Sigurnost u domeni ?

Pozdrav

Administriram domenu serv.2003 + sql serv+term.serv, sa cca 50 klijenata svi su na webu adsl 5 mbit veza flat rate, , svi se klijenti za svoj rad spajaju na term server i koriste poslovne aplikacije. Centaraliziran je backup s autoloaderom, ISA firewall i TM za sigurnost, EXchange za mail.
Poslovanje je takvo da ukoliko se ne može raditi na poslovnim aplikacijama cijela firma praktički stoji i nitko ništa ne radi, uslužna je djelatnost i gubici su ogromni a neugodnosti da ne govorim. Dakle, sve MORA raditi.
Sve u svemu sve je novo i sve radi.
ALI !
Postoje korisnici koji ne shvaćaju ozbiljno sigurnost LAN-a i povremeno se događa "zloupotreba" lokalne mreže i računala npr download i instalacija kojakavih
programa za download ( limwire), downolad igrica, programa za modifikaciju explorera i windows sučelja, prijavljivanje na kojekakve stranice i spam vezan uz to i td....... Za sada ništa ozbiljno, međutim potencijalno vrlo opasno.
Moje je pitanje :
Htio bih povećati sigurnost svoje mreže na način da : 1. mogu pratiti akcije, promet i destinacije potencijalnih sumnjivih korisnika

2. mogu blokirati posjete na nesigurne stranice na webu

3. limitirati mogućnosti korisnika na radnje vezane uz poslovne aplikacije i sigurno surfanje.

1. mi treba da bih mogao dokumentirati svoje akcije u 2. i 3.

Sve ovo htio bih prvenstveno koristeći mogućnosti servisa koje već imam instalirane : A.D., ISA, TM.

Zanimaju me Vaša iskustva i preporuke, što i kako konkretno ste Vi napravili?
Hvala.

Iskoristi ISA server za to kad već postoji u mreži. Možeš da "zabraniš" određene aplikacije, da pratiš koji korisnici idu na koje adrese, itd. Pogledaj ovde između ostalog, a i malo pretraži po tom sajtu:

http://www.isaserver.org/tutor...A-Server-2006-HTTP-Filter.html

ako nisi riješio ništa do sada i nemaš bolju ideju, ili ti ovo što je Miroslav predložio ne uspijeva evo savjeta:

nisam nikada adminstrirao serv.2003 ( u planu mi je )
ali pokušaj na serveru modificirati HOSTS datoteku ( vidi link : http://www.elitesecurity.org/t278852-0#1662783 )
možda bi to riješilo tvoj problem na jednom mjestu a ako ne onda na svaki PC pojedinačno.
Na netu možeš pronaći kompletnu Hosts datoteku koja u sebi sadrži sve zlonamjerne web stranice ( mislim linkove na njih )

Ne znam koliko ti ovo može pomoći?
ali eto bar razmišljaj o tome dok nenađeš bolje riješenje.

Moglo bi nešto i na taj fazon, ali bi bilo šteta ne iskoristiti mogućnosti ISA servera, kad već postoji u mreži. Za to je i napravljen.

Slažem se da bi bilo prikladnije to rješavati kroz IS-u.
Sada sam napravio dodatni firewall policy kojim blokiram promet prema van po svim protokolima osim odabranim: http, https....
To sam pravilo primjenio na nekolicinu korisnika.

Da li sam im time onemogućio download - limwire ?

Nisam siguran, ali uvek imaš opciju da ubaciš "potpis" aplikacije koju želiš da blokiraš (limewire, skype, etc). Ne znam sad napamet tačno mesto gde se to unosi, ali pogledaj na onom sajtu koji sam ostavio, trebalo bi da nije problem naći.
Vidi na linkovima dole; dat je primer za MSN messenger, ali mislim da ćeš se snaći, pa možeš dodati one aplikacije koje te zanimaju:
http://support.microsoft.com/kb/925120
http://www.microsoft.com/technet/isa/2004/plan/httpfiltering.mspx
http://blogs.technet.com/isablog/archive/2006/07/03/439980.aspx

Hvala na linkovima M.J.

Čini mi se ovo dosta složeno = moguće komplikacije i neželjene poslijedice. Traži vrijeme za experimentiranje.

Da li netko te/takve postavke primjenjuje?

Nema na čemu. Nisam do sada imao prilike da tako nešto upotrebljavam u pravoj mreži, ali mislim da bi ne trebalo da bude problema. ISA između ostalog i služi kao napredan firewall i to što tebi treba jeste jedna od standardnih funkcija. Naravno, treba malo eksperimentisanja, ali kad jednom namestiš kako treba trebalo bi da radi glatko.

Koliko znam to bi sve trebalo odraditi u ISA-i, kao sto Miroslav rece, a ako nije dovoljna restrikcija po portu, protokolu, aplikaciji ili sajtu, uvek ti ostaje restrikcija za korisnika ili kompjuter
Sve bi to ISA trebala bez problema da zavrsi (ako je pravilno iskonfigurisana).

Imam još jedno pitanje .

Načelno; dozvoljavate li domenskim userima administratorske ovlasti na lokalnim računalima?

Niposto.
Jedan primer je da u tom slucaju moze da sniff-uje mrezu.
A uostalom, moze da napravi na toj stanici sta god hoce tada i nece ga ni jedna polisa ili bilo sta drugo spreciti (biliv mi;)).

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Kao što reče Shadowed, NI-PO-ŠTO! Time samo sebi zadaješ glavobolje, a korisnicima je ugodnije (da zloupotrebljavaju komp). Bolje je da bude obrnuto, da je tebi ugodnije, DA SVE RADI, a da se korisnici malo češu. Ako neko počne da se buni, tipa šta će meni komp bez dozvola na njemu, super odgovor je "Može i to da se sredi, da nemaš komp", završava svaku diskusiju u momentu :)

Hvala,

Da se vratim malo na prethodno; konfiguriranje ISA ?

ako konfiguriram: "zabrani portove veće od 1024, prema external, a od konkretne radne stanice"
da li sam onda blokirao i rdp 3389 u lokalnoj mreži na tom PC-u ?
Jesam li šta korisno napravio?

Da li je netko takvo rješenje primjenio ?

Ne bi trebalo, mada bih ja pre blokirao aplikacije nego portove, pošto većina problematičnih aplikacija može da promeni port i da recimo saobraćaj preusmeri na port 80 koji ćeš verovatno ostaviti otvorenim.

TO sam i mislio.
Kako blokirati aplikaciju ?
kako dobiti signature za limewire.exe?
" webshot. ?

http://isainsbs.blogspot.com/2...am-blog-on-http-filtering.html