Absicherung der FB gegen Angriffe von außen?

[carrera1988]

Hi,

mich würde mal interessieren wie gut die FB gegen Angriffe aus dem Internet gewappnet ist. Und zwar geht mir darum wie gut zum einen die FritzBox selbt gegen Angriffe wie z.B. dem Zugriff auf die Weboberfläche gesichert ist, zum anderen wie gut das lokale Netzwerk gegenüber dem Internet angeschottet wird?

Hintergrund:
In einem Kleinbetrieb soll eine FB 7170 angeschafft werden, daran sollen per WLAN 3 Geschäftrechner angeschlossen werden und über LAN ein NAS zur Datensicherung.
Es wird nun gewünscht das die Oberfläche der FritzBox und das NAS nicht passwort geschützt werden soll.
--> Wie sicher ist das?
--> Können die FB-Einstellungen auf Standart bleiben oder muss da was spezielles eingestellt werden?

 

[Kudde]

moin carrera1988, solange du keine ports von aussen weiterleitest, ist sie schon sicher.




kudde

 

[doc456]

Es wird nun gewünscht das die Oberfläche der FritzBox und das NAS nicht passwort geschützt werden soll.

... naja, so kann dann zumindest jeder von Innen dran rumfummeln...

 

[Kudde]

die frage war ja nur nach angriffen von aussen. wer sowas installiert, und alles offen lässt, muss ja wissen, das jeder darauf zugreifen kann, von innen her gesehen.



kudde

 

[doc456]

In der Tat, man nennt das dann "grob fahrlässig"....

 

[Kudde]

stimmt, privat ist es ja ok, aber in einer firma, wo mehrere drauf zugriff haben könnten?




kudde

 

[ecsguy]

@carrera1988

Zugriff WAN <-> (W)LAN ohne Portfreigaben ist sicher. Erhöhte Sicherheit ist wenn alle Netzwerkzugriffe auf Client und Server passwortgeschützt sind und kein Passwort auf einem Client gespeichert und auf dem Server ausschließlich mit Einwegschlüssel gesicher abgelegt sind.

LAN ist sicher nach außen

WLAN unverschlüsselt ist wie ein sperrangleweit offenes Scheunentor

WLAN verschlüsselt kommt einfach auf die Verschlüsselungsart und den gewählten Schlüssel an. Reicht von Haustür zugezogen über abgeschlossen und Schlüssel unter der Fußmatte bis zu 3 x abgeschlossen und Schlüssel in Hosentasche.


Alle Sicherheitsmaßnahmen versagen irgendwann wenn auch nur ein Windows-Client Daten von außerhalb (Diskette, CD, ...), Internet einbringen kann.

Internetzugang darf nur über Proxies, die im Idealfall nicht unter Windows laufen zugelassen werden und ihrerseits alles was irgendwie nach Schadsoftware riechen könnte, abweist.

Die beste und teuerste Antivirensoftware versagt eines schönen Tages kläglich, da sie auch bei stündlicher Aktualisierung irgendwann den neuesten Trojaner doch nicht erkennt.

Die Fritz! ist ausreichend sicher um ein Heimnetzwerk ausreichend zu schützen. Sie kann nicht gegen Dummheit und Fahrlässigkeit von Windows-Usern helfen. Ein Doppelklick auf einen Anhang einer eMail, ja, schon das (automatische) Öffnen einer HTML-eMail, das Öffnen einer beliebigen WEB-Seite kann den Schädling ins Haus holen.


Eine FB kann wunderbar Attacken von außerhalb des Netzes abwehren, gegen Angriffe von innen (eigeschleuste Schadware von Diskettetten, CDs, ungeschütze eMail, direkte Aufrufe von WEB-Seiten ohne Filter durch Proxies) ist sie machtlos.

Die Oberfläche der Fritz! gehört unter Passwortschutz! um sie vor Angriffen sowohl von innen als auch außen zu schützen. Wer die Konfiguration der Fritz! ungeschützt läßt, kann seine geheimsten Daten auch gleich in der Tageszeitung veröffentlichen.

 

[cvgrone]

@ecsguy

Du hast recht, und auch wieder nicht - laut dem ersten Post geht es hier um einen Kleinbetrieb. Klar hat auch der schützenswerte Daten, aber da kann man nicht alles durchziehen was sonst sinnvoll und nötig ist. Wenn man da anfängt dem Firmeninhaber per Gruppenrichtlinie Disketten- und CD-Laufwerke sowie USB-Sticks zu verbieten läuft man als IT-Verantwortlicher schnell gegen die Wand. Und zusätzliche Hardware (Linux-basierter Proxy) will extrem gut begründet werden.

Sinnvoll ist es, mit der Gefährdungsanalyse zu beginnen:
- was wird an schützenswerten Daten im Firmennetzwerk gespeichert? Personenbezogen? Konstruktionszeichnungen? Oder nur eine Kleinbuchhaltung und der Mailverkehr?
- wer arbeitet im Netzwerk? Ständig wechselnde Aushilfskräfte, oder die Inhaberin, ihr Ehemann, und eine seit Jahren erprobte Buchaltungskraft?
- findet der Kontakt mit einem festen, kleinen Kundenkreis statt, oder mit vielen Einmalkunden? Findet überhaupt Kundenkontakt per Mail statt, oder ist das das Backoffice für einen Bäckerladen?
- gibt es spezielle gesetzliche Vorschriften die einen besonderen Schutz verlangen?
- usw., hier gibt es auch genügend einschlägige Literatur dazu.

Meine Sicht:
- die FB-Oberfläche sollte auf jeden Fall per PW geschützt werden. Die sollte im täglichen Betrieb nicht genutzt werden müssen. Der Firmeninhaber sollte auf das PW aber Zugriff haben.
- dem NAS würde ich schon auch Passwörter abverlangen, die aber an die Benutzerkennungen auf den Windows-PCs angleichen, oder die Zugangsdaten per NET USE ... /SAVECRED-Befehl auf der Kommandozeile speichern lassen, so dass im Alltag keine Passwörter eingegeben werden müssen.
- WLAN-Sicherung per WPA oder WPA2 ist Pflicht (wenn denn WLAN eingesetzt werden soll)
- die Datensicherung sollte (mindestens in größeren Abständen) auch räumlich getrennt gelagert werden. Frage: Was passiert wenn die komplette IT inkl. NAS wegen Brand- oder Wasserschaden ausfällt?
- Wichtigster Punkt: Die Benutzer müssen ein Bewusstsein haben dass die Sicherheit in ihren Händen liegt. Wenn da ständig jemand Scherzmails mit Anhang kriegt oder auf nacktemaedels.com surft haben wir aus Sicherheits-Sicht schon verloren, da können wir konfigurieren so lange wir wollen.

Gruß Christian

 

[ecsguy]

Meine Kunden bekommen kein einziges ADMIN-Passwort in die Hand gedrückt. Da gibts einen versiegelten Umschlag, den auch der Chef nicht öffnen darf ohne gleichzeitig restlos alle Gewährleistungen zu verlieren.

Benutzer - und mehr ist der Inhaber des Betriebs hier auch nicht, haben einen Benutzeraccount und können zwar arbeiten, aber weder an Einstellungen rumspielen noch am Netzwerk drehen.

Natürlich gibts erweiterte Sicherheit nur die, für die auch bezahlt wird - mit entsprechenden Klauseln um Vertrag.

Nein, ein Kassenarbeitsplatz braucht keinen Internetzugang, der braucht auch keine email senden oder empfangen. Der Chef braucht keinen Internet-Explodierer, keinen schnellen Ausguck - da gibts andere Software, die deutlich sicherer ist