Virtual PC als beveiliging?

[Verwijderd]

Ik heb een vraag over iets wat me dwarszit. Ik ben hoofd van de IT opleidingen van een universiteit en wat er gebeurd is dat de IT afdeling (de netwerk jongens) de beveiliging steeds verder opschroeven waardoor studenten steeds minder vrijheid hebben.

Het laatste is dat ze MS Virtual PC 2004 willen gaan installeren met gebruikerssoftware erop. De host systemen zijn typische Pentium 4's met 512 MB RAM, en Windows XP, uiteraard MSOffice, virusscanner etc.
Op de virtuele PC draait WinXP met software zoals Visual C++ 6, Miktex 2.4, Alice, JCreator, Poseidon for UML, Rational Rose suite, NetBeans, etc.

Het idee zou moeten zijn dat alle IT software (waar mijn studenten mee werken!) draait op de virtual PC en alle andere afdelingen mogen hun software wel draaien op de echte hardware. Wat om te beginnen al vreemd is.

Wat ik vergat te melden, de PCs worden ook door andere studenten gebruikt, niet alleen IT-ers.

1) Het argument is beveiliging. Ze zeggen dat studenten het netwerk en de computers geen schade kunnen doen op een Virtual PC.
2) Het argument is dat te veel software PCs traag maakt.

Nu zijn mijn tegenargumenten:
1) Het netwerk hartstikke veilig is als users Gelimiteerde Gebruikers zijn in het domein, en de routers/switches juist zijn ingesteld. Bovendien kan iedereen hackers-software binnenhalen via een USB drive op de echte hardware, dus de beveiliging zit hem in het host Windows systeem en het netwerk, niet de virtual PC.
2) Een virtual PC maakt de PCs veel trager dan teveel software. Ze zouden de images zo af en toe volledig opnieuw moeten aanmaken, maar dat doen ze niet. Ze gebruiken images waar steeds software op geinstalleerd en de-installeerd wordt.

Nu is mijn vraag: waar slaat dat op? Is er iemand die weet of er serieus enig nut is om gebruikerssoftware op een virtual PC te draaien (terwijl het prima op het host systeem draait?) Is dit een serieuze beveiliging? Of zijn die lui gek geworden?

[Tukk]

Wat ik veel zie binnen bedrijven is een kleine client met een server waar Virtuele machines draaien.
Overal heb je dezelfde client en als netwerkbeheerder is het vele malen simpeler beheren, maar veiliger?

Wat bedoelen ze met veilig? Tegen hackers, tegen virussen, voor het netwerk zelf?

Kunnen de studenten dan nog wel het netwerk op, of hebben ze geen netwerk access nodig?
Indien dat laatste het geval is kan ik me er iets bij voorstellen.

Indien je zware applicaties wil draaien is de bovenstaande config echt te klein om normaal gebruik te maken van je pc. Vandaar de server-oplossing die ik vaak zie. Dat heeft alleen meer met beheersbaarheid te maken dan veiligheid.

[ Voor 19% gewijzigd door Tukk op 08-01-2007 13:03 ]

[The Eagle]

Als developer (ben d'r zelf 1) wil je dat je de volledige controle hebt over een machine. Localadmin dus. D'r hoeft maar een instelling verkeerd te staan en je bent nergens meer. En soms kun je het in het scherm wel aanpassen, maar wordt dat door je beperkte rechten dan weer niet doorgevoerd in het register. Daar wordt je niet vrolijk van kan ik je zeggen. Local admin dus
Alleen gaan localadmin en overal in kunnen loggen op zijn zachtst gezegd niet goed samen. Ga maar na wat voor zooi dat geeft als er een "normale" student op een dergelijke machine wil inloggen. Alle instellingen naar de gort, helpdesk weer inschakelen om te spoolen etc. Bovendien: als je een user localadmin geeft, werkt dat door in het hele net, dus op ALLE werkstations. Van beiden wordt je, zeker met het oog op de beheerslast, niet vrolijk van kan ik je meedelen.

Een virtuele omgeving waarop je dan alles kan is dan een stuk makkelijker. OK, het draait iets trager, maar je kunt iig vooruit. Bovendien: als een image van een virtual PC naar de klote is, kun je gewoon weer een nieuwe zelf laten kopieren. Is een stuk makkelijker als een PC spoolen en kan door de studenten zelf gedaan worden
Wel ben ik het eens met het feit dat de hardware config een de zwakke kant is. Ik draai zelf een redelijke XP-pro dev-omgeving onder VMware op een P4 2,8Ghz en 512 virtual RAM (intern fysiek is 1GB) en dat is aan de krappe / trage kant.

Een andere oplossing is fysiek verwisselbare HDD's en speciale ICT-werkstations, maar ik begrijp dat men daar niet aan wil - werkstations moeten ook door anderen te gebruiken zijn.
Dus de voorgestelde oplossing lijkt me voor alle partijen het beste. Al zou ik de betreffende werkstations dan wel met wat meer ram uitrusten

[KatirZan]

zo'n dergelijk systeem, daar heb ik nog een urenlange discussie over gevoerd met een mede-IT-er.

Het werkt wel iets anders, maar komt op hetzelfde neer :

Hij beweerde dat het typische terminal systeem (??!?!?!?! ) van windows 2003 SE R2 beter was om te gebruiken dan een stand-a-lone werkplek met een floating account.
Zijn visie was dat het begrip "inloggen op de server dmv remote desktop" en stuk beter werkt bij 150+ werknemers dan elke werkplek los installeren en een floating account gebruiken.

Nu werkt RD wel beter dan een VS/VPC omdat je met een betere hardware/software verdeling zit. Maar het is beide niet ideaal.

VS/VPC drukt dusdanig het hardware gebeuren omlaag dat systeem ontiegelijk traag worden.... ditzelfde geldt voor een RD met 150+ werknemers (op 1 !!!!! server )

Klein editje nog : Hiernaast kan VS/VPC maar maximaal met 512mb geheugen overweg, alles meer dan dat kan gewoon niet en heeft zelfs geen nut. Daarnaast wordt de CPU load een stuk hoger aangezien je een server/pc normaal gebruikt en daarnaast nog een extra "install" hebt die dezelfde hardware voor een 2e maal aanstuurd....

[ Voor 16% gewijzigd door KatirZan op 08-01-2007 13:37 ]

[Verwijderd]

Tukk schreef op maandag 08 januari 2007 @ 13:01:
Wat bedoelen ze met veilig? Tegen hackers, tegen virussen, voor het netwerk zelf?

Kunnen de studenten dan nog wel het netwerk op, of hebben ze geen netwerk access nodig?
Indien dat laatste het geval is kan ik me er iets bij voorstellen.

Er is een tijd geweest dat studenten in het laatste jaar Power User rechten kregen (in een bepaald lokaal), maar daar werd misbruik van gemaakt. Er werden spelletjes gespeeld en er zouden pogingen zijn gedaan de Windows file server te hacken (waarvan de veiligheid wat wat mij betreft weinig te maken heeft met onveilige clients.)

Ondertussen zijn er geen studenten meer met zoveel rechten.

De studenten hebben geen netwerk access nodig om C/C++ programmaatjes te schrijven, maar ze moeten wel bij hun files op de home drive kunnen. Bovendien, als studenten eenmaal met J2EE projecten bezig gaan is het hebben van een server natuurlijk nodig.

[Tukk]

Verwijderd schreef op maandag 08 januari 2007 @ 13:36:
[...]

Er is een tijd geweest dat studenten in het laatste jaar Power User rechten kregen (in een bepaald lokaal), maar daar werd misbruik van gemaakt. Er werden spelletjes gespeeld en er zouden pogingen zijn gedaan de Windows file server te hacken (waarvan de veiligheid wat wat mij betreft weinig te maken heeft met onveilige clients.)

Ondertussen zijn er geen studenten meer met zoveel rechten.

De studenten hebben geen netwerk access nodig om C/C++ programmaatjes te schrijven, maar ze moeten wel bij hun files op de home drive kunnen. Bovendien, als studenten eenmaal met J2EE projecten bezig gaan is het hebben van een server natuurlijk nodig.

Indien je admin/poweruser rechten op een Virtuele pc dan kunnen ze nog steeds games installeren en de windows file server hacken.

[Verwijderd]

KatirZan schreef op maandag 08 januari 2007 @ 13:35:
zo'n dergelijk systeem, daar heb ik nog een urenlange discussie over gevoerd met een mede-IT-er.

Het werkt wel iets anders, maar komt op hetzelfde neer :

Hij beweerde dat het typische terminal systeem (??!?!?!?! ) van windows 2003 SE R2 beter was om te gebruiken dan een stand-a-lone werkplek met een floating account.
Zijn visie was dat het begrip "inloggen op de server dmv remote desktop" en stuk beter werkt bij 150+ werknemers dan elke werkplek los installeren en een floating account gebruiken.

Nu werkt RD wel beter dan een VS/VPC omdat je met een betere hardware/software verdeling zit. Maar het is beide niet ideaal.

VS/VPC drukt dusdanig het hardware gebeuren omlaag dat systeem ontiegelijk traag worden.... ditzelfde geldt voor een RD met 150+ werknemers (op 1 !!!!! server )

Klein editje nog : Hiernaast kan VS/VPC maar maximaal met 512mb geheugen overweg, alles meer dan dat kan gewoon niet en heeft zelfs geen nut. Daarnaast wordt de CPU load een stuk hoger aangezien je een server/pc normaal gebruikt en daarnaast nog een extra "install" hebt die dezelfde hardware voor een 2e maal aanstuurd....

Even een opmerking over floating accounts. De meeste mensen werken altijd op dezelfde PC dus floating accounts zijn feitelijk geen floating accounts. Bovendien, doet het netwerk het even niet kun je gewoon blijven doorwerken op je PC, maar niet je thin client.

Wat een groot nadeel is van een centrale RD server is dat je bijvoorbeeld niet je outlook met je phone kan synchroniseren en je eigen software installeren. Bij een IT bedrijf waar software wordt ontwikkelt lijkt dat me totaal onacceptabel.

Bij een groot bedrijf met veel vertegenwoordigers en sales jongens (of een bibliotheek ofzo) kan ik me een RD server wel voorstellen, maar de schaalbaarheid is misschien een probleem.

[Verwijderd]

Tukk schreef op maandag 08 januari 2007 @ 13:48:
[...]
Indien je admin/poweruser rechten op een Virtuele pc dan kunnen ze nog steeds games installeren en de windows file server hacken.

Ja en nee, je kunt VPC 2004 zo installen dat het alleen local netwerk access heeft (op de lokale PC) zodat er dus geen sniffers/trojans zich kunnen verspreiden.

Naar mijn mening is het netwerk beveiligings probleem een probleem van het netwerk. Je moet je switches dus instellen dat er niet kan worden gesnift.