Kann ein externer Dienstleiser einen Virenschutz ersetzen?

[GGast]

Email -> ja
Internet -> nein

Oder?


Das Sicherheitskonzept für die Internet-Dienstleistungen wurde wesentlich optimiert. Das Konzept zur Überprüfung der Daten auf Viren und unberechtigten Zugang basiert nun auf einer mehrstufigen Technik.

* In der ersten Stufe werden von der Firewall alle eingehenden Daten an die Viruswall übermittelt und dort überprüft.
* Die von der Viruswall überprüften Daten werden sodann an das neue Mail-Relais weitergereicht. Hier werden die Daten (E-Mails) nochmals auf Viren gescannt und dann erst an ihre Empfängeradresse, d.h. an den entsprechenden Mailserver gesendet.
* Der lokale Mailserver überprüft das E-Mail nochmals und stellt es anschließend dem Empfänger zur Verfügung.

Mit dem dreistufigen Sicherheitskonzept und den dabei unabhängig arbeitenden Virenscannern erfüllt die ODAV AG die derzeit höchsten technischen Sicherheitsanforderungen. Die eingesetzten Produkte vom Marktführer "Symantec" werden dabei durch die ODAV laufend aktualisiert.

Auf der Basis dieses mehrstufigen Konzeptes bietet die ODAV den Handwerkskammern einen sicheren Internetzugang und eine gesicherte E-Mail-Kommunikation. Das Kommunikationspaket der ODAV umfasst folgende Leistungen:

* Pauschaler Internetzugang ohne Begrenzung der Nutzerzahlen und Übertragungsmengen
* Pauschaler E-Mail-Verkehr (intern/extern) ohne Begrenzung der Teilnehmer
* Zentraler E-Mail-Server zur Verfügungsstellung aller E-Mail-Adressen (Adressbuch) der angeschlossenen Kammern
* Security durch ODAV-Sicherheitskonzept

Das Kommunikationspaket nutzt das Kammerdialognetz und auch die neue VPN-Übertragungstechnik optimal. Insbesondere bei der Vernetzung von Außenstellen bzw. Berufsbildungszentren und einer Kammer kann ein effektiver Kommunikationsverbund geschaffen werden. Das Kommunikationspaket wird dabei für die Kammern und ihre Außenstellen kostengünstig angeboten.

[Absorber]

Ich nehme mal an den lieblos reingeknallten Text hättest du gerne auf Glaubwürdigkeit geprüft? Schreib doch das nächste mal dazu was du nun genau willst. Als erstes mal: was definierst du als "Internet"? Willst du den Esel saugen lassen, BitTorrent, IRC und wasweissichnoch laufen lassen, oder möchtest du für eine Firma einen Web-Zugang über einen Proxy zur Verfügung stellen? Über einen Proxy kannst du schon ein gewisses Maß an Sicherheit bekommen, so lange nicht irgendwelche Leute dir von innen per SSL-Tunnel oder anderer verschlüsselter Verbindungen ein Loch in das Sicherheitskonzept ballern. Und genau deswegen sollte der lokal installierte Virenscanner als letzte Schutzebene für Windowsbasierte Systeme Pflicht sein.

[Gast]

Es geht um Web-Zugang über einen Proxy.

Über einen Proxy kannst du schon ein gewisses Maß an Sicherheit bekommen,
Wie? Ein Anwender surft evtl. auf dubiosen Seiten oder saugt sogar. Ist hier Sicherheit gewährt?


so lange nicht irgendwelche Leute dir von innen per SSL-Tunnel oder anderer verschlüsselter Verbindungen ein Loch in das Sicherheitskonzept ballern. Und genau deswegen sollte der lokal installierte Virenscanner als letzte Schutzebene für Windowsbasierte Systeme Pflicht sein.
Das setzt aber KnowHow voraus, was wohl die meisten User nicht haben. Desweiteren dürfte die Firewall des Dienstleisters das verhindern.

[Absorber]

Wenn du über den Proxy einen Filter (z.B. SquidGuard (http://de.wikipedia.org/wiki/SquidGuard), WebWasher (http://de.wikipedia.org/wiki/Webwasher)) laufen lässt und so z.B. jegliche Programmdateien, ZIP und sonstige Packformate sperrst dann hast du schon was gewonnen, wobei einen Whitelist-Lösung natürlich sicherer ist als manuelles Blacklisting. Aber es gibt fast immer eine Möglichkeit, solche Filter mit genug Anstrengung zu umgehen. Wie z.B. über den bereits erwähnten SSL-Tunnel(Google). Die glorreiche Firewall des Dienstleisters hilft da nicht viel, weil entweder SSL-Verbindungen nicht erlaubt werden, was einige Webseiten pauschal ausser Funktion setzt, oder es wird halt erlaubt. Dann hat man eine Möglichkeit eine Verbindung nach aussen aufzubauen, die verschlüsselt ist. Da kann ich Virenscanner drüberjagen so viel ich wil, es hilft nicht. Und zu behaupten, ein System wäre sicher weil die User es eh nicht kaputt kriegen weil die gar nicht wissen wie so etwas geht wäre ein sehr schwaches Sicherheitskonzept. Jeder kann das passende Wissen per Internet zu Hause abrufen. Ich kann zum Beispiel nicht sagen ob du der Admin bist der sich um die Sicherheit seiner Systeme kümmert, oder ob du einer dieser User bist der per Google die Beschreibung der bei seiner Firma eingesetzten Sicherheitslösung rausgefunden hat und jetzt in einem Forum nachfragt. Ich habe dir allein schon in diesem Text genug Ansätze gegeben, eine Firewall mit offenem Webzugang über Proxy zu umgehen.

[The Cell]

SSL ist kein Problem mehr, wenn es in einem Bastion-Host, der zwischen 2 Firewalls steht, terminiert wird.
Es gibt genug Appliances, wie zB den ISA Sever von MS oder den Tommy SSL Proxy, die sich genau dieser Problematik annehmen.

Um das ganze per outsourcing zu betreiben, braucht man eines, einen vertrauenswürdigen Anbieter. Bei E-Mail ist es weit verbreitet, bei "normalen" Traffic liegt die Kompetenz meistens bei den heimischen Admins einer Firma.

Es geht aktuell immer mehr hin zu dem Trend, viele Anwendungsserver aus der DMZ herauszunehmen, in das Firmennetzwerk zu setzen und einen ISA Server in der DMZ die Policy umsetzen zu lassen.

Gruß,
QFT

[Wuzel]

SSL ist kein Problem mehr, wenn es in einem Bastion-Host, der zwischen 2 Firewalls steht, terminiert wird.
Es gibt genug Appliances, wie zB den ISA Sever von MS oder den Tommy SSL Proxy, die sich genau dieser Problematik annehmen.

Um das ganze per outsourcing zu betreiben, braucht man eines, einen vertrauenswürdigen Anbieter. Bei E-Mail ist es weit verbreitet, bei "normalen" Traffic liegt die Kompetenz meistens bei den heimischen Admins einer Firma.

Es geht aktuell immer mehr hin zu dem Trend, viele Anwendungsserver aus der DMZ herauszunehmen, in das Firmennetzwerk zu setzen und einen ISA Server in der DMZ die Policy umsetzen zu lassen.

Gruß,
QFT

Du weisst aber, hoffentlich, schon das die meisten 'Angriffe' - bzw. Sicherheitsprobleme vom internen Netz ausgehen oder?

Ich bin jedenfalls auf dem Standpunkt, das ich das interne Netz in Sachen Vertrauenswürdigkeit sogar -unter- dem des externen ansetze.