. J'ai souvenir que c'était pas donné mais je n'a pas retenu combien désolé.
A bientôt,
Le mar. 14 août 2018 à 22:37, Jean-Yves LENHOF jean-yves@lenhof.eu.org a écrit :
Salut ter tous (ch'est comme cha qu'ein dit ds ch'nord pour dire Bonjour), J'ai un besoin depuis quelques temps qui me tarabusque mais auquel j'ai du mal à trouver la réponse adéquate aussi je me permets de vous solliciter pour avoir vos avis éclairés :
- outil en mode caisse à outils où en quelques clicks tu indiques des
questions à laquelle le client doit répondre par des cases à remplir, des cases à cocher ou des listes déroulantes et que ça lance l'installation de serveurs derrière avec des middlewares ou des applicatifs prêt à être consommés
J'ai pensé à developper un tel outil avec le dernier framework à la mode, mais j'espère qu'un outil existe pour m'éviter une grosse partie du travail. En recherchant un peu je suis tombé sur le mot clé magique CMP pour Cloud Management Platform
Donc en cherchant un peu j'ai établi une liste d'outils : Vra (https://www.vmware.com/products/vrealize-automation.html)
vCommander Hybrid Cloud Management platform ( https://www.embotics.com/hybrid-cloud-management-platform) https://www.embotics.com/hybrid-cloud-management-platform
CloudBolt (https://www.cloudbolt.io/platform/) https://www.cloudbolt.io/platform/
OneOps (http://oneops.com/overview/about.html) http://oneops.com/overview/about.html
Cloudstack (https://cloudstack.apache.org/) https://cloudstack.apache.org/
Manageiq/CloudForms (http://manageiq.org)
En regardant un peu les descriptifs de ces outils (j'en ai pas vraiment testé pour le moment), j'ai l'impression qu'ils promettent tous ça et plus... avec des aspects cycles de vie, gestion financières, utilisation réelles, etc... mais par contre du coup ces outils nécessitent tous ou presque d'être directement connectés à l'hyperviseur directement capable de produire le serveur...
Et là c'est le hic...comme rien n'est jamais simple et que les clients semblent se dire que construire un serveur ça ne rapporte rien, cette partie a été externalisée à une société de service... Cette société devrait à terme nous fournir une interface basée sur AWX (Open Source d'Ansible Tower) pour la partie construction de serveur. J'interviens après cette partie et je dois greffer la partie installation des applis actuellement fait via des playbooks ansible...
Si quelqu'un peut éclairer ma lanterne sur les fonctions et cadres d'utilisations des différents outils cités me permettant d'avancer... ou s'il n'y a pas d'outil magique, n'hésitez pas à commenter
Cdlt,
JYL _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/
(s'il n est pas trop tard) Ok donc vous devez fournir une appli CMP déployable par Ansible, allant de pair avec l'installation des hotes/hyperviseurs. Ces deux instances ne vont pas forcement de pair (pas besoin d'installer l'appli sur chaque hote, mais sans doute plutôt dans une VM et qui fera face aux requêtes.
Si le besoin se limite a cela, ben DIY. Si en plus il y a du VPS et pleins de trucs nuageux, ben je dirais idem, a moins que XCP-NG puisse être étendu de la sorte. Il y a aussi les front-ends de Opennebula et DanubeCloud, a voir si c'est prevu pour etre programmable.
https://xcp-ng.org/ https://wiki.xen.org/wiki/XCP_Overview#Management_Options
-
Alexandre DERUMIER -
Benoit Garcia -
Denis Pugnere -
Jean-Yves LENHOF -
Maxence Dunnewind -
Olivier Duquesne (DaffyDuke) -
pierre-philipp braun -
SIMANCAS Hugo -
VALOIS, Pascal