Netzwerk Überwachung und Sicherheit

Übers AD nicht, aber jeder Proxy kann dir idR. ne gewisse Information über den Traffic geben (und jede Firewall heute normal auch schon).

Daten die aus dem Netz rausgehen wirst du damit aber nicht bekommen - das ist ein Traum der lange vorbei ist.
Zum einen kann man Daten natürlich einfach per USB-Stick o.ä. kopieren. Wenn gesperrt - Fotos vom Bildschirm. Oder z.B. via VPN, eigenem Cloud-Storage,.. rausjagen - da siehst du dann auch nur die MENGE an Daten, aber eben nicht was es war. Und wirklich gar nix geht - dann irgendwo auf nem Online-Portal wie Dropbox manuell via Web hochgeladen (oder eigenem Server).

Wenn also jemand Daten aus nem Unternehmen rausholen will - dann ist das für gewöhnlich auch kein grosses Problem. Deine Überlegung sollte also vorher anfangen: Wie schaffe ich es das einzelne Mitarbeiter eben nur die Infos sehen die die auch brauchen -> so muss ja z.B. nen einzelner Sachbearbeiter irgendwo im Lager nicht zwingend alle Rabatt-Konditionen eines Kunden oder alle Angebote sehen können. DER muss ja eigentlich nur sehen können was er einpacken soll und wohin das geht... Eine Bestell-Abteilung braucht eben auch nicht sehen welchen Rabatt der Kunde bekommt, die sollen mit dem Lieferranten ja die Rabatte aushandeln. Und der Vertrieb muss eben nich wissen welchen Rabatt man bei welchem Lieferanten bekommt, der muss eben nur wissen welchen Preis er nicht unterschreiten darf...

Moin,

das was du suchst ist eine Firewall mit DLP (Data Leakage Prevention). Die kann dann auch nebenbei Webseiten sperren

lg,
Slainte

Moin,

du drehst dich hier ein bisschen im Kreis. Mal geht es um E-Mail, mal um HTTP, mal um FTP. Und nochmal:

Eine anständige Firewall kann das. Eine Anständige Firewall protokolliert dir, welcher Client wann welchen Traffic wohin produziert. Da schaust du morgens drauf und wenn dir das zu viel vorkommt, dann schaust du in die Details. Da siehst du dann welches Protokoll das war und wohin das Protokoll ging. Das AD ist dafür nicht der richtige Ort.

Gruß
Doskias

Netzwerk Management Server mit Raspberry Pi

Moin Felix,

wie schon mehrfach erwähnt, benötigst Du eine passende Firewall, idealerweise mit IDS / IPS. Den Zugriff auf bestimmte Webseiten könntest Du in der Domäne verhindern, indem Du einfach DNS-Einträge für die Clients umbiegst und z.B. auf Google leitest. Sonderlich pflegeleicht ist das aber alles nicht.
Da Du auch noch möglichen Datenabfluss ins Spiel bringst, vermute ich mal, dass das eine mit dem anderen zu tun hat. Dabei vergisst Du, dass nicht hinter jeder böswilligen Ziel-IP auch eine Webseite steht. Es reicht ja, wenn ich Daten auf eine IP abfließen lasse, da nützt Dir das Sperren einer Webseite nix.

Kostenlose Lösung: PRTG, damit kannst Du einen Sensor auf dem "Internetinterface" laufen lassen. Nachteil: Du siehst nur die Datenmenge. Wenn die Datenmenge regelmäßig um die Summe X herumpendelt, würden große Veränderungen auffallen. Nur: Wenn Ihr derartig große Datenmengen zu schützen habt, müsste das doch längst abgesichert sein?
Dann gäbe es aber noch das Problem, dass Du siehst, dass mehr Daten abgeflossen sind, aber nicht wohin. Die Lösung: Hey, ne Firewall Ihr habt doch eine? Welche?

Dann gibt es für kleines Geld noch NTOPNG (https://www.ntop.org/products/traffic-analysis/ntop/), damit wird alles noch schön grafisch aufbereitet.

Letztlich unterschlägst Du mit Deinem Ansatz auch die Tatsache, dass es auch durchaus entscheidend ist, wenn kleine Datenmengen nach außen übertragen werden. Wird gern gemacht, um als Angreifer nicht aufzufallen

Wie Du es also drehst und wendest, Du benötigst mehr als AD-Tricksereien.

Gruß

Wie schon geschrieben, löst Du das über ein Monitoring, ggf. noch mit Eingriffsmöglichkeit einer Firewall. Ob Letzteres sinnvoll ist, wurde zu Recht schon in Frage gestellt.

Selbst mit dem billigsten Mikrotik-Router bekommst Du den gewünschten Überblick mit einer Firewall-Passthrough-Rule auf dem Tablett serviert, denn RouterOS zeigt ja in Echtzeit jedes Byte/Packet, was über eine Regel läuft. Mit zwei Klicks mehr geht das dann auch zeitgesteuert. Da kann man sicher auch noch schick scripten, um das ins Logging oder ein File zu bringen, Events auszulösen u.a.

Wenn es "ein bisschen mehr" sein soll ist das hier kaum zu übertreffen:
Ich selbst monitore mit Zabbix, da ist das von Dir Gewünschte selbstverständlich dabei und sieht dann z.B. so aus:
Selbstverständlich kannst Du auch da Benachrichtigungen auslösen, wie bei fast jedem Monitoring.

Viele Grüße, commodity