Christian E. Lysel wrote:
> Thomas Damgaard Nielsen wrote:
>
>>Webservere:
>>Der en udviklingsserver og nogle produktionsserver og en "content-server".
>>Content-serveren skal servere statisk indhold.
>>(billeder, xml feeds, osv.)
>>De andre servere skal tilbyde dynamisk indhold vha. ASP, PHP4,
>>.vbs-genereret indhold.
>
>
> Jeg ser dit dynamiske indhold som dit største problem.
Ja, helt sikkert.
>>>Hvilke trusler er et problem for dig?
>>
>>Hmm...
>>Vel de trusler som almindeligvis er forbundet med at have en maskine på
>>det farlige internet
>
>
> Det svarer ikke på mit spørgsmål.
OK?
Så er jeg ikke sikker på at jeg forstår helt hvad du spørger om.
Kan du prøve at spørge lidt mere specifikt så?
>>En anden væsentlig trussel er forskellige huller/bugs som jo jævntligt
>>bliver opdaget i softwaren. (IIS fx.)
>
>
> Der er ikke mange huller i IIS når du har hardnet den ordenligt!
Nej, men der kan (og vil) jo stadig komme nogle som man ikke lige har
opdaget endnu.
>>>Er der brug for at webserveren fx har en komponent der skal have adgang til
>>>en netværksresource, eller omvendt.
>>
>>Ja.
>>Der skal være adgang til nogle database servere (MSSQL og MySQL) og til
>>indholdsserveren.
>
>
> Hvor står disse resourcer i forhold til webserveren?
Lige nu på en offentlig IP.
Men de vil blive flyttet ind bag samme firewall, så de kommer på LAN med
webserverne.
> Er der adgang til disse resourcer fra Internet?
Ja, P.T.
Men det vil jeg gerne have lavet om
>>Jeg har personligt aldrig brugt disse slags software, men i virksomheden
>>jeg er ansat i, bliver de brugt flittigt.
>
>
> Har du spurgt hvorfor?
Ja.
Men får svar som at "vi tør ikke køre uden..." og den slags.
Jeg får ikke nogle argumenter for hvorfor det skulle være en hjælp.
Og mine argumenter for at lade være med at bruge udødigt software
preller af.
>>>Ja, desværrer har leverandørende typisk svært ved at dokumententere
>>>hvordan de har implementeret deres produkt....så det er svært
>>>at sige hvor nemt det er at omgåes.
>>
>>Ikke helt forstået?
>>Mener du det er svært at sige hvor sikre/usikre de er?
>
>
> Ja. Hvis en producent ikke kan finde ud af fortælle hvordan
> deres produkt er implemeneret ville jeg aldrig bruge det.
Hehe. Nej det kan der være noget om.
> Jeg er holdt op (for 6 år siden) med at stole på at
> producenterne ved bedst. Dog har jeg hos Novell oplevet
> at deres marketingsmatriale holder det som de lover.
>
OK.
> I mit sidste VPN projekt fandt jeg flere implementationsfejl,
> som først viste sig når man smider en pakkesniffer på.
>
> Det lader til det VPN projekt dør, for i øjeblikket venter vi
> på producenten tager sig sammen til at rette fejlene.
OK.
Tough luck
>>>Jeg ville fortrække en minimalistisk software installation, fremfor
>>>at installere en virus scanner/personlig firewall/hvad man nu kan finde
>>>på.
>>
>>OK.
>>(er nødt til at indrømme at det var det jeg gerne ville høre
>
>
> Hvis der et behov, kan det fx være hvis kunder skal kunne ligge filer
> op på serveren som andre skal kunne afvikle i fx word...her
> kan jeg da godt se berettigelsen for at have en scanner der kigger
> på filerne.
Jep, men det har vi ikke.
> Men ellers ikke...i dag er det trivielt at angribe en maskine, så
> hverken antivirus scannere og ad-aware scanner kan se angrebet.
> Til dette formål findes der mange root-kits.
Jep.
>>Her er folk meget glade for antivirus og den slags...
>
>
> Fordelen ved antivirus er jo at man "kun" skal lærer at trykke "next"
> i et software uden at fatte hvad det gør, eller ude at
> fatte hvad ens trusel er.
Uhh!
Det ville jeg ikke turde sige her!
(men tænker det dog tit
)
[...]
> Hvis serveren var hardnet var det aldrig sket.
> Hvis antivirus scanneren på brugerens maskine virkede, var det
> aldrig sket.
> Hvis supporteren ikke havde domain administrator passwordet, var det aldrig
> sket.
Nej, netop.
Men det er svært at forklare til folk her :(
> Alligevel var deres løsning at installere antivirus, og ikke ændre på de
> 3 ovenstående forhold.
Hehe.
Det er jo næsten sørgeligt sådan noget.
Men desværre nok meget typisk.
>>>>Det klarer den "gammeldags" firewall.
>>>
>>>Så du har en filter firewall, der kun giver dig adgang til ovennævnte
>>>services?
>>
>>Ja.
>>Dog glemte jeg godt nok at nævne et par services (såsom fjernadgang til
>>mssql databaseserveren), men princippet er vel det samme?
>
>
> Det ved jeg ikke, du har ikke fortalt nok om dit setup... kan ikke hjælpe
> dig på den baggrund.
Nej, men bevæger vi os ikke en smule ud af denne tråds topic efterhånden?
Det jeg ville med tråden, var egentlig at undersøge om det kunne betale
sig at få fat i en Personal Firewall til vores servere, og hvis ja, så
hvilke I kunne anbefale herinde.
Det ser ud til at svaret er, at det slet ikke kan anbefales at bruge
personal firewalls.
Tak for alle svarene.
Mvh
Thomas Damgaard