Home Firewall hardware/software

[NLKornolio]

Tweakerts,
Ben opzoek naar een firewall voor thuis. Thuis is een 1 mans Psychologie praktijk.
Van een collega deze door gekregen https://www.sophos.com/en...-firewall/tech-specs.aspx kan tevens als software op een computer worden gezet.
De pc dient dan wel van twee netwerk poorten voorzien worden en zal dus altijd moeten aanstaan. Aangezien thuis is voorzien van een pc, laptop en nas is het lastig om dit op de desktop te gaan zetten met een virtuele client.

Heb er voor de rest weinig ervaringen met firewalls dus vroeg mij af wat jullie ervaringen zijn met hard of software matige oplossingen. Wat is tevens een vpn firewall ? Is dat voor het connecten naar andere sites ?

Hoeft niet vanaf het internet connectie te hoeven gemaakt.

[Will_M]

Even voor jouw beleving: Je wil "iets" qua beveiliging hebben op de plaats waar het internet bij je thuis (zaak?) binnenkomt én de apparatuur (PC's) welke verbonden moeten worden mét het internet en daarmee gaan zorgen dat alles daarachter altijd beschermt is?

Dat betreffende "ding" moet dus sowieso aan staan op het moment dat een willekeurig apparaat op je eigen "thuis netwerkje" ook maar het idee gaat krijgen om verbinding te maken mét..... IETS wat niet bij je thuis staat.

Zo-Niet: De beste FireWall is je "meterkast"..... Hoofdschakelaar noemen ze zo'n ding ook wel eens

[ Voor 14% gewijzigd door Will_M op 06-01-2016 00:40 ]

[Jester-NL]

caanova1984: Je topic is geflagged als 'vraag'. Maar op basis van je uitleg ontgaat me de vraag an sich even.
Je wilt een firewall voor thuis (en dat is gelijk je werkomgeving).
Laten we beginnen bij het begin. Waarom wil je een firewall? Wat moet het ding doen, en wat is je verwachting dat 'ie doet?
Het lijkt me makkelijker op basis van dat uitgangspunt de vraag te benaderen dan op basis van bovenstaande, waar in een niet heel duidelijk verhaal een linkje staat naar een product dat je een regel later al als 'onhandig' bestempeld op basis van twee van de specs.

[spank_mojoo]

Volgens mij probeer je met dit topic alleen informatie in te winnen en eventueel aankoopadvies.
Ik begrijp uit je verhaal dat je graag een firewall wilt aanchaffen.
Je motieven hiervoor zijn me niet duidelijk, maar dat is ook niet relevant.
Wanneer je al je apparaten in je netwerk achter de firewall wilt hebben, plaats je deze firewall tussen je router en je modem.
Hiervoor zal je dus inderdaad minimaal twee ethernetpoorten moeten hebben op je Firewall.
In de link die je plaatst worden inderdaad Firewalls aangeboden, en ze zien er ook vrij compleet uit.
Ook zal hier wel support ed bij zitten. lijkt me een goeie keuze.

[NLKornolio]

Bedankt voor de reacties begrijp dat het niet echt een duidelijke vraag is

Ik wil de psychologie praktijk van mijn moedertje beter beveiligen. Ze is een zelfstandig psycholoog met een zaak aan huis. De regels voor de beveiliging zijn sinds 2016 aangescherpt en wordt de verantwoordelijkheid voor patient dossiers wordt bij de zelfstandige neergelegd.

Aangezien mijn moeder nogal een computer analfabeet is, is haar computer gebruik niet echt veilig te noemen.

Ik ben dus op zoek naar een zo goed mogelijke beveiliging voor dit thuis network achter een Ziggo aansluiting.
De beveiliging moet dus kwaadwillende buiten het netwerk houden en zorgen dat er bij eventuele malware besmetting het uitgaande verkeer zo veel mogelijk gemonitord en tegen gehouden kan worden.
Het lijkt mij dat dit het best met een firewall box achter mijn modem geregeld kan worden. Hier heb ik weinig ervaring in.
Vroeger wel zonealarm gratis software firewall op mijn pc gehad maar aangezien er ook een NAS komt met patient data wil ik een extra layer beveiliging voor al mijn apparaten op het netwerk.

[ Voor 3% gewijzigd door NLKornolio op 06-01-2016 10:29 ]

[The Lord]

caanova1984 schreef op woensdag 06 januari 2016 @ 10:24:
Ik wil de psychologie praktijk van mijn moedertje beter beveiligen.

Wat wil je (beter) beveiligen; m.a.w. welke informatie en op welke wijze is deze op de apparatuur van de psychologe aanwezig?

Ze is een zelfstandig psycholoog met een zaak aan huis. De regels voor de beveiliging zijn sinds 2016 aangescherpt en wordt de verantwoordelijkheid voor patient dossiers wordt bij de zelfstandige neergelegd.

Welke regels bedoel je?

Ik ben dus op zoek naar een zo goed mogelijke beveiliging voor dit thuis network achter een Ziggo aansluiting....Vroeger wel zonealarm gratis software firewall op mijn pc gehad maar aangezien er ook een NAS komt met patient data wil ik een extra layer beveiliging voor al mijn apparaten op het netwerk.

Een andere firewall voegt weinig tot geen bescherming toe.

[Bor]

Je hebt meerdere soorten firewalls die allemaal een andere mate van bescherming bieden en soms een andere manier van inzet vereisen.

Ten eerste is het van belang om te bepalen hoeveel systemen / PC's je wilt of moet beveiligen. Als dit er één of weinig zijn is een personal firewall misschien interessant.

Dit is in feite een programma dat je op de PC moet installeren welke al het netwerkverkeer in de gaten zal houden en kan filteren. Dit filteren kan vrij diep, tot op applicatie niveau. Het nadeel aan een personal firewall is dat er min of meer continu configuratieaanpassingen nodig zijn. De meeste personal firewalls zullen je een vraag stellen (meeste door middel van een popup) wanneer er verkeer is gedetecteerd die nog niet aan een van de ingestelde regels voldoet. Wil je dit toestaan of niet? Wil je dat toestaan voor deze keer of voor altijd? Wil je nog aanpassingen maken aan de aan te maken filterregel? Om goede keuzes te kunnen maken is kennis nodig. Domweg op alle vragen "ja" antwoorden levert vaak een werkende maar onveilige situatie op. Door de verkeerde keuzes kun je hierdoor beveiligingsrisico's introduceren maar ook legitiem verkeer onmogelijk maken. Je hebt personal firewalls in verschillende soorten en smaken evenals gratis en betaalde versies. Bovendien bieden sommige antivirus producenten dit soort firewalls aan als onderdeel van een antivirus / internet security oplossing.

Hier (Matousec) vind je een site die gespecialiseerd is in het testen van dergelijke software.

Als je meerdere systemen wilt beveiligen of geen extra software op het systeem wilt / kan installeren is de andere optie een netwerk firewall. Dit is in feite een dedicated systeem met meerdere netwerkkaarten of een device welke deze specifieke taak voor zijn rekening neemt. Een voordeel hieraan is dat je de beveiliging kunt centreren rond een enkel punt. Ook bij een netwerk firewall is configuratie nodig. Vaak gaat de beveiliging minder diep dan bij een personal firewall. Het is min of meer een zaak om de juiste netwerkpoorten open en dicht te zetten via een client applicatie, web interface of commandline. Dit wordt vaak aangevuld met beperkte bescherming tegen portscans en andere ongewenste zaken.

Je ziet ook vaak de term "firewall" bij de beschrijving van een router voor thuisgebruik staan. Vaak dekt die term de lading niet tot nauwelijks en biedt de betreffende router niet meer dan een NAT implementatie. NAT biedt welliswaar enige bescherming maar is by design niet als firewall maatregel ontwikkeld / ontworpen.

In beide gevallen geldt dat er netwerkkennis nodig is om het systeem te configureren en te onderhouden. Bij elke doorgang die je in de firewall 'prikt' dien je een goede overweging te maken tussen risico en functie. Een firewall configureren is niet makkelijk als je dit goed wilt doen en je zult ook de logging etc met enige regelmaat moeten analyseren om te kijken of de maatregelen nog voldoende zijn en of er toch niet meer wordt doorgelaten dan dat jij wilt of denkt.

Een "VPN firewall" zoals jij noemt bestaat niet echt. Wat je hebt zijn firewalls die VPN functionaliteit bieden om beveiligde ge-encrypte verbindingen (Virtual Private Netwerk ofwel VPN) te maken. Zowel inkomend als uitgaand in sommige gevallen. Je zou dan bv via een gecodeerde verbinding vanaf afstand in kunnen loggen.

Meer informatie / typen firewalls vind je hier (evenals een opsomming van enkele producten).
Bedenk wel dat sommige producten erg duur zijn.

Naar de specifieke situatie kijkend zou ik in eerste instantie kiezen voor een personal firewall als onderdeel van een anti-malware pakket (dan heb je deze twee zaken gelijk geregeld) en hierbij gebruik maken van de firewall en NAT implementatie van de router. De NAS zou ik specifiek nog beveiligen met goede instelling van rechten en daar ook een firewall instelling op activeren. Synology heeft hiervoor o.a. goede oplossingen. Vergeet ook een goede backup niet!

Wat is er nu al op antimalware gebied gedaan? Dat is ook een groot risico, zeker wanneer er bijvoorbeeld ook met bestanden van derden of vanaf de thuis-pc wordt gewerkt (bv via e-mail, usb sticks, dropbox achtige cloud opslag ea).

Houdt ook het OS up2date evenals alle client applicaties! Gebruik zo weinig mogelijk plugins als Flash etc. Elke extra component is een risico en plugins als Flash staan bekend om de veiligheidsrisico's. Hiernaast gebruik je natuurlijk sterke wachtwoorden die je periodiek veranderd.

Een andere vraag mbt internet en netwerkgebruik; wat is er nu aanwezig wat betreft netwerkkoppelingen? Betreft dit alleen internet of is er bijvoorbeeld ook een soort Zorgnet aansluiting oid. Zijn er koppelingen naar andere dienstverlenders als een apotheek of het landelijk schakelpunt?

[ Voor 21% gewijzigd door Bor op 06-01-2016 11:44 ]

[Arunia]

Andere vraag:
Heeft ze wel internet nodig op die pc waar patiënten informatie op staat?
Het meest veilige is een pc te gebruiken die niet verbonden is met het netwerk.
Bijvoorbeeld een AIO welk op het bureau staat. Scherm met ingebouwde computer.
Daarnaast nog wellicht een andere mogelijkheid ernaast om wel iets op te kunnen zoeken op internet.

Als de pc wel verbinding moet maken met internet om wellicht iets buiten de deur bij een instantie weg te schrijven oid, dan zit je wel vast aan goede beveiligingen.

[F_J_K]

Overigens is een firewall hier bepaald niet het eerste om in te zetten qua beveiliging. Van buiten naar binnen ben je al redelijk gedekt doordat er de Ziggo router tussen zit (tenminste: als daar geen portmappings zijn gedefinieerd en uPnP etc. uit is geschakeld, doen!)

Maar alles wat de PC verzoekt binnen te halen komt gewoon binnen: webpagina's, mails, maar ook malware. Begin er mee met afdwingen dat alle updates worden geinstalleerd, zowel van het OS (welke?) als alle gebruikte programma's. Dus ook Office, browser, PDF-reader, etc. En verwijder zowel Flash als Java als het niet wordt gebruikt voor werkgerelateerde zaken op de praktijk.

Dan een goede virusscanner, die ook wordt geupdated. En zorg dat ze niet met systeembeheerrechten werkt. Dus ook niet achter UAC: een digibeet klikt dan met enige pech gewoon op Ja bij iedere vraag.

En regel desondanks goede, off site en af en toe geteste, backups. Meervoud

Edit:

Arunia schreef op woensdag 06 januari 2016 @ 11:09:
Andere vraag:
Heeft ze wel internet nodig op die pc waar patiënten informatie op staat?
Het meest veilige is een pc te gebruiken die niet verbonden is met het netwerk.
Bijvoorbeeld een AIO welk op het bureau staat. Scherm met ingebouwde computer.
Daarnaast nog wellicht een andere mogelijkheid ernaast om wel iets op te kunnen zoeken op internet.

Als de pc wel verbinding moet maken met internet om wellicht iets buiten de deur bij een instantie weg te schrijven oid, dan zit je wel vast aan goede beveiligingen.

Als geen netwerk nodig is, lijkt dat idd nog beter. Maar steeds vaker wordt gebruik gemaakt van gehoste diensten en communicatie met derden, dus ws. kan het niet zonder. E-mail oid kan ook op een losse tablet of laptop als er echt op veiligheid wordt gelet.

En een belangrijker nadeel van geen netwerk/internet in een SOHO-situatie: geen updates! En zolang er wel bijv USB-sticks in gaan wordt het dus eerder onveiliger.

[ Voor 40% gewijzigd door F_J_K op 06-01-2016 11:14 ]

[NLKornolio]

Bedankt voor de uitgebreide reacties,
Ze is aangesloten bij een zorgcollectief https://www.mentaalbeter.nl/ en hierbij is nog een koppeling met https://www.vecozo.nl/default.aspx. Ze moet patient dossiers via een webportal indienen in de systemen van mental beter. Uit mijn hoofd ondersteund de portal alleen IE 8 en een Firefox van 5 versies geleden anders werken bepaalde features totaal niet. De authenticatie gaat via persoonlijk certificaat, hier gaan ze alleen ook totaal niet goed mee om aangezien er als er een koppeling met een andere portal moet gelegd worden moet ze eigenlijk dit certificaat naar hun sturen.

Gelukkig gaat dit wel veranderen een gaan ze waarschijnlijk naar een citrix verbinding toe. Heb de veiligheid eisen en informatie gevraagd bij de desbetreffende partij en dan krijg je het ICT beleid wat door hun binnen het bedrijf voor het personeel wordt rondgestuurd.

De betreffende wetgeving is voor persoongegevens is per 1-1-2016 gewijzigd. http://www.vandiepen.com/...groter-boeterisico-b.html
http://www.considerati.co...rivacy-Verordenin-NL-.pdf

Momenteel staat upnp uit en worden de pc's beschemd met Eset smart security.
De netwerk setup is vrij simpel, modem, lan naar werk pc, wlan naar laptop meer administratie pc en om te browsen. Er is een Synology ds512j in bestelling voor de backup, heb dus nog niet de veiligheid functies daarvan kunnen bekijken. Off-site backup nog niet geregeld maar zal ook maar een externe hdd hiervoor gaan aanschaffen wil dit niet naar mijn nas gaan syncen aangezien dit alleen een extra veiligheids risico met zich mee brengt

Aangezien dit soort patient data toch een van de persoonlijkste is in de zorg. Is het goed dat de wet er nou is zodat hier hopelijk beter mee om wordt gegaan in de toekomst. Aangezien ik niet wil wachten tot er informatie vanuit het zorgcollectief komt over deze beveiliging wil ik dus zo goed mogelijk dit beveiligen. Eigenlijk dus enterprise grade alleen met een consumenten budget.

[ Voor 11% gewijzigd door NLKornolio op 06-01-2016 13:06 ]

[Bor]

Ze gebruikt Vecozo via de web-portal (persoonlijk certificaat) en niet met een systeemcertificaat neem ik aan?

Vecozo ondersteunt veel meer browsers dan jij schetst;

Besturingssystemen en browsers die actief worden ondersteund door VECOZO

• Windows 7
• Windows 8 en 8.1
• Internet Explorer 8
• Internet Explorer 9
• Internet Explorer 11
• Firefox (meest recente versie)

Bron: https://www.vecozo.nl/kennisbank/systeemeisen/

Er zijn een paar aanpassingen bij het gebruik van Windows 10. Meer informatie hierover vind je ook bij Vecozo op de site.

Het gebruik van vecozo is niet spannend. Er is zelfs een configuratie tool beschikbaar om de browser in te stellen voor het gebruik met de vecozo certificaten. Als je de eerste keer inlogged krijg je die volgens mij zelfs automatisch voorgeschoteld.

Houdt je bij een offsite backup (en zeker op een externe harddisk) er ook rekening mee dat de data hierop veilig moet zijn, ook bij diefstal van de schijf zelf?

[ Voor 8% gewijzigd door Bor op 06-01-2016 13:39 ]

[Arunia]

Idd, backup met encryptie.
Ik gebruik zelf op mijn server bijvoorbeeld Crashplan welke ook naar andere computers e.d. kan backuppen met een hoge encryptie.
Werkt ook op synology wat ik je niet aan ga raden omdat bij elke update van het één of ander, het stuk gaat. Dit heb ik bij mijn ouders gedaan en blijf er mee bezig waarna het binnen een week weer niet werkt.
Maar wellicht zijn er andere programma's die zoiets kunnen wat wel gewoon op de synology werkt.

[The Lord]

[quote]caanova1984 schreef op woensdag 06 januari 2016 @ 12:58:

De betreffende wetgeving is voor persoongegevens is per 1-1-2016 gewijzigd. http://www.vandiepen.com/...groter-boeterisico-b.html
http://www.considerati.co...rivacy-Verordenin-NL-.pdf

Ik had al een vermoeden dat aan deze wetgeving werd gedacht.

Ten eerste: beide gelinkte artikelen zijn niet up to date c.q. inhoudelijk incorrect. Dat geldt helaas voor heel erg veel publicaties omtrent de aanscherping Wbp en de aanpassingen Europese wet- en regelgeving.

Ten tweede: De zorgplicht voor de informatie is niet verandert en zou geen reden zijn voor extra maatregelen. De meldplicht, de boetebevoegdheid en de combinatie van die twee zijn de echte verandering.

Ze is aangesloten bij een zorgcollectief ... De authenticatie gaat via persoonlijk certificaat, hier gaan ze alleen ook totaal niet goed mee om aangezien er als er een koppeling met een andere portal moet gelegd worden moet ze eigenlijk dit certificaat naar hun sturen.

Dit werkt met een eigen PKI infrastructuur en niet met b.v. UZI pas?

Gelukkig gaat dit wel veranderen een gaan ze waarschijnlijk naar een citrix verbinding toe. Heb de veiligheid eisen en informatie gevraagd bij de desbetreffende partij en dan krijg je het ICT beleid wat door hun binnen het bedrijf voor het personeel wordt rondgestuurd.

Hmm, klinkt niet direct hoopgevend.

Aangezien dit soort patient data toch een van de persoonlijkste is in de zorg. Is het goed dat de wet er nou is zodat hier hopelijk beter mee om wordt gegaan in de toekomst.

Helemaal mee eens.

Aangezien ik niet wil wachten tot er informatie vanuit het zorgcollectief komt over deze beveiliging wil ik dus zo goed mogelijk dit beveiligen. Eigenlijk dus enterprise grade alleen met een consumenten budget.

Het is vooralsnog moeilijk te zeggen wat als voldoende veilig zal worden beschouwd.
Maar ik sluit me bij een eerdere opmerking aan dat het waarschijnlijk eenvoudiger is om een aparte PC neer te zetten. In kiosk mode met zeer beperkte toegang tot internet (b.v. enkel voor automatische updates van OS, AV en AM). Dat is waarschijnlijk goedkoper en eenvoudiger dan alle andere wegen.

[Bor]

The Lord schreef op woensdag 06 januari 2016 @ 14:09:
[quote]caanova1984 schreef op woensdag 06 januari 2016 @ 12:58:

Dit werkt met een eigen PKI infrastructuur en niet met b.v. UZI pas?

Je kunt bij Vecozo ook inloggen met een UZI pas.
Overigens is de UZI pas ook een "eigen PKI infrastructuur".

[F_J_K]

caanova1984 schreef op woensdag 06 januari 2016 @ 12:58:
Uit mijn hoofd ondersteund de portal alleen IE 8 en een Firefox van 5 versies geleden anders werken bepaalde features totaal niet.

Advies: probeer haar dan aan te leren die oude browser alleen te gebruiken voor siteX. Dat kan je misschien zelfs afdwingen door die versie slechts te laten verbinden met enkele websites. En voor regulier browsen dan een normale, uptodate, browser.

Maar voor Vecozo is dat probleem er inderdaad niet. Dan zouden ze ook problemen hebben met andere overheidsinstanties.

The Lord schreef op woensdag 06 januari 2016 @ 14:09:
[quote]caanova1984 schreef op woensdag 06 januari 2016 @ 12:58:
Ten tweede: De zorgplicht voor de informatie is niet verandert en zou geen reden zijn voor extra maatregelen. De meldplicht, de boetebevoegdheid en de combinatie van die twee zijn de echte verandering.

De meldplicht was er AFAIK ook al, maar nu is er makkelijk(er) een boete uit te delen. Wat natuurlijk heel veel uitmaakt

[NLKornolio]

Het is meer de mentaalbeter portal die niet de nieuwste browsers ondersteund. Dit is voor het uploaden van patient informatie. Vecozo is meer voor facturatie en koppeling met de verzekerings instanties als ik het goed heb begrepen, het certificaat is inderdaad persoonlijk. Was het inderdaad vergeten aangezien de Uzi pas veranderd is van smartcard naar USB smartcard.
Ergens staat er weinig patient data op de computer aangezien ze alles bijhoudt in papieren dossiers, vindt ze makkelijker schrijven terwijl ze met patienten aan het praten is.

We kwamen eigenlijk op de wijziging door de veranderde wetgeving en aangezien de werk pc toch alweer zo'n 5 jaar oud is. Alles is nog in orde qua aanzien van hardware en de hdd zijn nog in orde. Ik schrijf ze alleen toch liever nu al af. Je kan de backup schedule instellen maar zie toch vaak dat die al een tijdje niet heft gelopen. Vandaar dat ik gelijk de hele setup weer is onder de loep wou nemen.

Ben benieuwd als het fout zou gaan hoe ze dit gaan beoordelen aangezien dezelfde wetgeving geld voor zelfstandige als de grote verzekeringen.
Me collega kwam trouwens met een hele goede oplossing, een extra adsl lijn te nemen voor de werk pc met parentel control kan ik bepalen naar welke adressen ze kan connecten.

Bitlocker staat aan ja, vraag me alleen af hoe dat met de sinology gaat werken ?

[ Voor 3% gewijzigd door NLKornolio op 06-01-2016 14:39 ]

[Bor]

Als je de PC gaat vervangen of upgraden zou je wellicht ook nog naar disk encryptie of iets als bitlocker kunnen kijken. Met gegevens op papier heb je weer andere uitdagingen maar dat gaat allemaal redelijk offtopic ten opzichte van de initiële vraag die je hebt gesteld.

[Bor]

Ben je inmiddels verder gekomen? Ik ben benieuwd welke keuzes je gaat maken.

Vergeet ook niet de vraag als beantwoord te markeren als je een bevredigend antwoord hebt ontvangen

[NLKornolio]

Hoi Bor, het was eigenlijk niet mijn keus dit als vraag te stellen, wist niet dat ik de functie bestond

Heb het er nog met mijn moeder over gehad, mijn moeder gebruikt eigenlijk grotendeels papieren dossiers. Helaas moet ze dit wel in mentaalbeter invoeren al dan niet een wat beknopte versie. Het blijkt ook dat hun de Uzipas niet meer gebruiken. Hierin denk ik eigenlijk dat de verantwoordelijkheid onder hun valt en niet die van de psycholoog. Heb gezegd dat ze dit moet aankaarten en zonder genoegend antwoord eigenlijk zou moeten aangeven, aangezien mijn moeder eerder bezorgd is dat er data van haar patienten op straat komt, dan hun dat zijn. Het is alleen niet verstandig voor haar om dat zelf te doen.

Ze zijn bezig het systeem te upgraden, er is alleen eigelijk te weinig informatie van hun kant om mij hierop te kunnen voorbereiden. Heb dus gezegd dat ze de informatie over beveiliging moet opvragen al dan niet eisen. De Uzi-pas wordt blijkbaar niet gebruikt voor de mentaalbeter portal maar alleen voor vecozo ( puur facuratie ). In mijn ogen zijn de financieen beter beveiligd dan de data.

Heb gezegd dat ze een tweede internetlijn moet nemen om haar persoonliijke browsing en wifi voor bezoek moet gaan scheiden. De firewall lijkt me na jullie antwoorden en haar informatie over invoeren van data inderdaad iets to much.
Volgende week haar pc eerst upgraden met ssd en de synology voor backup in te regelen.

Ze heeft binnenkort een bijeenkomst van mentaalbeter te bespreken. Ze gaat hier de volledige informatie van beveiliging opvragen. Denk dat ik hierna een wat betere beslissing kan gaan maken.
Zal dan mischien een nieuw topic openen.

In ieder geval bedankt voor de hulp allen.