Internetverkehr in der Firma prüfen vor sperren

Hallo,

Wie diú selbst so schön sagtest: Proxy auswerten.

Was soll der dann noch können? Ansonsten Squid?

Transparenter Proxy = keiner kann den umgehen sofern das Gateway nicht geändert wird / werden kann = Proxy = Gateway = keine Einstellungen an irgendeinem Client.

Liefert der Proxy gleich mit oder nimmst freie Tools dazu. z.B. Sophos UTM (macht mehr als nur Proxy)

Gruß,
Peter

Nimm einen ausrangierten PC und installiere dir einen Squid Proxy darauf. Das ist der weitverbreiteste und bekannteste Proxy mit den meisten Features und er ist zudem noch kostenfrei !
Der macht genau das was du willst !
http://www.squid-handbuch.de/hb/
bzw.
http://blog.proesdorf.de/2010/06/29/squid-proxy-konfigurieren.html
http://www.linuxfocus.org/Deutsch/March2002/article235.shtml
usw. usw.

Hallo Bürger ,

Das ist nicht zu Ende gedacht. Zuerst würde ich mit Geschäftsleitung und Betriebsrat mal vorfühlen, was (firmen)-politisch überhaupt gewollt ist.

Danach gilt es, zwei grundsätzliche, bindende Vereinbarungen zu den Themen:

- private Nutzung Internet
- private Nutzung E-Mail

zu treffen.

Erst danach kann man das, z. B. für die Mittagspause, per Zusatzvereinbarung, wieder aufweichen. Private Mail-Nutzung ist ohnehin schwer zu verbieten, Mail-Adressen, die erstmal in der Welt sind, sind ab dem Augenblick öffentlich bekannt, und der Mitarbeiter kann nicht verhindern, daß ihm ein Freund oder jemand aus der Familie etwas privat zusendet. Darüberhinaus hat die IT als Betreiber eines Mailservers ohnehin die Pflicht, Mails zuzustellen, selbst die automatische SPAM-Löschung ist problematisch, immerhin könnte es sein, daß jemand tatsächlich eine "echte" Rolex bestellen will. Der Postbriefträger darf ja die Werbung, die an Dich adressiert ist, auch nicht einfach so wegwerfen.


Richtig.



O.K., tut aber eigentlich nichts zur Sache.

Bei ebay einen "gebrauchten" ISA2006 schießen. Hat noch ein paar Jahre Support und müßte günstig zu kriegen sein.


Für alle Versionen des IE gibt's fertige Original-adm-Templates von Microsoft, die auch offiziell von Microsoft supportet sind, mit deren Hilfe sich eine GPO bauen läßt, die verhindert, daß der User die LAN-Einstellungen (und damit auch die Proxy-Einstellungen) im IE verändert.

Für Chrome gibt's solche Templates auch (von Google) diese sind aber verständlicherweise nicht von Microsoft offiziell supportet, bewirken aber das Gleiche, der User kann die Proxyeinstellungen nicht verändern.

Für Firefox gibt's nur von Privatleuten selbstgebastelte ADMs für diesen Zweck. Die sind dann aber aus Microsoft-Sicht wirklich Null supportet.


Mit Hilfe der GPOs kannst Du natürlich auch die Proxyeinstellungen überhaupt erst setzen, damit Du dafür nicht jeden Rechner einzeln aufsuchen mußt.


Jede Proxy-Lösung hat eine Reporting-Funktion. Wie "schön" grafisch die dann ist, unterscheidet sich von Fall zu Fall.


Servus.

Hallo,

auf jedenFall berücksichtigen, solange es keine Betriebsvereinbarung oder schriftliche Vorgaben gibt und privates Surfen länbger geduldet war / ist begebt ihr euch auf ganz dünnes Eis.

http://www.kanzlei.de/rechtsgebiete/datenschutz-und-datensicherheit/lib ...

brammer

Hallo,

Proxy ist eine Lösung. Besser ist aber aus meiner Sicht eine zentrale Firewall (als Hardware-Lösung zB von SonicWall, Juniper). Dort kannst Du neben den üblichen Firewall-Funktionen auch den Internet-Verkehr der User regel/einschränken. Der Vorteil einer solchen Lösung ist, dass Du Dich nicht um die Sicherheit des Betriebssystems (Firmware) kümmern mußt (außer natürlich die Firmware-Updates). Bei einer "Eigenbau-Lösung" auf Linux-Basis (welche hier natürlich gleich angeboten werden) mußt Du Dich gut in Linux auskennen, um das Betriebssystem zu "härten".

Wenn Du zB. eine Firewall von SonicWall nutzt (habe ich im Einsatz), wird sie praktisch wie ein Internet-Gateway-Router in die Kommunikation zwischen geschaltet. Damit läuft der gesamte Datenverkehr ins Internet über diese Firewall und keiner kann die Regeln umgehen.

Über die Log-Dateien hast Du natürlich einen vollständigen Überblick über den Datenverkehr. Die grafische Auswertung über die Management-Oberfläche bietet auch umfangreiche Möglichkeiten.

Noch ein Hinweis: Wenn es in eurem Unternehmen keine Regeln zur privaten Nutzung des Internets gibt, darfs Du nicht so ohne weiteres die Kommunikation personenbezogen auswerten! Datenschutz! Und laut Rechtssprechung sind IP-Adressen auch personengebundene Daten.

Jürgen

Hallo,
Das muss aber auch jeder selber entscheiden, nur wenn sich nicht daran gehalten wir ist es eben auch wieder nichts halbes und
nichts ganzes, denn dann fängt man immer wieder von vorne an, icvh würde eine klare Linie immer bevorzugen damit jeder Mitarbeiter
weiß woran er ist und jeder Gruppen- und Abteilungsleiter auch weiß was und wann es verboten ist, das gibt sonst immer nur Streit.
Also entweder mit WireShark und einem sehr potenten Server, den man mit oder über einen Monitor Port (Mirrored Port] am Switch
"füttert", aber man sollte das auch immer mit dem Betriebsrat vorher absprechen um Ärger zu vermeiden.
Hört sich gut an aber in der Praxis ist das eben auch sehr schwer einzuhalten für die Mitarbeiter.
Jo sehe ich auch so und damit das dann auch so bleibt, am besten mittels eines WLAN was
nur Kontakt zum Internet hat und mit den privaten Smartphones der Mitarbeiter, die können sie sich dann verseuchen und infizieren.
Bestimmt sogar noch mehr Firmen.

Ja ist eine Möglichkeit.
ok.
Squid + Squid Guard + DansGuardian
Dann ist da aber etwas ganz anderes bei Euch falsch! Denn solche Änderungen der Einstellungen kann und sollte man
via GPOs unterbinden
Mit GPOs?
PRTG im allgemeinen und mit MRT auf einem Linux Server auf dem Squid + Squid Guard installiert sind.

Gruß
Dobby

P.S.
Eine kleine Frage noch, bist Du der Administrator des Netzwerkes in Eurer Firma?

DAS habe ich mich auch gefragt, als ich das Eingangsposting las. Kam mir so vor, als soll jemand ein Problem in die Hand nehmen, das er selbst kaum versteht. Weder die rechtliche, noch die technische Dimension.

Schließe mich der Frage an.

Moin,

squid mit sarg gibt einem schöne Statistiken. Allerdings kommt man da leicht in rechtliche probleme, wenn man die protokollierung und Auswertung falsch macht.

lks

Hallo,

Firewall und Proxy Lösungen sind leider sehr oft für Linux ausgelegt und mit einem Web Interface ala pfSense (wobei das dann eigentlich kein Linux sondern ein BSD ist aber egal) solltest du keine Probleme bekommen.

Microsoft Forefront TMG 2010

Es wurde nur darauf aufmerksam gemacht das du Privat dafür Haftbar gemacht werden kannst, wenn du zuviele Daten ausliest, aufzeichnest und auswertest.
Das ist leider der tägliche Alltag und man sollte sich vor solchen Aktionen immer absichern das man sich nicht strafbar macht - ich kenn Firmen in welchen die IT-Abteilung einen eigenen Anwalt für solche Beratungen hat.

Gruß

Hallo.

Ein sicherheitskritisches System - und dazu gehört auch ein Proxy - sollte nur auf einem "absolut" sicheren und "dichten" Betriebssystem laufen! Dazu sind die Funktionen (Dienste) im Betriebssystem auf ein absolutes Minimum zu reduzieren: Was nicht da ist, kann auch nicht kompromitiert werden und im negativen Sinne ausgenutzt werden. Man spricht in diesem Zusammenhang von "Härten" des Betriebssystems. Für Linux gibt es eine Reihe solcher Distributionen, die dann die Grundlage für Firewall- und Proxy-Systeme bilden (siehe obige Beiträge). Wenn Du kein solches System einsetzt, ist es so, als ob Du bei einer 2-flügligen Tür eine Hälfte durch eine "Panzer-" Tür ersetzt und die andere Tür beibehälst. Du kannst Dir sicher ausmalen, wieviele Mitarbeiter sich von der Panzertür aufhalten lassen, wenn daneben ein einfacher Durchgang ist. Und wie man da durch kommt ist im Zweifelsfall ganz schnell unter den Mitarbeitern "rum".

Für Windows ist mir keine solche "gehärtete" Version bekannt (Es gibt zwar den KIOSK-Mode, aber der ist hierfür ungeeignet.). In sofern schließt sich ein Windows-System für einen Proxy aus!

Wenn Du keine Linux-Lösung willst (was ich nachvollziehen kann und die Entscheidung in Eurer Situation ist richtig), dann solltest Du doch über eine Hardware-Lösung nachdenken. Also eine Firewall-/Proxy- Appliance. Die basieren in der Regel auch auf einer gehärteten Linux-Version, aber sie haben eine eigenständige Konfigurationsoberfläche, die nur die Firewall-/Proxy-Parameter bereitstellt. Man braucht also keine Linux-Kenntnisse.

Zu der rechtlichen Problematik: Du bist "Fachmann" und damit setzt man voraus, dass Du auch die rechtlichen Belange Deiner Tätigkeit kennst und einschätzen kannst. Du bist p e r s ö n l i c h für Dein Handeln verantwortlich und haftbar. Auch und gerade wenn ein Vorgesetzter von Dir eine rechtswidrige Handlung verlangt. Kein Gericht in Deutschland läßt hier einen "Befehlsnotstand" gelten. Im Gegenteil! Wenn Du Dich dagegen weigerst, auf Anweisung eine rechtswidrige Handlung auszuführen, entscheidet jedes Arbeitsgericht bei einer darauf fußenden Kündigung zu Deinen Gunsten.

Viele von uns hier im Forum sind auch "Fachleute" mit entsprechender fachlicher Ausbildung. Wir sind gesetzlich und auch durch unsere "Berufsehre" verpflichtet, auch die rechtlichen Aspekte bei der Beantwortung von Fragen zu berücksichtigen. Wenn wir das nicht tun würden, machten wir uns strafbar.

Jürgen

Hi Rene,

Schau dir Monowall oder pfsense and. Das sind beides Linux-Distributionen welche für den Einsatz als Firewall konzipiert sind. Beide schick über Webinterfaces zu konfigurieren.

mfg

Cthluhu

.@Ctluhu
Falsch !
Kosmetische Korrektur: Beide Versionen basieren auf FreeBSD Unix !! Nix Linux !
Der Rest stimmt aber

Was deine ISO Images anbetrifft: Ja, natürlich gibt es sowas ! Siehe:
http://www.pfsense.org/index.php@option=com_content&task=view&i ...

Dahast du sogar ein VmWare Image was du schnell mal im kostenlosen VmWare Player starten kannst um dir einen Überblick zu verschaffen.
Die fertigen Einstellungen sind natürlich naives Wunschdenken, weil dir vermutlich der technische Background fehlt...siehe Statements vom Kollegen Pjordorf unten...

Hallo,

Ja.

Nein. Alle richtige Firewalls sperren erstmal alles von alles nach alles. Damit irgendetwas geht wirst du es erst erfauben müßen.

Sophos UTM bietet neben der Hardware auch ein Software Verion für ein einzelnes Blech oder in einer VM. Die Firmenversion ist eingeschränkt (Das kostenlose Basispacket) aber kann durch zusattzlizenzen aufgebohrt werden.
http://www.sophos.com/de-de/products/free-tools/sophos-utm-essential-fi ...

Die Heim (Privat) Version enthält fast alle Module, ist aber auf Privat und 50 IPs beschränkt. Auch als Software oder VM beziehbar (Kostenlos)
http://www.sophos.com/de-de/products/free-tools/sophos-utm-home-edition ...

Du musst dich nur Anmelden um die Lizenzen zu erhalten. Sophos UTM ist das ehemalige Astaro. Die sitzen immer noch in Karlsruhe.

Die Software Version kann auch unter Virtual Box, HyperV, VMWare .... betrieben werden.

http://www.astaro.org/local-language-forums/german-forum/


Ob Juniper eine Software Version hat entzieht sich meiner Kentniss.

Einarbeiten und nachlesen musst du bei allen.

Gruß,
Peter