steve01: Firmenrechner gegen Spyware sichern

Hallo zusammen,

nehmen wir mal folgenden Fall an:

Ein grosses Firmennetz mit Clients auf denen WIN Xp und Office XP eingesetzt wird. Zentrale Server und gute Firwalls die das Firmennetz absichern. Nun ist ja bekannt das Microsoft Produkte & Co. gerne "nach Hause telefonieren".

Wenn die Clients so schlecht konfiguriert sind, dass z.B.

  • die Fehlerberichterstattung von WIN XP aktiv ist
  • der Nachrichtendienst nicht deaktiviert ist
  • Office XP Fehlerberichte senden darf
  • dem Media Player erlaubt ist Codec zu installieren
  • der Alexa Registry Eintrag nicht enfernt ist

kann dann trotz guter, professioneller Firewall Informationen nach draussen dringen?

Wie kommunziereren denn Spyware-Programme? Über das htpp-Protokoll?

Muss man die Clients(!) so gut konfigurieren / abschotten, dass sicher nichts nach draussen kommt oder kann eine Firewall diesen Sicherheitspart übernehmen.

Nach draussen ins WWW sollen die Clients Zugang haben. Also, dass die Firewall alles abblockt macht keinen Sinn.

Weiss jemand etwas dazu,
Steve01

  1. Mahlzeit,

    Wie kommunziereren denn Spyware-Programme? Über das htpp-Protokoll?

    swu...

    Muss man die Clients(!) so gut konfigurieren / abschotten, dass sicher nichts nach draussen kommt oder kann eine Firewall diesen Sicherheitspart übernehmen.

    Nach draussen ins WWW sollen die Clients Zugang haben. Also, dass die Firewall alles abblockt macht keinen Sinn.

    Mal angenommen du sperrst alle Ports nach draußen von den Clients-Netzen. Damit geht über TCPIP keine Information raus, falls das ein Spy-Program tun will.

    Aber nun erlaubst den Benutzern Internet (http, https) über einen anderen Weg: Proxy.

    Und dann hast du ein Spy-Programm was dieselbe Proxy-konfiguration benutzt wie im IE angegeben... und schon gehen die Infos raus.

    Ansatz Workaround: Die User benutzen einen anderen Browser und dürfen die Internetoptions nicht ändern. Das geht. Dann kann es aber immer noch sein, dass die spyware die Proxykonfiguration des anderen Browsers auslesen (Registry) kann und darüber rauskommt. Wenn du das unterbinden kannst bist du erfolgreich.

    Viel Glück, Rolf

    --
    SELFforum - Das Tor zur Welt!
    Theoretiker: Wie kommt das Kupfer in die Leitung?
    Praktiker: Wie kommt der Strom in die Leitung?
    1. Mahlzeit,

      Ansatz Workaround: Die User benutzen einen anderen Browser und dürfen die Internetoptions nicht ändern. Das geht. Dann kann es aber immer noch sein, dass die spyware die Proxykonfiguration des anderen Browsers auslesen (Registry) kann und darüber rauskommt. Wenn du das unterbinden kannst bist du erfolgreich.

      Das Auslesen der Proxykonfiguration meinte ich. Das kannst du unterbinden wenn die spyware unter einem UserAccount läuft der nicht lesenden Zugriff auf die Registry hat.

      Rolf

      --
      SELFforum - Das Tor zur Welt!
      Theoretiker: Wie kommt das Kupfer in die Leitung?
      Praktiker: Wie kommt der Strom in die Leitung?
    2. » »»

      Nach draussen ins WWW sollen die Clients Zugang haben. Also, dass die Firewall alles abblockt macht keinen Sinn.

      Mal angenommen du sperrst alle Ports nach draußen von den Clients-Netzen. Damit geht über TCPIP keine Information raus, falls das ein Spy-Program tun will.

      Aber nun erlaubst den Benutzern Internet (http, https) über einen anderen Weg: Proxy.

      Und dann hast du ein Spy-Programm was dieselbe Proxy-konfiguration benutzt wie im IE angegeben... und schon gehen die Infos raus.

      Hi Rolf,

      ebenfalls Mahlzeit!

      Danke für deine Anzwort. Mein Beispiel bezieht sich auf eine Firma bei der ich ab und zu freiberuflich arbeite. Jetzt haben alle User WIN XP bekommen und aus reinem Interesse habe ich mal XP-Antispy laufen lassen. Ergebnis: mangelende Sicherheitseinstellungen

      Nun, bevor ich alle "Pferde scheu mache" und zum Netzwerkadmin gehe, habe ich dieses Posting aufgemacht. Denn Netzwerke sind nicht so mein Ding.

      Wie ich aus den Antworten erfahren habe, kann unter Umständen Informationen nach draussen dringen, auch wenn eine Firewall eingesetzt wird, die nur den IE nach draussen Zugang gestattet.

      Sollte ich mal den Netzwerk Admin auf die mangelenden Sicherheitsinformationen hinweisen?

      Vieleicht spioniert MS ja auch noch diese und das aus.

      Bye,

      Steve01

      1. hi again,

        Wie ich aus den Antworten erfahren habe, kann unter Umständen Informationen nach draussen dringen, auch wenn eine Firewall eingesetzt wird, die nur den IE nach draussen Zugang gestattet.

        Normalerweise ist eine FW in der Firma so konfiguriert, dass die normalen Benutzer mit keinem Port nach draußen kommen. Das wäre das Eine und das ist OK. Damit käme auch keine spyware raus die das über TCPIP Ports machen will. Und Die User kommen auch nicht DIREKT ins Internet - ohne ProxyInfrastruktur (Konfigurationsdatei, Caches, VirusWalls...).

        Die User kommen jedoch ins Internet wenn sie über Proxies gehen, also mit dem Browser und: Mit Programmen die proxyfähig sind, z.B. Mediaplayer.

        Jetzt schau mal ob das in der Firma so ist. Das wäre ein guter Ansatz.

        Nun, es kann sein dass eine spyware ebenfalls proxyfähig ist und

        • zb. die Einstellungen des Standardbrowsers benutzt
        • und dann die Protokolle benutzt für die ein proxy transparent ist: http, https, RealTimeMediaStream.... also für diese ProtocolFamily.

        Sollte ich mal den Netzwerk Admin auf die mangelenden Sicherheitsinformationen hinweisen?

        Das ist zu Allgemein. Prüfe die Wege die offen sind für Kommunikationen.

        Vieleicht spioniert MS ja auch noch diese und das aus.

        Ausspionieren ist das Eine. Die Info senden das Andere. Letzteres kannst du unterbinden wenn du _den Weg nach draußen_ für spyware nicht erlaubst. Wenn Internet nur über proxies geht (und ja auch gehen soll) und spyware das auch über proxies kann, dann hast du wenig Chancen das zu verhindern. Es sei denn du verhinderst der spyware dass die die proxyConfiguration z.B. aus dem Browser oder aus der Registry auslesen darf.

        Viele Grüße, Rolf

        --
        SELFforum - Das Tor zur Welt!
        Theoretiker: Wie kommt das Kupfer in die Leitung?
        Praktiker: Wie kommt der Strom in die Leitung?
        1. Hi Rolf,

          danke für deine ausführliche Antwort. Ich werde mal schauen wie die User ins Internet kommen. Ich erinnere mich an eine Meldung die unten in der Statuszeile des Browsers erscheint: "Proxy Einstellungen werden gesucht..."

          Aber eines steht doch fest. Als erstes sollte man die einzelnen Clients gut konfigurieren. Geht doch sehr einfach mit diversen Tools wie XP- Antispy. Dann hat man doch ein schnelleres und ein etwas sicheres System.

          Mahlzeit,

          Steve01

          1. hi Steve,

            danke für deine ausführliche Antwort. Ich werde mal schauen wie die User ins Internet kommen. Ich erinnere mich an eine Meldung die unten in der Statuszeile des Browsers erscheint: "Proxy Einstellungen werden gesucht..."

            Daraus lese ich ab:

            • der Client verwendet eine Konfigurationsdatei proxy.pac ;-)

            Da kannst Du ja mal hineinschauen, da steht drin welches Ziel über welchen Weg geht. Und dann kannst Du ja auch mal prüfen ob mit
            telnet host port

            von einem CLient aus diverse Verbindungen nach draußen möglich sind. Da sollte im Normalfall nix gehen.

            Rolf

            --
            SELFforum - Das Tor zur Welt!
            Theoretiker: Wie kommt das Kupfer in die Leitung?
            Praktiker: Wie kommt der Strom in die Leitung?
    3. Hallo,
      also ich benutze den firewal von agnitum,
      der fragt bei jedem program das irgendwie eine verbindung raus in die welt möchte
      ausser beim IE und NS oder den progis denen ich die browser,ftp,client eigenschaft zugeteilt habe,
      nach was mit der verbindung geschehen soll(blockieren einmal,erlauben einmal oder regel zuteilen)
      somit hab ich die totale kontrolle über alle progis.man kann sie auch grundsätzlich sperren oder als unsicher einstufen lassen
      vom agnitum.Ausserdem kann man die email eigenschaft und filter gegen inhalte wie anwendungen,javascript,bildschirmschoner,vbs etc. ebenfalls
      über agnitum einstellen ob er die dateien automatisch umbenennen soll ein meldung erteilen...
      Ich bin sehr zufrieden mit dem firewall und kann ihn nur weiterempfehlen. http://www.agnitum.com
      Gruss vom Alain

      --
      ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
      1. Moin!

        der fragt bei jedem program das irgendwie eine verbindung raus in die welt möchte
        ausser beim IE und NS oder den progis denen ich die browser,ftp,client eigenschaft zugeteilt habe,
        nach was mit der verbindung geschehen soll(blockieren einmal,erlauben einmal oder regel zuteilen)
        somit hab ich die totale kontrolle über alle progis.man kann sie auch grundsätzlich sperren oder als unsicher einstufen lassen

        Das glaubst _du_, dass du die volle Kontrolle hast. Es gibt aber schon genügend böse Programme, die, sobald sie erst einmal installiert sind, als allererstes lokale Firewalls ausschalten bzw. Regeln einfügen, die Kommunikation erlauben. Dagegen ist eigentlich nur dann ein Kraut gewachsen, wenn a) man überhaupt User-Accounts benutzt und b) das System keine root-Exploits erlaubt (unter Windows: dass man nicht unberechtigt Admin-Rechte kriegen kann).

        Abgesehen davon hat es in der Anfangszeit dieser "Programm-Blocker-Firewalls" die dumme Eigenschaft gegeben, dass die Feststellung, welches Programm da jetzt Zugriff haben will, nur anhand einiger schwacher Eigenschaften wie Dateiname geprüft wurden. Und schwups hießen alle bösen Programme iexplore.exe.

        Ich bin sehr zufrieden mit dem firewall und kann ihn nur weiterempfehlen. http://www.agnitum.com

        Ich kann Desktop-Firewalls grundsätzlich nicht weiterempfehlen. Sicher, sie sind als Schutz von außen immer noch besser, als total ungeschützt und offen direkt im Internet zu surfen, aber noch besser ist eine externe Firewall.

        - Sven Rautenberg

        --
        "Beim Stuff für's Web gibts kein Material, was sonst das Zeugs ist, aus dem die Sachen sind."
        (fastix®, 13. Oktober 2003, 02:26 Uhr -> </archiv/2003/10/60137/#m338340>)
        1. Hallo,

          Abgesehen davon hat es in der Anfangszeit dieser "Programm-Blocker-Firewalls" die dumme Eigenschaft gegeben, dass die Feststellung, welches Programm da jetzt Zugriff haben will, nur anhand einiger schwacher Eigenschaften wie Dateiname geprüft wurden. Und schwups hießen alle bösen Programme iexplore.exe.

          Agnitum gibt auch an ,wenn sich ein programm in grösse (bytes) ändert und fragt erst nach ob das program die erlaubniss hat...selbst schon probiert,da ich auch
          programme manchmal ändere.
          Gruss vom Alain

          --
          ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
          1. Hallo,

            Agnitum gibt auch an ,wenn sich ein programm in grösse (bytes) ändert und fragt erst nach ob das program die erlaubniss hat...selbst schon probiert,da ich auch programme manchmal ändere.

            Software-/Desktop-Firewalls sind vom Prinzip her unsicher.
            Auch wenn deren Marketing-Abteilungen natuerlich sehr
            viele "einleuchtende" Argumente haben...

            Lies mal:
            http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

            Es _gibt_ uebrigens genau _eine_ absolut sichere Firewall:
            http://home.pages.at/heaven/absolut.htm
            :-)

            Gruesse,

            Thomas

            1. Hallo,

              Lies mal:
              http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html

              Es _gibt_ uebrigens genau _eine_ absolut sichere Firewall:
              http://home.pages.at/heaven/absolut.htm
              :-)

              kenn ich schon die seite,aber trotzdem dank.
              Naja was soll ich dazu sagen,ich bin davon überzeugt,dass der firewall für mich gut ist,
              und nehme dafür gerne geschwindigkeits verluste in kauf,wen störts?
              na mich jedenfalls nicht-bei einem download-speed von über 500kbs-glasfaser technick machts möglich.
              Ausserdem hab ich eine lan verbindung,da werd ich wohl kaum auf einen firewall verzichten wollen.
              Man kann übrigens nicht urteilen über ein desktop-firewall,wenn man ihn nicht kennt,mal so nebenbei.
              Agnitum ist mit der billigware zonealarm überhaubt nicht zu vergleichen.
              In diesem sinne...
              Gruss vom Alain

              --
              ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
              1. Moin!

                Man kann übrigens nicht urteilen über ein desktop-firewall,wenn man ihn nicht kennt,mal so nebenbei.
                Agnitum ist mit der billigware zonealarm überhaubt nicht zu vergleichen.

                Was hat der Preis mit der Leistungsfähigkeit zu tun? Apache ist beispielsweise ein sehr leistungsfähiger Webserver - und der Preis?

                Außerdem: Alle Desktop-Firewalls kochen nur mit Wasser. Sie sind Software, welche genau denselben Einschränkungen und Angreifbarkeiten unterliegt, wie jedes andere Programm. Man kann sie beispielsweise beenden. Dazu braucht man logsicherweise das Recht (durch das Betriebssystem gewährt) dazu, es zu tun. Aber was der Benutzer mit der Maus klicken kann, das kann ein böses Programm, was Admin-Rechte hat, auch simulieren.

                Ergo: Egal was die Firewall gekostet hat: Sie schützt primär vor Angriffen von außen durch Abschotten von ansonsten offenen Ports (das sei ja auch nicht bestritten), aber prinzipbedingt nur sehr unzureichend vor Angriffen von innen. Das ist aber das Problem fast jeder Firewall, egal wo sie sitzt, weil "innen" in der Regel als vertrauenswürdig angesehen wird.

                Das Problem ist: Wenn die Firewall aus welchem Grunde auch immer nicht wirkt (reicht ja schon, wenn die Festplatte defekt ist und das Programm nicht laden kann - dann kommt eine unverständliche Fehlermeldung, und schlecht ist), sind die dadurch normal geschützten Ports plötzlich offen. Das passiert bei einer externen Firewall nicht so leicht.

                Deshalb täuschen Desktop-Firewalls eine Sicherheit vor, die sehr zerbrechlich ist. Und durch entsprechende Meldungen, wenn die Firewall mal wieder aktiv wurde, wird der Benutzer in Sicherheit gewiegt (Firewall "tut ja was").

                - Sven Rautenberg

                --
                "Beim Stuff für's Web gibts kein Material, was sonst das Zeugs ist, aus dem die Sachen sind."
                (fastix®, 13. Oktober 2003, 02:26 Uhr -> </archiv/2003/10/60137/#m338340>)
                1. Hallo,

                  Ergo: Egal was die Firewall gekostet hat: Sie schützt primär vor Angriffen von außen durch Abschotten von ansonsten offenen Ports (das sei ja auch nicht bestritten), aber prinzipbedingt nur sehr unzureichend vor Angriffen von innen. Das ist aber das Problem fast jeder Firewall, egal wo sie sitzt, weil "innen" in der Regel als vertrauenswürdig angesehen wird.

                  Meine version war gratis- info zum programm selbst http://www.pages.at/heaven/sec004.htm
                  wobei die dort auch nicht wissen,dass es dieses programm auch in deutsch gibt.
                  Wem das nicht genügt,der kann ja noch einen proxy ähnliches programm (für windows) wie z.B. sysguard
                  nachrüsten http://www.webattack.com/get/systemsafety.shtml das übrigens von einem Russen entwickelt wurde.
                  Sehr zu empfehlen z.B. für internet-kaffes,
                  damit andere programme z.B. nicht von fremden Händen gestartet werden,die nicht gestartet werden dürfen.

                  Das Problem ist: Wenn die Firewall aus welchem Grunde auch immer nicht wirkt (reicht ja schon, wenn die Festplatte defekt ist und das Programm nicht laden kann - dann kommt eine unverständliche Fehlermeldung, und schlecht ist), sind die dadurch normal geschützten Ports plötzlich offen. Das passiert bei einer externen Firewall nicht so leicht.

                  naja ich arbeite täglich am computer seit jahren und hatte es bisher jedenfalls nicht nötig,mein system neu zu installieren,nur weil
                  ein dämlicher kleiner virus oder trojaner meine festplatte in sekunden zerstört hat-war auch mal anders.

                  Deshalb täuschen Desktop-Firewalls eine Sicherheit vor, die sehr zerbrechlich ist. Und durch entsprechende Meldungen, wenn die Firewall mal wieder aktiv wurde, wird der Benutzer in Sicherheit gewiegt (Firewall "tut ja was").

                  Da gibts noch den virenguard (AntiVir) im hintergrund.
                  ok,ist schon klar,dass ein 100% sicherheit der auszug vom stecker aus der steckdose voraussetzt.

                  Gruss vom Alain

                  --
                  ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
                  1. Hallo,
                    sorry
                    hier nochmal der richtige link zu outpost
                     http://www.pages.at/heaven/sec0143.htm#outpost info.
                    Gruss vom Alain

                    --
                    ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
                  2. Moin!

                    naja ich arbeite täglich am computer seit jahren und hatte es bisher jedenfalls nicht nötig,mein system neu zu installieren,nur weil
                    ein dämlicher kleiner virus oder trojaner meine festplatte in sekunden zerstört hat-war auch mal anders.

                    Siehst du: Genauso ist es bei mir auch. Nur dass ich keinerlei Software-Firewall auf meinen Rechnern habe. Trotzdem gibts keine Datenverluste durch Viren und Würmer.

                    Das ist also kein Argument für oder gegen irgendwas.

                    - Sven Rautenberg

                    --
                    "Beim Stuff für's Web gibts kein Material, was sonst das Zeugs ist, aus dem die Sachen sind."
                    (fastix®, 13. Oktober 2003, 02:26 Uhr -> </archiv/2003/10/60137/#m338340>)
                    1. Hallo,

                      Siehst du: Genauso ist es bei mir auch. Nur dass ich keinerlei Software-Firewall auf meinen Rechnern habe. Trotzdem gibts keine Datenverluste durch Viren und Würmer.

                      Das ist also kein Argument für oder gegen irgendwas.

                      Doch,es gibt argumente,
                      siehe dazu [pref:t=63239&m=359340] etwas weiter unten
                      thema "(SONSTIGES) Geeignetes Videoformat für eine Homepage von TorstenA"

                      nix für ungut ;-)
                      Gruss vom Alain

                      --
                      ..."Zwei Dinge sind unendlich, das Universum und die menschliche Dummheit, aber bei dem Universum bin ich mir noch nicht ganz sicher." (Albert Einstein)
            2. hi Thomas,

              Es _gibt_ uebrigens genau _eine_ absolut sichere Firewall:
              http://home.pages.at/heaven/absolut.htm

              Ein paar interessante Adapterkabel sind hier beschrieben:
              http://www.fiftythree.org/etherkiller/

              Also, wenn schon kaputtmachen, dann schöööön langsam mit Genuß!
              Lasst es knistern ;-)

              Viele Grüße, Rolf

              --
              SELFforum - Das Tor zur Welt!
              Theoretiker: Wie kommt das Kupfer in die Leitung?
              Praktiker: Wie kommt der Strom in die Leitung?
  2. hallo
    deine gute firewall ist nur so gut wie ihre konfiguration!

    sollte sie gut konfiguriert sein hast du nur ports für http / https / und mail(pop / smtp / imap) offen.
    evt. noch ftp.

    die komunikation über diese ports kannst du nicht großartig verfeinern.

    um heraus zu bekommen was sonst noch durch deine firewall durchgeschleust werden soll soltest du in den logs sehen.

    zu einer guten firewall gehört aber auch eine viruswall.

    denn wenn ein trojaner oder ähnliches auf deinen clients ist und z.b über port 80 (http) kumuniziert wird diese aktion mit der client ip ausgeführt und das kann keine noch so gute firewall unterbinden.

    nurso

  3. Sup!

    Es duerfte einigermassen schwierig werden, "gute" Spyware sicher zu blockieren.

    Lokale Firewalls duerften nur ausgewaehlte Programme Netzwerkverbindungen oeffnen lassen; die lokalen Benutzer duerften diese lokale Firewall nicht ausschalten koennen und sollten am besten auch keine Administrator-Rechte haben, sonst installiert sich noch eine Spyware an der Firewall vorbei einen Zugang zum Netz.
    Die zentrale Firewall muesste versuchen, die Daten nochmal zu filtern... fast alle Ports sperren... ggf. DNS-Tunnel erkennen etc. pp..

    Gruesse,

    Bio

    --
    Ist es kalt hier, oder bin ich das?
  4. Moin!

    kann dann trotz guter, professioneller Firewall Informationen nach draussen dringen?

    Ja, immer.

    Wenn keinerlei Kommunikation nach draußen dringen darf, schneid das Netzwerkkabel durch.

    Wie kommunziereren denn Spyware-Programme? Über das htpp-Protokoll?

    Beispielsweise. Oder per DNS-Tunnel. Oder, oder, oder... Notfalls wird sozusagen "im Morsecode" über die Verfügbarkeit von Websites oder Webseiten Information übermittelt. 404 -> 0-Bit, 200 -> 1-Bit.

    Muss man die Clients(!) so gut konfigurieren / abschotten, dass sicher nichts nach draussen kommt oder kann eine Firewall diesen Sicherheitspart übernehmen.

    Das Problem ist: Du mußt im Prinzip jede Kommunikation ganz genau unter die Lupe nehmen und jede Abweichung vom definierten Soll verbieten. Dazu gehört also unter anderem die pessimistische Einstellung: "Alles ist verboten, solange es nicht erlaubt ist." Also zunächst mal keinerlei Kommunikation.

    Die Mitarbeiter wollen natürlich surfen. Also: Wohin wollen die surfen. Diese Seiten explizit freischalten im Proxy (natürlich nur, wenn man denen vertraut), alles andere ist geblockt. Natürlich logisch, dass der Inhalt der übermittelten Dateien geprüft wird und nur genehmigte Arten wie HTML, CSS, GIF, JPG, PNG, JS durchgelassen werden.

    Bei Mails gilt natürlich dasselbe. Der Mailserver checkt, welche Mails wohin gehen sollen, und natürlich, was in eingehenden Mails so drinsteht.

    DNS ist ein wichtiges Thema. Damit kann man wunderbar tunneln. Hat die c't mal ausprobiert: Eine kostenfreie Rufnummer mit Zugang zu einem begrenzten Netz (nur der Anbieterserver war erreichbar) lieferte aber echte DNS-Ergebnisse. Also wurde flugs eine Gegenstelle im Internet errichtet, welche Webseiten in DNS-Pakete verpackt. Hat wunderbar funktioniert, war sogar einigermaßen schnell.

    Nur wenn du wirklich jeden Datentransfer unters Mikroskop legst, kannst du sicher sein, dass nichts ungewollt nach draußen gelangt. Aber das ist mega-aufwendig und äußerst unkomfortabel für die Anwender.

    Nach draussen ins WWW sollen die Clients Zugang haben. Also, dass die Firewall alles abblockt macht keinen Sinn.

    Das ist genau das Problem. Deshalb: Sorge im internen Netz für vertrauenswürdige Clients. Wenn du den Clients nicht vertrauen kannst, also sozusagen außerhalb _und_ innerhalb der Firewall "wildes Internet" ist, dann kann man die Firewall auch gleich ganz weglassen.

    Allerdings: So ganz ultimativ vertrauen kann man den Clients natürlich nicht, regelmäßige Kontrolle und ggf. mehr als eine Firewall bieten sich an. Beispielsweise könnte man die internen Server in ein eigenes Netz stecken und nochmal abschotten mit restriktiveren Regeln (auf den Servern muß niemand surfen).

    - Sven Rautenberg

    --
    "Beim Stuff für's Web gibts kein Material, was sonst das Zeugs ist, aus dem die Sachen sind."
    (fastix®, 13. Oktober 2003, 02:26 Uhr -> </archiv/2003/10/60137/#m338340>)
  5. Hallo zusammen,

    kurzes Zwischenresumee:
    Ich möchte mich bei euch für die vielen guten Antworten bedanken. Ein wenig schlauer bin ich schon geworden.

    Ihr dürft natürlich mehr Meinungen zum Thema posten ;-)

    Nice day,

    Steve01