Internetzugang für (externe) Firmenlaptops erlauben?

Den Aussendienstlern den Zugriff aufs Internet zu verbieten ist sehr brutal und führt meiner Meinung nach zu unnötigen Leerläufen. Um die privaten Mails zu checken muss er entweder auf eine öffentliche Internetstation ausweichen oder einen privaten Notebook mitführen. Oder das surfen mit dem Mobiletelefon treibt die Verbindungskosten in die Höhe.
Wir haben uns entschlossen, die Anwender möglichst wenig einzuschränken und vertrauen auf einen guten Schutz des PCs vor Malware. Bei uns ist dies Norman Endpointprotection. Die Notebook werden falls am Firmennetz angeschlossen dort updated, kommt er eine Woche nicht in die Firma, erfolgt der Update übers Internet und das automatisch ohne Benutzerintervention. Allerdings konnten wir anlässlich eines Treffens die Aussendienstmitarbeiter über die Gefahren des Internets und den verantwortungsvollen Umgangs damit informieren. Auch steht der Verkaufleiter voll hinter der IT und hat gedroht, dass bei einem Befall der Mitarbeiter fü die Kosten aufkommen müsse. Doch seit wir dies vor 2 oder 3 Jahren eingeführt haben gab es (zum Glück) noch nie einen Zwischenfall der nicht durch Norman abgeblockt werden konnte.

hallo,

tip zum thema sicherheitsbedenken. wir setzten bei unseren kunden die vpn-verbinungen wünschen geräte der firma securepoint ein. super dinger. sind eigenständige "server" die unter anderem den datenverkehr kontrollieren, spam erkennen, vpn verbindungen ermöglichen und sichern. desweiteren kann man die aktivitäten der einzelnen vpn user kontrollieren. da alles protokoliert wird. einfach mal auf die firmenseite schauen ;)

mfg

Hi Wunschkind.

Du scheinst gedanklich vor lauter Wald die Bäume nciht mehr zu sehen, da du die richtige Lösung eigentlich schon beschrieben hast.
Ich bin selber verantwortlich für die IT Security in Deutschland bei unserer FIrma und sage dir einfach mal, wie die wohl passende Lösung für euch aussehen könnte/sollte:

Absolute No-GOs:

- freier Zugriff auf das Internet
- Admin Rechte für Benutzer auf dem Rechner

...ich gehe mal davon aus, das eure User keine lokalen Adminrechte besitzen und das eure Rechner Windows als OS installiert haben. Eine AD Umgebung wäre weiterhin von Vorteil, da mein Lösungsvorschlag die Einstellung von Gruppenrichtlinien beinhaltet.

1.) Konfiguration von Gruppenrichtlinien

Der Firmenproxy stellt euren zentralen Internetzugangspunkt dar und ist auch dementsprechend gesichert (ich gehe mal von einem IDS System aus, eventuell mehr). Kein Rechner der Firma darf ins Internet, ohne dieses Sicherheitssystem zu passieren. Dazu muss der Firmenproxy fest auf jedem Rechner eingetragen sein. Der beste Weg sind hier die GPOs. Selbst wenn der Proxy manuell geändert wird, überschreiben Sie die Einstellungen beim nächsten Reboot. Änderungen am Proxy sollte nur der IT erlaubt sein. Hat ein USer lokale Admin Rechte, bringen alle Einstellungen nichts.
Wenn ein User nun surfen will, MUSS er die Verbindung über VPN aufbauen.

2.) Konfiguration der Firewall

Eure Firewall muss gar nicht so hart eingestellt sein, wie sie es ist. Da die User eh nur noch über VPN und den Firmenproxy surfen können, muss die Firewall wie folgt konfiguriert werden:

- Erlaube allen Anwendungen/allen lokalen Ports den Aufbaue zu eurem VPN Gatewayüber die benötigten Remote Ports.
- Erlaube alle internen Netzwerke/Geräte (ob ihr das auf Basis einer Subnetzfreischaltung oder explizit für jeden Server und Dienst macht, müsst ihr wissen. Hat beides Vor- und Nachteile).
- Verbiete alles andere


Wie läuft der gesamte Weg nun ab?

Der User wählt sich über VPN in das Unternehmensnetzwerk ein, da er anders keine Verbindung aufbauen kann. Nun ist er im internen Netzwerk und wird dort zusätzlich von den Sicherheitssystemen geschützt, da der gesamte Internetverkehr nur noch über den Proxy läuft. Problem gelöst.


Einziges Manko, und dafür gibt es noch keine Lösung die nicht gleichzeitig ein Loch in die Sicherheitsinfrastruktur reißt:
Die Login-Seiten von WLAN Netzwerken sind nicht erreichbar. Ein Workaround wäre, die regelmäßig auf Achse gehenden Mitarbeiter (z.B. Außendienstler) eine UMTS Karte besorgen. Der Abruf von Emails, etc verbraucht nicht viel Bandbreite. Mit ca 20€ / Monat kann man heute als Firma schon einen Vertrag mit 5GB Inklusivvolumen bekommen und das hat von unseren MAs noch keiner geschafft. Für das Ausland gibt es auch entsprechende Tarife, die gebucht werden können. Um das ganze noch weiter zu vereinfachen, bzw. die Kosten gering zu halten: Beschaffung von zentralen UMTS Karte speziell für das Ausland, die dann bei Bedarf angefragt werden können.

Hier währ dann ein Virenscanner mit alternativer Updatequelle pratktisch.
Alternativ für Leute die fast nur untewegs sind. Ein Virenscanner der sich nur über's Internet aktualisiert

Moin,

also bei uns is das durchaus erlaubt. Hat den ganz einfachen Grund: Wenn die Leute unterwegs sind dann müssen die auch mal was nachgucken können - oder eben im Hotel auch mal einfach nur am Abend ne runde Surfen. Natürlich ist das sicherheitstechnisch nen Problem - aber man muss auch immer mal sehen das man mit Menschen umgeht. Und wer von euch würde gerne Abends in nem Fremden Land auf dem Zimmer sitzen und nur stupide an die Wand gucken? Rausgehen? Ggf. in einigen Ländern nich sooo gut wenn man da als normaler Europäer Abends allein durch die Gegend wandert... Fernsehen? Super - freie Auswahl zwischen 5 Russischen und 3 Rumänischen Sendern oder sowas. Und am besten ist dann auf dem Laptop (weil es ja nen Firmengerät ist) keine MP3 oder sonstwas.

Und hier kann ich dann verstehen wenn die Leute auch mal nen bisserl Surfen wollen - oder einfach nur per ICQ/Skype sich mit den Freunden unterhalten wollen. Hier verlasse ich mich dann darauf das der Virenscanner seinen Dienst tut - und das die Leute sich an die Vereinbarung halten das die eben trotzdem nichts runterladen u.ä... Und bis heute bin ich da nicht wirklich enttäuscht worden. Und solange denke ich das ich mit dem Weg ganz gut leben kann - ist zwar technisch nicht so sicher aber die Leute sind dafür zufriedener wenn die Unterwegs sind...

Und zum Schluss: Ich bin auch als Admin selbst viel unterwegs. Dabei kommt es auch mal vor das ich 3-x Tage irgendwo in nem Hotel rumhänge - und dabei nehme ich mein Laptop ebenfalls um damit zu surfen usw. Hier würde ich jedem Admin auch mal empfehlen unter seinem "Es muss alles sicher sein"-Hut hervorzugucken und zu überlegen wie er sich fühlen würde wenn er irgendwo ne Woche in nem Hotel rumhängt - in einem Land indem er nicht mal die Schrift lesen kann (sei es russisch, arabisch oder wat auch immer). Und wer mir jetzt sagt das er als Admin nicht auch den Rechner privat nutzt der lügt entweder oder der hat meinen Respekt. ICH möchte jedoch nicht schon abends um 7 schlafen gehen nur weil man nicht wirklich was anderes im Hotel machen kann..

Hi.
Best Practice? Das hängt doch rein vom Schutzbedarf ab,
Es gibt Laptops, die bekommen 2 Betriebssysteme, die voneinander nichts wissen oder Kapselung mit virtuellen Maschinen oder auch Laptops die nach jedem Gang außer Haus per Image betankt werden. Es gibt Hardware-VPN zur Firma, es gibt harte software restriction policies usw. - alles mit Unmengen von Aufwand verbunden. Die ganz Harten lassen natürlich Firmenrechner gar nicht ans Internet - auch die internen nicht, und wenn dann nur per Remoteverbindung und da nur auf gewisse Seiten.

Macht Euch einen Plan, welchen Komfort Ihr erhalten wollt und was Ihr dabei auf's Spiel setzt. Welches Risiko besteht realistisch betrachtet, welche Kosten und Mühen rechtfertigt das?
Nur Du kennst Eure Daten und Eure Benutzermanieren. Wir sind da eher Hardliner, aber mir ist durchaus bewusst, dass ernstzunehmende Sicherheit immer eine Gratwanderung in der Nähe der Unbenutzbarkeit sein wird.

Etwas was ich für jeden für einfach umsetzbar halte und was deshalb ein Grundstein sein muss:
-keine Adminrechte (evtl. auch Schutz gegen Boot-CDs durch Vollverschlüsselung oder Syskey)
-Up-to-date
-Browser evtl. gesandboxt (z.B. IE7/8 im protected mode [nur] unter Vista oder W7, evtl. noch verschärft ohne jeglichen Lesezugriff auf Datenverzeichnisse - Stichwort Integrity levels, no-read-up) - eine schöne Maßnahme, leider nicht für xp.
-(Auto-)Startverzeichnisse u.Ä. verrammeln (kafu.exe von Heise automatisiert das)

Da wird es dann schon sehr eng für die Experten, die allein durch Ihre Surfgewohnheiten schon glänzen, hier die Seuche einzuschleppen. Selbst dann, wenn sie bewusst böse Executables runterladen und munter ausführen, passiert meist gar nichts, da diese unter den Randbedingungen nicht anständig laufen und spätestens beim Neustart Geschichte sind.
Einen Virenscanner würde ich als kleinste unter den Maßnahmen sehen, eine Software restriction policy (mit Whitelist) als die wirkungsvollste, aber auch die anstrengendste.

Hi.
Zum Image: Du hast mich recht verstanden. Aber wir machen das nicht so, es ist eine Extremmaßnahme, die denkbar ist.
Zu VMs: Nimm doch eine kleine Linux-VM zum Browsen mit an Bord - zieht wenig Ressourcen und ist schonmal recht sicher. Gibt's vorgefertigt und natürlich kostenfrei hier: http://www.vmware.com/appliances/directory/80
Zitat: