Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Welche Anbieter, Geräte und Programme gelten als sicher?

Mitglied: NordicMike

NordicMike (Level 2) - Jetzt verbinden

15.10.2019 um 08:52 Uhr, 1252 Aufrufe, 17 Kommentare

Moin zusammen,

wenn man sich die vielen Sicherheitslösungungen ansieht, erkenn man nicht, auf was man sich einlassen würde. Man muss ihnen „vertrauen“.

Firmen, wie Hornet Security, selbst Spacenet wirbt mit Sicherheit, Aplliances und Linux haben auch nicht wenige Sicherheitslücken, Windows ist sogar eine einzige Sicherheitslücke, angeblich immer besser. Pfsense, Opnsense, ich weiß nicht einmal wo ich suchen müsste...

Wenn man sich dann im Netz nach einer bestimmten Lösung umhört, sind deren Antworten schon mehr eine Glaubensfrage.

Ein Firewall Projekt warb mal: Mit xxxxx Installationen bis heute ungeknackt. Das war der einzige Satz mit einer konkreten Information, wenn man ihr glauben darf, zumindest findet man auch da kein Veto.

Gibt es so eine Art Ansammlung von Vorfällen, wo mal was passiert ist? Wo recherchiert ihr nach solchen Themen?

Danke Euch in Voraus and keep rockin

Der Mike
Mitglied: brammer
15.10.2019 um 09:03 Uhr
Hallo,

100 % Sicherheit gibt es nicht.

Es gibt mehrere Hersteller die mit Slogans "wir wurde novh nie gehackt" werben... Naja, entweder wissen sie es nicht oder die sind so selten das es noch keiner versucht hat.

Wenn dir Sicherheit wichtig ist dann wirst du um ein mehrstufiges Security Konzept nicht herum kommen.

Quellen zu Sicherheitsproblemen gibt es tausende ... aber wie Seriös die nun wieder sind...

Mann kann z.B. über Flexera all möglichen Sicherheitsmeldungen beobachten...

brammer
Bitte warten ..
Mitglied: certifiedit.net
15.10.2019, aktualisiert um 09:06 Uhr
Guten Morgen Mike,

grundsätzlich ist es doch immer eine Glaubensfrage, selbst wenn du ein Haus baust und einen Baudienstleister erfragst findest du mit einer gewissen Sicherheit immer einen, bei dem was schief lief. Das muss nichtmal am Baudienstleister liegen, sondern kann bspw auch an schlechter Kommunikation, zeitlichen Interferenzen, oder nicht geäußerter Vorstellungen (oder, man wusste selbst noch nicht, was man wollte) liegen.

Grundsätzlich ist es bei IT-Sicherheitsfragen noch komplexer, da man diese auch korrekt einrichten muss, wobei korrekt nicht immer dem Statement des Anbieters entsprechen muss und zu dem natürlich auch dem Betriebszweck.

Daher wirst du aus oben genanntem Statement (Sicherheitslücke vs Sicherheitslücke sehe ich keinen Unterschied zwischen Windows und Linux als Grundsystem - an beidem arbeiten Menschen und an beidem arbeiten Entwickler von Microsoft) keinen sinnvollen Schluss ziehen können. Das Open an der Source hat sich durch Dinge wie Heartbleed als Trugschluss und ggf. sogar Fanal entwickelt, das macht Windows nicht besser, aber lässt es auch relativ gesehen nicht schlechter dastehen.

Wichtiger ist die Kombination aus eigenem (auch: eingekauften) Wissen und der passenden Software. Ich habe bereits einige Kunden in div. Konstellationen gesehen, in denen klar ersichtlich war, dass diese nur verkaufen, aber nichts korrekt einrichten konnten. Das Faktum war dann eine Firewall mit einem Any-Any nach aussen. Da kannst du eine dreifache Firewallkaskade aufbauen, es hilft nichts. Ebenfalls hatte ich schon Kunden (Systemhäuser) bedient, die sich zwar sicher waren, was diese dem Kunden verkaufen wollten, aber gefühlt noch nie mehr als das Loginpanel bedient haben.

Um hiermit abzuschließen, wenn du die Ansammlung der Vorfälle suchst, findest du sicher eine ganze Menge, bringt dir aber nichts, weil IT-Sec immer Anbieter + Einrichtung ist. Natürlich gibt es auch schlechte Anbieter von Security-Lösungen, aber ich denke, die sortierst du schon aus.

Unser Ansatz bei der Bewertung ist daher: Anzahl der kritischen Bugs, Allgemeingültigkeit (siehe Heartbleed, darauf saß dann jede Linuxfirewall auf) und Geschwindigkeit der Behebung in Relation zum Markt.

Viele Grüße,

Christian
certifiedit.net
Bitte warten ..
Mitglied: Lochkartenstanzer
15.10.2019, aktualisiert um 09:28 Uhr
Moin,

Jeder und keiner.

Sicherheit erhält man nicht indem man sich einfach eine Box kauft und hinstellt. Genauso könntest Du fragen, welche Haustür ist sicher.

Sicherheit ist ein Prozeß, in dem die möglichen Risiken, Angriffe, Verluste und Gegenmaßnahmen gegeneinander abgewogen werden müssen und dann ein Kompromiss gefunden werden muß, das die Verluste minimiert.

Es ist nicht sinnvoll eine Hochsicherheitstür an eine Holzbaracke zu schrauben, genauso wie eine Saloonschwenktür am Safe sinnvoll ist.

Also: Definiere gegen was Du Dich absichern willst, welche Werte abgesichert werden sollen und dann kann man über die Werkzeuge reden, die dafür geeignet sind


lks
Bitte warten ..
Mitglied: NordicMike
15.10.2019 um 09:47 Uhr
Ich bin ganz Eurer Meinung. Mein Anliegen ist, weil ich solche Sicherheitsmeldungen bisher immer per Zufall mitbekommen habe z.B. ein Bericht einer Zeitschrift. Bei meiner letzten Recherche über Opnsense habe ich rein gar nichts gefunden, was nicht unbedingt ein Zeichen dafür sein sollte, dass gar nichts passiert ist. Ab und zu fallen dann Namen und Vorfälle, nach denen man dann weiter suchen könnte.

Es gibt bei Heise und bei Trend Micro einen Bereich mit lauter Sicherheitsmeldungen, die bringen jedoch nichts, wenn man sich ein Bild über eine bestimmte Dienstleistung oder ein Produkt informieren möchte.
Bitte warten ..
Mitglied: NordicMike
15.10.2019 um 10:04 Uhr
@lks
Aktuell heißt die Definition:

Ich möchte meinem Boss vorschlagen eine zusätzliche Sicherheit vor dem (zum Test installierten) Exchange Server hinzubauen. Mein Boss: modSecurity, fertig. Ich: Sophos WAF ist sicherer. Boss: Dafür jährlich 1500 Euro auszugeben steht in keiner Relation zur Wahrscheinlichkeit, dass etwas passiert. Es wird um 50 Clients gehen.

Das ist natürlich eine Abwägungssache. Ich weiß auch, dass mit modSecurity niemand diese Funktion die nächsten 10 Jahre pflegen wird, außer mal mit einem apt-get upgrade. Ich kann aber auch nicht argumentieren, dass das Risiko mit dem oder anderem Produkt höher oder niedriger ist, was wieder auf eine Glaubenssache hinaus läuft. Sehr esoterisch das ganze Thema
Bitte warten ..
Mitglied: NordicMike
15.10.2019 um 10:30 Uhr
Hallo brammer

danke dafür. Ich habe mal auf flexera.de geklickt. Da ist aber rein gar nichts in die Richtung zu sehen, oder ich sehe den Wald vor lauter Bäumen nicht. Kannst Du mir da ein Beispiel geben?
Bitte warten ..
Mitglied: Lochkartenstanzer
15.10.2019 um 11:20 Uhr
Zitat von NordicMike:

@lks
Aktuell heißt die Definition:

Ich möchte meinem Boss vorschlagen eine zusätzliche Sicherheit vor dem (zum Test installierten) Exchange Server hinzubauen. Mein Boss: modSecurity, fertig. Ich: Sophos WAF ist sicherer. Boss: Dafür jährlich 1500 Euro auszugeben steht in keiner Relation zur Wahrscheinlichkeit, dass etwas passiert. Es wird um 50 Clients gehen.

  • Greift ihr von "außerhalb" zu oder von innen?
  • VPN oder "direkt aus Internet"?
  • steht der Exhange in eurer DMZ oder beim Hoster?
usw.

ImeEndeffekt will ejder von euch einfach eine Box hinstellen, ohne daß klar ist, was genau erreicht werden soll und wogegen Ihr euch schützen wollt.


Das ist natürlich eine Abwägungssache. Ich weiß auch, dass mit modSecurity niemand diese Funktion die nächsten 10 Jahre pflegen wird, außer mal mit einem apt-get upgrade.

Dafür gibt es die crontab.

Ich kann aber auch nicht argumentieren, dass das Risiko mit dem oder anderem Produkt höher oder niedriger ist, was wieder auf eine Glaubenssache hinaus läuft. Sehr esoterisch das ganze Thema

Sicherheit ist immer esoterisch.

Fragt euch, was kann ein Angreifer anstellen, wenn Ihr die Kiste nicht davor habt. Müßt Ihr euch gegen eigenen Mitarbeiter schützen oder nur gegen externe? Was kostet es Euch, wenn jand den Exchange übernimmt?

ggf. kann ein hosted-Exchange "billiger" sein, wenn der Hoster für die Sicherheit sorgt.

Im Endeffekt gelten nur 2 Regeln:

1. Boss hat immer recht.
2. Fall Boss mal falsch liegt, gilt automatisch Regel 1.

lks
Bitte warten ..
Mitglied: NordicMike
15.10.2019 um 11:34 Uhr
Was ich meine:

Man möchte aktuell bleiben. Nicht nur zufällig etwas aufschnappen, sondern entgegengesetzt dem Motto: Wenn man das rudern aufhört, treibt man zurück. Ein gewisses Know How gehört einfach ins Haus. Deshalb meine Frage wo Ihr Euch solche Infos her holt.
Bitte warten ..
Mitglied: StefanKittel
15.10.2019 um 12:23 Uhr
Zitat von NordicMike:
Mein Boss: modSecurity, fertig
Mail mit Emotet und fertig
https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/A ...
Bitte warten ..
Mitglied: Lochkartenstanzer
15.10.2019 um 12:40 Uhr
Zitat von StefanKittel:

Zitat von NordicMike:
Mein Boss: modSecurity, fertig
Mail mit Emotet und fertig
https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/A ...

Dagegen hift weder WAF ode midSecurity. Das sin "nut" http-reverse proxies.

Da braucht mur einer likal in Outliok seine Mails abzurufen. und schon "is es put."

lks
Bitte warten ..
Mitglied: certifiedit.net
15.10.2019 um 12:54 Uhr
Zitat von NordicMike:

@lks
Aktuell heißt die Definition:

Ich möchte meinem Boss vorschlagen eine zusätzliche Sicherheit vor dem (zum Test installierten) Exchange Server hinzubauen. Mein Boss: modSecurity, fertig. Ich: Sophos WAF ist sicherer. Boss: Dafür jährlich 1500 Euro auszugeben steht in keiner Relation zur Wahrscheinlichkeit, dass etwas passiert. Es wird um 50 Clients gehen.

Das ist natürlich eine Abwägungssache. Ich weiß auch, dass mit modSecurity niemand diese Funktion die nächsten 10 Jahre pflegen wird, außer mal mit einem apt-get upgrade. Ich kann aber auch nicht argumentieren, dass das Risiko mit dem oder anderem Produkt höher oder niedriger ist, was wieder auf eine Glaubenssache hinaus läuft. Sehr esoterisch das ganze Thema

@Boss: Preis < oder > Aufwand bei Eintritt * Eintrittswahrscheinlichkeit.

Thyssen (glaub ich) macht gerade drei Fertigungen in den USA für gut einen Monat dicht und verliert damit jede Woche 2-5 Millionen. Preis für ordentliche IT-Sicherheit? - Selbst bei einer Mio an Aufwand: Günstig. (Das sind nur die bezifferbaren kosten durch den Ausfall, den Wiederaufbau der Infrastruktur dürfte ungeplant auch nochmals einiges kosten.).

Die Sophos aber nur per Exchange zu Verargumentieren ist aber etwas ehrabschneidend. ;)

und @LKS: Hosted Exchange kann, wenn der Anbieter nicht oder nur scheinbar auf die Sicherheit schaut auch wesentlich teurer sein...und wenn man dann raus will...
Bitte warten ..
Mitglied: brammer
15.10.2019 um 12:56 Uhr
Zitat von certifiedit.net:

Zitat von NordicMike:


Thyssen (glaub ich) macht gerade drei Fertigungen in den USA für gut einen Monat dicht und verliert damit jede Woche 2-5 Millionen. Preis für ordentliche IT-Sicherheit? - Selbst bei einer Mio an Aufwand: Günstig. (Das sind nur die bezifferbaren kosten durch den Ausfall, den Wiederaufbau der Infrastruktur dürfte ungeplant auch nochmals einiges kosten.).

Nicht Thyssen... es war Rheinmetall...
https://www.heise.de/newsticker/meldung/Malware-legt-Rheinmetall-Produkt ...

brammer
Bitte warten ..
Mitglied: certifiedit.net
15.10.2019 um 13:04 Uhr
Der eine macht Rohre, der andere macht Rohre. Wat solls. Fakt: Große Firma, die eigentlich mit Sicherheit umgehen sollte, weil Sie selber an Angriff & Verteidigung basteln...
Bitte warten ..
Mitglied: C.R.S.
15.10.2019 um 17:47 Uhr
Zitat von NordicMike:

@lks
Aktuell heißt die Definition:

Ich möchte meinem Boss vorschlagen eine zusätzliche Sicherheit vor dem (zum Test installierten) Exchange Server hinzubauen. Mein Boss: modSecurity, fertig. Ich: Sophos WAF ist sicherer.

Hallo,

Aussagen wie "Sophos WAF ist sicherer" können doch auch kaum jemanden überzeugen, oder? Jedenfalls nicht für sich genommen. Dazu müsste man die relevanten Aspekte ausführen, etwa dass Sophos WAF auf modSecurity basiert, aber laut Sophos irgendwie "gehärtet" sein soll, was auch immer das bedeutet. Außerdem ist die Administrierbarkeit vielleicht besser bei einer kommerziell gepflegten Lösung mit GUI etc. Entscheidend bei einer WAF ist aber der Regelsatz. Gibt es da was von Sophos mit dazu? Wenn nicht, fährt man nicht besser mit freier Software und investiert in einen kommerziellen Rule-Feed? Aber sind die kommerziellen Feeds tatsächlich besser als die freien? Auch dazu findet man sicher Abdeckungsstatistiken.
So würde ungefähr eine qualifizierte Diskussion über die konzeptionelle Sicherheit bzw. den Nutzen der Produkte aussehen, und im Idealfall kommt das alles in deinen Evaluierungsbericht (in einem Umfeld, wo noch Zeit für sowas bleibt).

Wenn Du die Lösung dann gefunden hast, musst Du nochmals einen Schritt zurück gehen und eine sichere Implementierung planen. Sowohl mit Sophos als auch mit anderen Lösungen hast Du ja immer eine ganze Appliance, die unterschiedlichste Software vereint. Da kannst Du zu jeder enthaltenen Einzelkomponente in Vulnerability-Datenbanken recherchieren, um einen ersten Eindruck zu gewinnen. Eine Recherche nach "Sophos WAF" führt da eher nicht weiter. Auch OPN/pfSense sind ja Bündel von Software. Die Art der Vulnerabilies spielt natürlich auch eine Rolle.
Ein Kunde z.B. möchte von mir, dass auf jedem unserer Linux-Server Anti-Virus läuft, und schlägt ClamAV vor. Wird nicht passieren, der Grund ist u.a. die Vulnerability-Historie.

Nun ist schon so eine erste Recherche äußerst mühsam und vor allem lässt sie sich nicht über die ganze Betriebsdauer der zahlreichen Produkte im Unternehmen aufrecht erhalten. Deine Frage zielt daher im Ergebnis auf ein Vulnerability-Management ab, das man mit einer entsprechenden Scanning-Lösung automatisiert. D.h. du hast einen Scanner, der im Netzwerk Dienste und Software erfasst und mit einem Vulnerability-Feed abgleicht. Da gibt es Nessus, OpenVAS, Qualys und viele andere. Es stellen sich die gleichen Fragen wie oben: Welche Abdeckung habe ich mit den jeweiligen Feeds, also wie viel der Nessus-Vulnerability-Informationen bekomme ich z.B. mit OpenVAS für lau, womit kommen die Admins besser klar (d.h. beseitigen Schwachstellen in kürzerer Zeit) etc.

Grüße
Richard
Bitte warten ..
Mitglied: hushpuppies
21.10.2019 um 15:03 Uhr
Was bisher noch gar nicht gefragt wurde (oder ich habe es leider überlesen) - was macht ihr denn bisher Firewall-technisch?
Das liest sich oben so, als ob die Frage jetzt erst mit dem Exchange-Test aufgetaucht wäre und ihr bisher noch gar nichts habt?
Bitte warten ..
Ähnliche Inhalte
Drucker und Scanner

Druckdialog öffnet sich nicht, Programm friert ein

Frage von plittiDrucker und Scanner5 Kommentare

Hallo zusammen, Ein User bei uns hat das Problem das wenn er auf Datei -> Drucken klickt, egal welches ...

Multimedia

Diashow Programm

gelöst Frage von 77282Multimedia6 Kommentare

Hallo, ich suche eine Software zum Diashow erstellen. Möchte gerne Videoclips und Bilder hinzufügen können und das Ganze mit ...

E-Mail

PDF drucken - Passwort eingeben - Email Programm öffnet sich mit verschlüsseltem PDF

gelöst Frage von alex1984E-Mail8 Kommentare

Hallo, hoffe es hatte schon wer das Problem und gibt mir einen Tipp. Suche für einen Kunden folgende Lösung: ...

Windows 7

Programm schließt sich automatisch. Evtl. Probleme mit Registry-Handles? - User Profile Service

gelöst Frage von CortaXWindows 71 Kommentar

Hallo Leute, seit einiger Zeit habe ich ein Problem mit einer kleinen Software, welche sich automatisch schließt. Die Software ...

Neue Wissensbeiträge
Humor (lol)
Das IoT wird schlimmer
Erfahrungsbericht von Henere vor 8 StundenHumor (lol)

Nun auch schon über den WSUS:

Sicherheit

Win10 1809 und höher erlauben nun das Sperren und Whitelisten von bestimmten Geräten

Tipp von DerWoWusste vor 18 StundenSicherheit1 Kommentar

Vor 1809 konnten nur Geräteklassen gesperrt werden, nun können endlich einzelne Device instance IDs gewhitelistet werden (oder andersherum: gesperrt ...

Windows 10

Hands-On: What is new in the Windows 10 November 2019 Update?

Information von DerWoWusste vor 1 TagWindows 10

Die wenigen (aber zum Teil interessanten) Neuheiten werden in diesem Video sehr schnell erklärt und vorgeführt.

Grafik

Gute Spiele aus der Ubuntu Repository: SuperTuxKart

Information von NetzwerkDude vor 1 TagGrafik1 Kommentar

Fall jemand die Firmenpolicy hat das man Linux Software nur aus dem default Repository installieren kann: Ich habe festgestellt ...

Heiß diskutierte Inhalte
Ubuntu
Ubuntu-Putty hilfe
Frage von Nickolas.GroheUbuntu38 Kommentare

Hallo Wie ändere ich einen ssh Port auf Linux Ubuntu? LG Nickolas

Netzwerke
VPN auf Firmennetzwerk (Festplatten, Computer) einrichten, aber wie?
Frage von 81083Netzwerke34 Kommentare

Hallo, es ist ein Bisschen frustrierend. Wir haben einen 2012 R2 Server, eine Fritzbox und etwa 10-12 PC die ...

Windows 7
Festplatte in einen anderen PC umziehen lassen
Frage von Ghost108Windows 728 Kommentare

Hallo zusammen, ich bekomme die nächsten Tage einen neuen PC (komplett andere Hardware als in meinem jetzigen) Was für ...

Windows Server
AD, Sysprep, Clone, SID . oh weh
Frage von heifumaWindows Server23 Kommentare

Moin, ich versuche es so kurz wie möglich zu halten: Ist-Zustand: - IT Dienstleister hat Monopol für die bei ...