[Windows] bedrijfsnetwerken, wel of geen (windows) firewall

[Razwer]

Gezien de discussie hier: Razwer in "VMware Workstation: 2 guests kunnen elka..." maar een nieuw topic geopend.

De vraagstelling is: Is het gebruik van firewalls op je windows bakken een toegevoegde waarde?

Ik ben van mening dat in een windows domein het gebruik van windows firewall alleen maar een belemmerende factor is en zet deze ook uit op het domain profile. Andere tools zoals anti virus software, cisco ASA bakken en dergelijken en het disablen van onnodige services (let wel, niet te enthousiast worden met gekke services disablen, maar gewoon geen services installeren die je niet nodig hebt) genoeg moet zijn in een domein.

Bij mijn bedrijf hebben we jammer genoeg PCI compliance, en wordt zelfd het server subnet firewalled tussen de clients.
Intersite VPN verbindingen worden zelfs firewalled. Ik vind dit erg ver gaan.
Naar mijn mening zijn er bepaalde services die je als een "global" service moet aanmerken. DC's, Exchange, fileservers, WSUS, WDS, DHCP, SCCM etc moet naar mijn mening volledig beschikbaar zijn op elk stuk van je netwerk. Bakken met NPI (Non Public Information) data (behalve file servers en exchange) moet je inderdaad firewallen.

Blijkbaar zijn er mensen met een andere mening, dus kom maar op

[ralpje]

Ah, een apart topic hiervoor

Wij doen IT-dienstverlening in het MKB. Werkstations / servers hebben bij ons géén firewall. Wel heeft elke internetverbinding een hardwarematige firewall, draait elke machine een virusscanner en zijn gebruikers geen local admin. Een firewall is in dat geval vaak lastiger dan dat het wat toevoegt, imho. En dan iho van de klant, want als we uren moeten gaan maken om dat ding te configgen moet hij ze betalen

[Zwelgje]

aan met die firewalls op de werkstations. kan me nog goed herinneren hoe dat blaster/slammer wormpje ervoor zorgde dat er flink wat ellende was

had allemaal voorkomen kunnen worden door file/print/sql services op werkplekken te blokkeren.

maargoed, tis wel lekker makkelijk en je kan idd op tijd naar huis of naar de volgende klant immers 'hee het werkt niet? ach ik zet de firewall wel uit en alles werkt zoals het hoort...applicatie werkt niet? maak maar local admin! heerlijke mentaliteit. nep-IT'ers die zo werken zorgen er iig voor dat ik genoeg werk heb

[elevator]

Even een aliasje met Beveiliging & Virussen omdat het raakvlakken daarmee heeft

---

Verder, bij ons staan de firewalls ook aan op de clients, in het domain profiel zijn er wel wat 'Remote Administration' exceptions voor bepaalde ranges zodat ze PC's individueel wel managebaar blijven voor een beperkt aantal PC's maar ze toch beter beschermt zijn dan helemaal geen firewall.

[leuk_he]

ralpje schreef op zaterdag 07 november 2009 @ 12:31:
Ah, een apart topic hiervoor

Misschien een open doel intrappen... maar firewalls los disucessien is nogal moeilijk.

firewalls op zich doen niet zo veel.
-Als iedereen local admin draait heeft het maar beperkt nut, het moet onderdeel zijn van een totale IT policy.
-Te aggressive firewalls zie ik ook vaak bij klanten(eigenlijk vooral bij 1 hele grote klant) . Die veroorzaken meer storingen op zichzelf dan dat ze problemen voorkomen.

Ook gaat men dan te veel vertrouwen op firewall, maar firewall zijn slechts een onderdeel van je beveilings strategie.

Elke firewall moet beheerd worden, dus firewalls neerzetten zonder bijbehorende beheertools en menskracht om die te beheren heeft geen nut en werkt de productieviteit van de organisatie tegen. Als je het nut niet aan de gebruikers kunt uitleggen (zoals bij topic starter denk ik), dan verspeel je veel goodwill.

Als de IT het niet regeltgaan de gebruikers het zelf regelen met de gebruikelijke drama's
ken je de Interfaces tussen systeem via outlook e-mail en of excell sheets? komt dat bekend voor?

[Onbekend]

De standaard firewall die bij Windows wordt meegeleverd vind ik voor gebruik binnen een bedrijf geen grote toegevoegde waarde. Meestal zet ik ze gewoon uit. Voor sommige computers zou ik een andere firewall gebruiken waarbij veel beter het netwerkverkeer te filteren is.

[elevator]

Wat ontbreekt er bij de standaard Windows Firewall dan voor jou, juist in een bedrijf?

[Onbekend]

elevator schreef op zondag 08 november 2009 @ 09:20:
Wat ontbreekt er bij de standaard Windows Firewall dan voor jou, juist in een bedrijf?

Specifieke poorten voor bepaalde programma's op bepaalde tijdstippen blokkeren (of juist doorlaten).
Dat zijn specialistische programma's die weinig bedrijven hebben draaien hoor.

[elevator]

Maar dat lijkt me juist iets dat je meer op de centrale firewall regelt, de Windows Firewall in een bedrijfsomgeivng is juist gemakkelijk om zeg maar elke PC individueel van elkaar af te schermen (oftewel, inkomende connecties) zodat een geinfecteerde PC niet zomaar andere geinfecteerde PC's kan besmetten.

Een uitgaande firewall regel je beter centraal omdat anders je beheersoverhead veel te groot wordt.

[Razwer]

Een goede anti virtus tool die goed geconfigged is (mcafee met EPO bijvoorbeeld, ok zo goed is die nou ook weer niet) blokkeert ook bepaalde services op bepaalde poorten. Als voorbeeld: bij ons kun je geen SMTP server draaien op je computer, want mcafee blokkeert het gewoon.
Zodra je met je laptop niet op ons netwerk zit gaan de windows firewall aan.
Internet gaat op de meeste sites via een proxy server met virus scanner
en we hebben overal cisco PIX, ASA en checkpoint firewalls staan.
hierdoor vind ik dat je op "global" servers (zie boven genoemd) ook geen windows firewall draait.
"belangrijke" servers zijn firewalled door een ASA, dus ook daar is windows firewall een onnodige belemmerende factor.
Om mij nep IT-er te noemen (Powershell + SFJ via MSN) vind ik bijzonder triest van jullie zonder dat jullie de discussie aan gaan (die ik dus hier wil aan gaan) om de stelling te motiveren. Als ik nep IT-er ben, vind ik je een autist met tunnelvisie.