Small business network zastita

Pozdrav, u firmi u kojoj radim imamo malu mrezu sa Fajl serverom microsoft server 2008r2 Foundation i 6 kompjutera povezanih u workgroup (windows 7 professional ili win xp). Svi oni su prikljuceni na switch D-Link Des 1016d (ukljucen jednostavan firewall) i preko njega na ADSL. U zadnje vreme se desavaju problemi da 3 kompjutera kad god su prikljuceni na mrezu uspore ili postanu nestabilni.
Simptomi na kompjuteru koji je najvise "pogodjen" je da neki servisi kao sto su explorer.exe, Searchfilterhost.exe odjednom zauzmu do kraja ram od 4GB posle cega sistem zamrzne i samo mis moze da se pomera isto se ponekad desava cak i Safe modu.
Na njemu Eset, Microsoft safety scanner, Kaspersky, Norton, Bitdefender free scans nisu nista nasli kao ni hijackthis. Problem sam probao da resim formatiranjem celog hard disk-a i reinstalacijom medjutim razni simptomi nestabilnosti su se vratili posle dan,dva. Virusi i crvi koji su do sad bili pronadjeni i uklonjeni su Tenga.A, Win32/Peerfrag.GA i Win32/RJump.A. Takodje u mrezi non stop se dobijaju od antivirusa upozorenja "Port Scan attack detected", "ARP Poisoning attack detected from npr. 192.168.1.100."

Sad konkretna pitanja :)
1. Zanima me koju biste mi preporucili softversku i hardversku zastitu za mrezu?

2. Koji bi ruter sa dobrim hardware-skim firewall-om mogao da uzmem i posto bih zeleo da povecam brzinu protoka u mrezi na 1000MBps da li mogu umesto dodatnog rutera koji bih stavio ispred sadasnjeg switch-a da samo stari switch zamenim sa novim sa podrskom za 1000MBps koji ima neki kvalitetnijim firewall?

3. Da li nešto kao ovo ima da se nadje kod nas Astaro Security Gateway 120 http://www.astaro.com/products...es/astaro-security-gateway-120 ?

za 1 i 3 ne znam, ali mislim da ti u ovom primeru (pogadjam da si iza nata) firewall nece pomoci bas dosta, posto izgleda da se virusi sire unutar mreze, a firewall radi na granici izmedju tvoje mreze i interneta (znaci na routeru). U kombinaciji sa boljim (managed) switchem, mogao bi da izolises kutije (svaku u svoj vlan, pa onda routing izmedju), ali to donese mnogo problema, administracije, i router postaje usko grlo network saobracaja.


Bolje ti proveri sve kompjutere za viruse (ne znam sa cime, neka neko drugi preporuci), sredi windows update i update antivirusa, pa tek onda prckaj sa routerom, posto i najjeftiniji kucni router sa nat-om moze dobro da stiti komojutere iza od upada spolja. Naravo switch mozes bilokada da promenis sa 1gbit verzijom, ali to nece imati uticaja na tvoje probleme (ali network ce brze da radi :))

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

Windows update i antivirus update je ukljucen i radi. Poenta price da su virusi potekli sa interneta ne iznutra. Odnosno zelim da kad sad ocistim sistem da smanjim sansu da se to desi ponovo.
Ono sto me zanima sto se tice hardverskog firewall-a jel u ovom slucaju bolje kupiti dodatni ruter sa firewall-om koji ce stojati izmedju modema i switcha kao zastita ili zameniti stari switch sa boljim firewall-om i usput i vecom brzinom od 1000MBps tako u isto vreme dobijam i vecu brzinu unutar mreze i bolju zastitu.
I ako moze neka preporuka za uredjaje switch ruter?


Uploaded with ImageShack.us


Uploaded with ImageShack.us

Ako imas bilokakav router sa natom, i ako nemas port forwardinga, virus nije usao "sam" sa interneta, vec ga neko "pokupio".

Znaci, neko je otvorio neki porn sajt, ili downloadavao neki crack ili otvorio mail attachment sa virusom, i dobio virus. Firewall koji bi gledao mailove i njihove attachmente, pa i binary fajlove koje useri otvaraju..... mislim da ces nesto tako tesko naci :)


PS, switch sa firewallom ne postoji :) Ako postoji, onda to nije switch :) *


*naravno ako pod "firewall" ne mislis neki 802.1x ili port security :)

Potpis

Bolje ispasti glup nego iz aviona
http://www.mulaz.org/

Postoji proxy koji moze da se napravi kao transparentni i koji ima u sebi virus check. Idealno resenje za tupave usere. Ja sam koristio uz TrendMicro, mada mislim da ima i drugiih proizvodjaca.

Doduse, to ne ide na firewall, ili bar ne da ozbiljno valja. Uzmi router/firewall koji ima dobru inspekciju, a proxy stavi na pravi racunar. Sto se tice firewall-a, moja preporuka je Cisco ASA, ako imas novca. Ako ne, onda neki dd-wrt, ili da pravis sam na Linux-u, ili nekom BSD-u.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Moja greška hteo sam da kažem da bih hteo da nađem neki ruter koji bi bio od barem 12-16 portova i da ima barem 6x1GBps portova na taj nacin dobijem hardware firewall i veću brzinu u mrezi ovako kasnije za veću brzinu bih morao da kupujem i novi switch.

U pravu si mulaz da zbog NAT-a "virus" nije mogao tek tako neko da ga posalje sa spolja on je pokupljen greskom ko zna gde. Mislim da bi hardver firewall bio dobar zbog toga što time kad je "virus-malver" već unutra ne može da pošalje informacije ka spolja koje bi mogle dodatno da ugroze sigurnost. Za pregled attachmenta se koristi Eset. Ono što sam već rekao a dodatno me brine što se stalno pojavljuju "ARP poison attack" i "Port scanning attack" upozorena.
Priroda posla je takva da većini korisnika je neophodno da bude obezbedjen internet za pretrazivanje informacija i podaci se preko USB stick-a ponekad prenose na kompjutere van mreže.

Zanima me šta mogu još da uradim na povećanju sigurnosti unutar mreže s čime bi se barem sprecilo širenje virusa ako se već desi da kompjuter bude inficiran sa uslovom da svi korisnici uvek moraju da imaju pristup podacima na serveru?
Sad nameravam da podesim password protected sharing unutar mreže koji ranije nije bio ukljucen.

Što se tiče zaštite za prenos podataka preko USB stick-a mislio sam da stavim Bitdefender USB Immunizer.

Što se tiče servera Eset i Kaspersky kažu da je čist i nisu pokrenuti nikakvi "sumnjivi" servisi ali je u zadnjih 2 meseca imao 5 neplanirana gašenja i par puta su bili virusi pronađeni na njemu ne znam kako bih mogao još dodatno da proverim da se i dalje nešto ne krije na njemu?

mislim da je vreme da ti unajmis nekog ko to zna

Mozes Cisco Adaptive Security Appliance, kao sto je nkrgovic napisao.

Kad vec planiras promenu routera, mozes da uzmes neki Cisco router iz serije 800, 1800, 2800, 3800, 7200 ili 7301 ili neki drugi koji podrzavaju IOS. Pogledaj karakteristike i cene pa nadji onaj koji ti najvise odgovara. Ove serije rutera podrzavaju Cisco IOS firewall, koji je inace stateful inspection firewall i imaju mogucnost nadgledanja traffica na vise OSI nivoa, sto je mnogo dobro. :)
Naravno, da ne dodje do zabune i Cisco ASA ima tu mogucnost, i jos mnogo vise sto se tice sigurnosti jer je prvenetveno namenjen zastiti a ne rutiranju.
Znaci, ako hoces u ruteru dobar firewall onda ides sa ruterima iz serije iznad, zbog IOS podrske. Ukoliko hoces drugi ruter (ovaj sto koristis, drugi proizvodjac ili nesto peto) a treba ti hardware zastita onda ides sa ASA.

Pravilno iskonfigurisan dobar firewall je zakon u odnosu na sve.

Potpis

LOL

Da vidim ima CISCO ASA 5505 za 650 evra ali nazalost mislim da je to daleko iznad mog budzeta.

Sta mislite o ovim uredjajima?

MikroTik RB 493G - 25,717.14 RSD
9 x Gigabit LAN/WAN (switch chip, so the ethernet ports of your choice can be grouped together to make it act as a switch)
VPN ruter / Firewall / Bandwith manager / Load Balancer

TP-Link TL-R4299G - 20,913.91 RSD
2 x 100Mbps WAN, 8 x Gigabit LAN ports
Multi-bandwidth/ Load Balancing / IP and port based QoS/ IP and MAC Address binding limits



Razmisljao sam da mozda nabavim stari racunar i da na njega stavim
Astaro Security Gateway Essential Firewall Edition 8.3 koji je besplatan
postavim na njega dve mrezne kartice al opet da ne bude nesto bucno i glomazno sto bi jos dodatno zauzimalo prostor u kancelariji.

nemoj x86 masinu za takav poso...

ako vec biras od ta tri od mikrotik definitivno

Stateful firewall je i linux, nije problem reci --state ESTABLISHED, RELATED, postoji dosta drugih razloga zasto ASA :P.

Inace, ono sto je Kengur naveo, ako mora, ja bi isto uzeo MTik, ali, ponavljam, pre bi uzeo nesto sto podrzava dd-wrt i napravio svoj iptables. Doduse, ja ne volim MikroTik, ali to je moj problem.

AV proxy nema veze sa ovime i i dalje se da implementirati odvojeno i nezavisno. Moze i on free, na isti linux firewall, recimo kao squid+clamAV mislim da to moze da radi (nisam probao, ali se prisecam da je bilo fora).

@cyBerManIA : Cisco 7200 ti je vrh predlog - imas li ideju kako to izgleda? :D Verovatno mu cela mreza kosta manje nego jedan 7200... :)

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

^ Da, na slici i tech spec, ne uzivo
Btw znam koja je cena, ja sam samo naveo redom serije, sto ne znaci da bi on njega izabrao Dobro pa nisi uzeo 7301
Ne znam covekove potrebe i o kakvom 'small business'-u se radi. Mozda je biznis small, ali traffic ko u 2 provajdera

Eto, ajde, najjeftinije resenje neka bude prosecan ruter sa 8 porta od par hiljada dinara na kom ce se vrteti DD-WRT.

Potpis

LOL

Da, može da se namesti relativno lako Squid+DansGuardian+ClamAV.. Meni je radilo, mada je umelo da pomalo trokira.

Nego, zašto ne biste stavili te kompove u domen, kad već imate Windows Server??
Ne znam koji je profil korisnika računara, ali mi izgleda da malo dodatne edukacije po pitanju sigurnosti na mreži ne bi bilo naodmet.

Ma ja ne znam ni sta cemu Win server za 6 racunara, ali o tome nisam hteo da pocinjem. Samba, PDC ako mora domen i zdravo.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Win Server se koristi zbog odredjenog softvera



Ne znam koliko je domen isplativ za ovako malu mrezu jer bi zahtevao redovno odrzavanje a i sigurno nece biti potrebe za VPN-om ili povezivanje racunara iz vise lokalnih mreza.


Hvala na predlogu jel moze par linkova na PP gde imaju da se nabave kod nas ti koji podrzavaju DD-WRT?
Traffic sigurno nije ko u provajdera. Uglavno ga opterecuju mejlovi i po potrebi pregled web sajtova.

PS. Ljudi ja kapiram da bi uzimanje rutera Cisco od 700evra + placena neka profesionalna firma da odrzavaju par puta mrezu mesecno + ulaganje jos nekoli stotine evra potrebnih u kompjutere bilo Right Way To Go i u tom slucaju ne bi neko ko jos ima da uci o tim stvarima ni postavljao temu na ES. Ali tu je sto je sa resursima ne mogu da trazim ulaganje od 700 evra samo na ruter jer je on samo dodatni sloj zastite nece eleminisati ostale moguce probleme sa virusima itd.
Posto bi bilo odlicno da se brzina u mrezi poveca na 1000MBps mislio sam da ako ce vec ulaze ruter da tu ne bude samo zbog firewall-a nego da se usput i poveca brzina u mrezi na taj nacin imam opravdanje da uzimem nesto koliko toliko skuplje.

Za sad uzi izbor su onda mikrotik i mozda stari komp+linux pa softver na njemu.
Hvala svima na dosadasnjim predlozima.

..Ali dobijaš bolju kontrolu korisnika, a nema puno šta da se podešava.

U svakom slučaju, saberi sve i iskombinuj najoptimalnije po džep.

Reklama je zabranjena, pa i link na web shop. Pocni odavde:

http://www.dd-wrt.com/site/support/router-database

Pa kako ti sta naleti, ti potrazi u bazi.

Potpis

Please do not feed the Trolls!

Blasphemy? How can I blaspheme? I'm a god!'

Jos jedna preporuka za mikrotik :) sad me nemam vremena da prilozim sliku ali ovako bi islo po meni najbolje internet>adsl>mikrotik>manage switch> odredi port(na primer eth0 za server a druge za radne stanice

Ok definitivno sam odustao od ideje gigabitni ruter sa mnogo portova tako da sad je u opticaju ruter + možda kasnije gigabitni switch

Sviđa mi se što ima dosta uputstva za dd-wrt ono što mi se ne sviđa jeste da se prilikom instalacije gubi garancija tako da ako se sa dd-wrt posle mesec dva ispostavi da ima neki fizički problem ili se nešto desi prilikom instalacije kako kažu na jednom sajtu "Bad luck".

Za ove modele sam našao da imaju podrsku za dd-wrt i da se sad uzmu:

Asus RT-N13U - 7200 din
RAM: 32MB | FLASH: 4MB | Serial port: YES | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1A | 1xUSB 2.0 |DD-WRT - v24 SP2

Asus RT-N12 - 5200 din
RAM: 32MB | FLASH: 4MB | Serial port: YES | JTAG port: YES | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1A | DD-WRT - v24 SP2

Linksys E1500 - 7100 din
RAM: 32MB | FLASH: 8MB | Serial port: 1 hidden |JTAG port: 1 | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 0.5A |DD-WRT - vK26

Linksys wrt54gl - 6900din
RAM: 16MB | FLASH: 4MB | Serial port: YES | JTAG port: YES | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1A | DDR-WRT -v?

D-link DIR-825 - 11 700din
RAM: 64MB | FLASH: 8MB | Serial port: 1 | JTAG port: 1 | Eth. port count 4/1 LAN(GB)/WAN | Power[V/A] : 12V 2A | 1 USB 2.0 | DD-WRT - ?

D-Link DIR-600 - 3200din
RAM: 32MB | FLASH: 4MB | Serial port: YES | JTAG port: YES | Eth. port count 4/1 LAN/WAN | Power[V/A] : 5V 1.2A | DD-WRT - v24 SP2

Linksys WRT160NL - 9000 din
RAM: 32MB | FLASH: 8MB | Serial port: 1 hidden | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1.5A | 1xUSB 2.0 |DD-WRT - v WRT160NL build

TP-Link WE1043ND - 5500 din
RAM: 32MB | FLASH: 4MB | Serial port: ?|JTAG port: ? | Eth. port count 4/1 LAN(GB)/WAN | Power[V/A] : 12V 1.5A |1xUSB 2.0 | DDR-WRT -v.24 sp2

TP-Link WR941ND - 4300 din
RAM: 32MB | FLASH: 4MB | Serial port: ?|JTAG port: ? | Eth. port count 4/1 LAN/WAN | Power[V/A] : 9V/0.85A | DDR-WRT -v.24 sp2

TP-Link WR740N - 2300 din
RAM: 32MB | FLASH: 4MB | Serial port: YES | Eth. port count 4/1 LAN/WAN | Power[V/A] : 9V 0.85A | DDR-WRT -v.24 sp2

Netgear WNR1000 - 4700 din
RAM: 32MB | FLASH: 4MB | Serial port: 1|JTAG port: 1 | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1A | DDR-WRT -WIP?

Netgear WGR614L - 4500 din
RAM: 16MB | FLASH: 4MB | Serial port: 1 | JTAG port: 1 | Eth. port count 4/1 LAN/WAN | Power[V/A] : 12V 1A | DDR-WRT -v24 Beta rc7 updater in progrss

Što se tiče mikrotika za njega nema dd-wrt ali ovaj su mi u jednoj radnji preporučili

MikroTik miniRouterBOARD 750GL - oko 8k
CPU speed 400MHz RAM 64MB Gigabit/VPN ruter / Firewall / Bandwith manager
slabija verzija:
MikroTik miniRouterBOARD 750 - oko 5k
CPU speed 400MHz RAM 32MB VPN ruter / Firewall / Bandwith manager