00:00
Contexte : Groupe Paredes Orapi
Fondation : 1942 / 1968
CA : 425 M€
Siège : Part-Dieu (69 · Lyon)
Effectif : 1 650 collaborateurs
Secteur : Hygiène & nettoyage pro
Mes missions globales
- 🧑💻RôleTechnicien Support N1 / N2
- 🎧AssistanceContinuité de service utilisateurs
- ⚙️ProjetModernisation du parc informatique
- 🗂️ITAMGestion des actifs & inventaire
Enjeux & Problématiques IT
⚠️ Défi 1 · La Fusion IT
Suite au rachat d'Orapi par Paredes, deux SI distincts cohabitent et doivent être unifiés.
- 🔑 2 domaines Active Directory différents
- 🎫 2 outils de ticketing (Interne Paredes vs GLPI)
- 🗂️ 2 bases d'inventaire (Snipe-IT vs OCS)
GLPI · Orapi
Snipe-IT · Paredes
⏳ Défi 2 · Obsolescence
Vieillissement du parc exposant à des risques opérationnels majeurs.
- 🛑 Fin de support de Windows 10 (Oct. 2025)
- 🛡️ Vulnérabilités de sécurité non patchées
- ☁️ Migration Cloud : Intune + Azure AD
Microsoft Intune
Azure Active Directory
Migration Windows 11
🎯 Moderniser et sécuriser le parc informatique
-
⚙️
Déploiement scripté via IntuneEnrôlement automatisé Windows 11🪟 Win 10 ➔ 🪟 Win 11
-
☁️
Azure & Entra IDLicences, GPO cloud, MDP temporaires📱 Intune+ ☁️ Azure+ 🆔 Entra ID📱 Dashboard Intune
⚙️ Windows Autopilot
🆔 Entra ID · MDP
-
🔑
Double ADIntégration sur les deux domaines (Orapi & Paredes)
✅ Bilan Technique
- ›Automatisation : Scripts GPO et bascule Intune
- ›Accès Cloud : Licences Azure + MDP via Entra ID
- ›Qualité : Synchro des comptes vérifiée
- ›Support : Accompagnement utilisateurs post-migration
Gestion des Actifs (CMDB)
🎯 Traçabilité complète du cycle de vie matériel — + 1 030 postes
-
🗂️
Fiabilisation croisée du parcTraitement massif des données via 4 outils📊 Excel+ 📱 Intune+ 🗃️ Snipe-IT+ 📦 GLPI📊 Excel · Consolidation données
🗃️ Snipe-IT
📦 GLPI
-
📱
Flotte mobileGestion des lignes via Orange Business📱 Orange Business Pro
-
🔄
Cycle de vie DEEE (Déchets d'Équipements Électriques et Électroniques)Retour → DiagnosticViable :Stock / AlternanceGarantie :RéparationFin de vie :Vente / DEEE
✅ Bilan Technique
- ›Rigueur ITAM : Données croisées sur 4 outils
- ›Autonomie : Procédures d'inventaire créées
- ›Logistique : Traçabilité du retour au DEEE
- ›Volume : + 1 030 postes traités
Contexte : SIA BDE INSA Lyon
Cible : 6 000 élèves-ingénieurs
Réseau : 130 associations hébergées
Lieu : INSA Lyon · Villeurbanne
Stack : Majoritairement Open Source · Bénévoles
Missions confiées
- 🖥️Migration ProxmoxRecréation des VMs · redéploiement GitLab CI/CD
- 🔒Configuration TwingateAccès sécurisé au réseau interne · bridge dédié
- 💾Backup automatiséScripts Bash · Rclone · alertes Discord
- 🦠Réponse à incidentAnalyse forensique WordPress · remédiation
🏗️ Baie informatique SIA — infrastructure physique
Enjeux & Problématiques IT
⚠️ Défi 1 · Migration d'infrastructure
Serveurs historiques vieillissants à basculer sur une nouvelle infrastructure Proxmox — avec les moyens d'une association.
- 🖥️ Migration des VMs vers le nouveau Proxmox
- 🔁 Redéploiement des scripts GitLab CI/CD
- 🛠️ Tests sur serveurs de rab malgré le vieillissement
- 💰 Budget asso limité : faire avec l'existant
🛠️ Serveurs vieillissants — "de rab"
⏳ Défi 2 · Contraintes & Sécurité
Dépendance forte au réseau INSA et failles CMS à traiter en conditions réelles.
- 🔐 Whitelist MAC INSA imposée par l'infra parente
- 🦠 Vulnérabilités CMS : plugins WordPress obsolètes
- 🌐 Reconfiguration complète des services applicatifs
- 🔔 Continuité de service pendant la bascule
Proxmox & Twingate — Accès sécurisé aux VMs
🎯 Connecter le nouveau Proxmox au réseau interne via Twingate
-
🖥️
Nouveau Proxmox VERecréation des VMs · redéploiement scripts GitLab
-
🔒
Configuration TwingateConnexion au ZTNA existant · 3 Remote Networks configurés
-
🔀
Bridge interne dédiéContourner la whitelist MAC imposée par l'infra INSA
-
🛠️
Tests sur serveurs vieillissantsBudget asso limité · faire avec les moyens du bord
✅ Bilan Technique
- ›Migration : Infrastructure Proxmox opérationnelle
- ›Accès distants : Twingate connecté au réseau interne
- ›Autonomie : Déploiement VM sans demande whitelist
🖥️ Config réseau Proxmox — Bridges vmbr0 / bridge interne
🔒 Installation Twingate · LXC shell
Serveur de Backup Automatisé
🎯 Garantir la récupération des données — Règle du 3-2-1
- 🐧VM Ubuntu dédiéeCentralisation sous le nouveau Proxmox
- ⚙️Scripts Bash + CrontabBDD + fichiers automatisés
- ☁️Rclone → CloudExternalisation chiffrée
- 🔔Webhook DiscordAlertes temps réel : succès / échec
🗄️
BDDMySQL
⚙️
ScriptCrontab
☁️
RcloneCloud
🔔
DiscordAlerte
🗓️ Politique de rétention
Quotidien
7 jours
Hebdomadaire
4 semaines
Mensuel
12 mois
✅ Bilan
- ›Règle 3-2-1 · Rétention 3 niveaux · Zéro intervention manuelle
⚙️ Tâche Crontab · Script Bash
🔔 Notification Discord · Backup success
Incident WordPress — SecOps
🎯 Contenir, analyser et corriger une cyberattaque réelle
-
🦠
Vecteur : ClickFixInjection PHP via plugin vulnérablePlugin vulnérable → Backdoor PHP
- 🔎Analyse forensiqueLogs Apache · PHP obfusqué · BDD compromise
- 🩹RemédiationNettoyage BDD · Backdoor supprimée · WAF
Code PHP obfusqué
Comptes piratés BDD
✅ Bilan Technique
- ›Gestion de crise : Processus complet en conditions réelles
- ›Analyse : Identification vecteur + étendue de compromission
- ›Durcissement : WAF + politique MàJ plugins
- ›Lien veille : ClickFix = tendance 2025-2026 identifiée
Ransomwares & Cybercriminalité 2025-2026
🔐 Feedly · 5 sources · Synthèses mensuelles sur mon portfolio
-
🔄
Démarche en 4 étapesCollecter → Trier → Analyser → Diffuser
-
🗞️
5 flux surveillés via FeedlyCERT-FR · The Hacker News · Ransomfeed.it · Krebs · The Record
-
📝
LivrableSynthèses analytiques ocasionnelles · Portfolio
Ransomfeed.it
Ma Synthèse
🔥 Tendances identifiées
Vulnérabilités NTLM Critique
Vecteur initial ransomware. Le patching reste la 1ère défense.
LockBit 4.0 Élevé
Décentralisation post-démantèlement Europol. Les arrestations ne suffisent pas.
Ciblage MSP via RaaS Tendance
Attaques en cascade vers les PME → modèle Zero Trust obligatoire. Lien direct avec ma SP1 SIA.