Over op Sophos Central MSP?

[Ronald_]

Volgens onze IT-partner moeten we voor ons bedrijf de licentie voor Sophos Endpoint Protection Standard verlengen. We hebben nu 5 licenties en betalen daarvoor 139 Euro. Prima. Als we verlengen moeten we over naar Sophos Central MSP, tegen een maandelijkse vergoeding. Totaal voor 5 licenties + server komen we dan op een jaarbedrag van 252 Euro.

Ook komt daarbij ook nog 135 euro per jaar bij voor Protection X, tegen ransomware.

Nu baal ik weer een beetje van die (maand)bedragen die maar stijgen. Bijna alle software waar we al jaren mee werken gaat in de cloud en daarvoor betalen we de hoofdprijs t.o.v. updaten wanneer we dat ECHT nodig hebben.

Maar goed. We draaien al jaren Sophos Standard, dat werkt goed. We hebben 1x malware gevonden, al was dat een false positive, op 1 workstation. Ik heb er eerlijk gezegd weinig kaas van gegeten en eerlijk gezegd willen we natuurlijk geen risico lopen. Al heb ik hier een beetje het idee dat we bang gemaakt worden om niets. Nogmaals, we draaien al jaren goed. Zelf controleren we ook heel goed op de phishing-mails, wazige mails, overleden Afrikaanse familieleden met geld. Iets dat we niet vertrouwen openen we niet of bellen we na. Dat werkt vooralsnog goed. Daarnaast installeren we alleen software van betrouwbare en bekende bronnen. We backuppen onze workstations en servers 3 maal daags naar diverse locaties.

Nu vraag ik me af. Wat biedt Sophos Central MSP nu meer voor ons? We werken met z'n 2en. Wat heb ik nu echt nodig dat het bijna dubbele jaarbedrag rechtvaardigt?

Diezelfde vraag stel ik ook over Protection X. Maar ben daarnaast ook wel benieuwd hoe we dan echt bescherm zijn tegen ransomware, welke toch meestal gevaarlijk is als het een zero-day exploit bevat?

Voordat we blind weer meer gaan betalen hoor ik graag jullie advies, ervaringen of bevindingen. Helpt ons enorm om een goede beslissing te nemen.

[RvV]

Afgelopen jaar heb ik zakelijk wat onderzoek gedaan naar verschillende pakketten en zijn er diverse accountmanagers langs geweest met techneuten voor demo's.
In het kort komt het er op neer dat ze allemaal beweren de beste te zijn en dat de concurrentie er niets van bakt.
-"Wij gebruiken machine learning!"
-"Wij gebruiken AI met wiskundige formules"
-"Wij gebruiken blabla..etc.."

Sophos was bij ons snel afgevallen omdat hij bij ons de boel enorm vertraagde. Een hoop mensen begonnen uit zichzelf te klagen dat alles traag was terwijl wij ze niet op de hoogte hadden gebracht dat ze in een poc zaten met een andere av scanner. De desktop pc's waren uitgerust met hdd dus dat kan ook een factor zijn.

Symantec Endpoint Protection kwam bij ons het beste uit de bus, mede vanwege de goede prijs bij grote volumes.

Als het om 5 techneuten gaat die weten waar ze mee bezig zijn, dan zou ik lekker een gratis signature based scanner erop zetten. En zorg dat die backups genoeg retentie hebben en niet mee besmet kunnen worden in geval van infectie.
Daarnaast kan de soort business die je hebt, ook nog een overweging zijn. Werk je veel met vertrouwelijke (klant)gegevens? Je wilt tenslotte niet dat er gevoelige data lekt omdat je geen goed werkende av had geinstalleerd.
Ik heb ook een enorme hekel aan maandelijkse vergoedingen dus zou dat niet snel doen, maar ieder zn voorkeur.

[powerboat]

Je kan sowieso al veel zaken preventief beschermen door SRP i.c.m. whitelisting te gaan gebruiken.
Kost niets als je de Pro versies hebt.

[Ronald_]

[b][message=53024947,noline]
Als het om 5 techneuten gaat die weten waar ze mee bezig zijn, dan zou ik lekker een gratis signature based scanner erop zetten. En zorg dat die backups genoeg retentie hebben en niet mee besmet kunnen worden in geval van infectie.
Daarnaast kan de soort business die je hebt, ook nog een overweging zijn. Werk je veel met vertrouwelijke (klant)gegevens? Je wilt tenslotte niet dat er gevoelige data lekt omdat je geen goed werkende av had geinstalleerd.
Ik heb ook een enorme hekel aan maandelijkse vergoedingen dus zou dat niet snel doen, maar ieder zn voorkeur.

Bedankt voor je uitgebreide reactie.

We werken met zijn tweeën en runnen een kleine drukkerij/printshop. We zijn geen techneuten, maar beheren onze workstations zelf.

De server wordt door een bedrijf onderhouden dat daarin is gespecialiseerd. We draaien daarop SBS 2011 met voornamelijk de e-mail server (outlook) en SQL-server voor ons CRM/MRP- systeem. Echt waardevolle info van klanten hebben we niet; adres en contactgegevens, al gaan we daar zeer vertrouwelijk mee om. Onze workstations draaien Windows 7 Professional (64bit versie). Bij onze apparatuur draaien nog een 4-tal rip-systemen, maar hierop krijgen we geen virusscanner geïnstalleerd omdat deze een Wndows/Linux-versie draaien die helemaal dichtgespijkerd is door de fabrikant en 1 specifieke taak dienen. Dit alles is met elkaar verbonden in het lokale netwerk. Onze boekhoudsoftware draait op een laptop, welke 1 a 2 keer per week aan gaat.

We backuppen de workstations en server 3 x per dag lokaal naar een usb-hdd welke er aan het einde van de werkdag afgehaald worden en er 's ochtends weer op gaan. Daarnaast wordt de server ook intern gebackupt en naar een NAS in het netwerk én staan alle data en bestanden bij Adobe in de cloud. De RIP-computers zijn ge-ghost (zeg ik dat goed zo?) en blijven - uitgezonderd van enkele updates - ongewijzigd t.o.v. die image; als het werkt, werkt het.

Hopelijk kan je hiermee de situatie een beetje inschatten.

We zijn eigenlijk heel tevreden over hoe het nu gaat en zien het nut niet in van een upgrade. Mij lijkt het ook dat als we nat gaan we de backups terug kunnen zetten. Het enige is natuurlijk de klantgegevens, maar hoe realistisch is het dat ze specifiek Drumis aanvallen? Volgens mij draait de server ook een firewall o.i.d., maar dat weet ik eigenlijk niet. Het is wel zo dat ik niet overal remote kan inloggen, enkel en allen van mijn thuis ip-adres (dat is zo ingesteld). We kunnen ook niet direct via een mailclient remote bij onze mail nog via een web-adres. Staat allemaal uit.

powerboat schreef op donderdag 26 oktober 2017 @ 20:36:
Je kan sowieso al veel zaken preventief beschermen door SRP i.c.m. whitelisting te gaan gebruiken.
Kost niets als je de Pro versies hebt.

Jaaa, daar ga ik al. Dat is boven me pet!

[sh4d0wman]

Ik snap de frustratie maar om een goede afweging te maken moet je kijken naar de risico's.

Van de informatie die je gegeven hebt kom ik globaal op de volgende risico's m.b.t malware infecties:
- Niet tijdig kunnen leveren / printen.
- Verlies van backup(s).
- Verlies / Verspreiding van klant-gegevens.
- Indien ontwerp: stelen / vernietigen van designs.

Bekijk wat voor impact dit heeft op je bedrijfsvoering en contracten met klanten.
B.v. wat kost dit per uur,dag,week en hoe lang kan dit duren voordat reputatie schade of financiele problemen onstaan?

*Servers*
De servers zitten waarschijnlijk in de cloud, hiervoor ben je voornamelijk van de leverancier en cloud-provider afhankelijk.
1. Wat staat er in contracten over beveiliging van deze omgeving? Deze partij zal dan met jullie moeten beslissen over AV.
Als jullie dit zelf zijn dan is het van belang om te weten dat server versies vaak duurder zijn dan werkstation.
Nut / noodzaak afhankelijk van je risico analyse.

*Werkstations*
Indien mogelijk zou ik de werkstations naar W10 overzetten aangezien W7 support gaat vervallen. Tevens heeft MS hier Windows Defender Exploit Guard voor gelanceerd welke het moeilijker maakt om bepaalde aanvallen uit te voeren. Verder zit er Windows Defender in wat virusscan functionaliteit biedt.

Ik neem aan dat je op deze werkstations met bestanden van de klant aan de slag gaat. Hier heb je het grootste risico om met malware besmet te raken.
Wat je zou kunnen doen is:
A. Onder normale gebruiker werken, niet als Admin.
B. Een virtuele Linux versie draaien en daarin de bestanden bekijken. Op zeker punt zul je ze toch naar Windows willen hebben denk ik dus zit je met hetzelfde probleem.
C. De bestanden laten scannen door een cloud-AV zoals VirusTotal. Dit kan mogelijk een privacy issue opleveren.

Hier zou ik waarschijnlijk toch een betaalde AV op zetten maar zonder allemaal overbodige functionaliteit zoals b.v. Webcam filter / VPN client / etc.

*Laptop*
Zelfde opmerking als hierboven. Aangezien deze weinig aan staat: zorg dat de eerste taak is om je AV bij te laten werken en Windows Updates.

* Backups *
Een backup naar HD welke de hele dag blijft aangesloten loopt het risico door ransomware getroffen te worden. Hetzelfde voor NAS en cloud indien de getroffen systemen/gebruikers daar toegang hebben. De impact zou gelimiteerd kunnen worden door versioning support. Kijk nog eens kritisch naar dit deel met je IT service provider. Hou er ook rekening mee dat je NAS systeem software draait welke up-to-date gehouden moet worden, ze zijn vaak lek.

* Rip Systemen *
Dit zegt mij niks maar je geeft aan dat ze Linux gebruiken. Wederom het update verhaal. Tevens is het goed om het dicht spijker verhaal eens te laten valideren door een externe partij. Tussen zeggen en doen zit nog wel eens wereld van verschil. Ter illustratie: Symantec maakt AV software en lijkt onfeilbaar toch heb ik er een keer een bug in gevonden welke je SYSTEM rechten kon geven.

Samenvatting:
Er zijn diverse plaatsen waar AV aan te raden is, ik zou echter voor de meest uitgebreide variant gaan.
Een central management console is leuk of makkelijk voor jullie IT service provider maar geen harde noodzaak.

Nog even terug komend op: hoe realistisch is het dat ze specifiek Drumis aanvallen?
Die kans moet je niet onderschatten. Als iemand het bijvoorbeeld bij een pentest tegen komt en er een vulnerability in vind dan kan het zomaar zijn dat deze op internet verschijnt. Heb jij dan net de pech dat Drumis per ongeluk over internet open stond dan is het einde Drumis...

Op de site lees ik al over: web-services, ecommerce, xml parsing, taskmanager, web2print en meer. De kans dat dit allemaal 100% veilig geschreven is lijkt mij heel klein.

[Ronald_]

sh4d0wman schreef op vrijdag 27 oktober 2017 @ 12:10:
Ik snap de frustratie maar om een goede afweging te maken moet je kijken naar de risico's.

Van de informatie die je gegeven hebt kom ik globaal op de volgende risico's m.b.t malware infecties:
- Niet tijdig kunnen leveren / printen.
- Verlies van backup(s).
- Verlies / Verspreiding van klant-gegevens.
- Indien ontwerp: stelen / vernietigen van designs.

Bekijk wat voor impact dit heeft op je bedrijfsvoering en contracten met klanten.
B.v. wat kost dit per uur,dag,week en hoe lang kan dit duren voordat reputatie schade of financiele problemen onstaan?

*Servers*
De servers zitten waarschijnlijk in de cloud, hiervoor ben je voornamelijk van de leverancier en cloud-provider afhankelijk.
1. Wat staat er in contracten over beveiliging van deze omgeving? Deze partij zal dan met jullie moeten beslissen over AV.
Als jullie dit zelf zijn dan is het van belang om te weten dat server versies vaak duurder zijn dan werkstation.
Nut / noodzaak afhankelijk van je risico analyse.

*Werkstations*
Indien mogelijk zou ik de werkstations naar W10 overzetten aangezien W7 support gaat vervallen. Tevens heeft MS hier Windows Defender Exploit Guard voor gelanceerd welke het moeilijker maakt om bepaalde aanvallen uit te voeren. Verder zit er Windows Defender in wat virusscan functionaliteit biedt.

Ik neem aan dat je op deze werkstations met bestanden van de klant aan de slag gaat. Hier heb je het grootste risico om met malware besmet te raken.
Wat je zou kunnen doen is:
A. Onder normale gebruiker werken, niet als Admin.
B. Een virtuele Linux versie draaien en daarin de bestanden bekijken. Op zeker punt zul je ze toch naar Windows willen hebben denk ik dus zit je met hetzelfde probleem.
C. De bestanden laten scannen door een cloud-AV zoals VirusTotal. Dit kan mogelijk een privacy issue opleveren.

Hier zou ik waarschijnlijk toch een betaalde AV op zetten maar zonder allemaal overbodige functionaliteit zoals b.v. Webcam filter / VPN client / etc.

*Laptop*
Zelfde opmerking als hierboven. Aangezien deze weinig aan staat: zorg dat de eerste taak is om je AV bij te laten werken en Windows Updates.

* Backups *
Een backup naar HD welke de hele dag blijft aangesloten loopt het risico door ransomware getroffen te worden. Hetzelfde voor NAS en cloud indien de getroffen systemen/gebruikers daar toegang hebben. De impact zou gelimiteerd kunnen worden door versioning support. Kijk nog eens kritisch naar dit deel met je IT service provider. Hou er ook rekening mee dat je NAS systeem software draait welke up-to-date gehouden moet worden, ze zijn vaak lek.

* Rip Systemen *
Dit zegt mij niks maar je geeft aan dat ze Linux gebruiken. Wederom het update verhaal. Tevens is het goed om het dicht spijker verhaal eens te laten valideren door een externe partij. Tussen zeggen en doen zit nog wel eens wereld van verschil. Ter illustratie: Symantec maakt AV software en lijkt onfeilbaar toch heb ik er een keer een bug in gevonden welke je SYSTEM rechten kon geven.

Samenvatting:
Er zijn diverse plaatsen waar AV aan te raden is, ik zou echter voor de meest uitgebreide variant gaan.
Een central management console is leuk of makkelijk voor jullie IT service provider maar geen harde noodzaak.

Nog even terug komend op: hoe realistisch is het dat ze specifiek Drumis aanvallen?
Die kans moet je niet onderschatten. Als iemand het bijvoorbeeld bij een pentest tegen komt en er een vulnerability in vind dan kan het zomaar zijn dat deze op internet verschijnt. Heb jij dan net de pech dat Drumis per ongeluk over internet open stond dan is het einde Drumis...

Op de site lees ik al over: web-services, ecommerce, xml parsing, taskmanager, web2print en meer. De kans dat dit allemaal 100% veilig geschreven is lijkt mij heel klein.

Kijk, super reactie! Bijzonder wel dat ik op dit forum zo geholpen wordt en onze IT-partner ons slechts over wil zetten op een duurder pakket. Lijkt me dat als ze veiligheid voor ons zo hoog in het vaandel hebben staan dat enkel een duurdere scanner helemaal geen uitkomst biedt. Daarbij geeft - bij afname - niemand de garantie dat het 100% veilig is. Het blijft dus eigen inzicht.

De risico's:
- Niet tijdig kunnen leveren / printen.
Service-contracten garanderen een uptime binnen 12-uur. Zo niet kan er altijd uitbesteed worden; dit is absoluut geen probleem en wordt ook regelmatig gedaan op drukke dagen.
- Verlies van backup(s).
enige dat veranderlijk is van dag tot dag, en niet te herstellen achteraf, zijn onze bestanden en de sql-database met klantgegevens en calculaties. Gaan we handmatig backuppen en direct ontkoppelen, net als vroeger met die gekke tapes )
- Verlies / Verspreiding van klant-gegevens.
Dat is de norm tegenwoordig, toch? Althans. Mijn contactgegevens liggen ook al via diverse partijen op straat: https://haveibeenpwned.com/. Daarnaast is deze info van klanten ALTIJD online te vinden op hun website. Buiten dat vragen en bewaren we verder niets.
- Indien ontwerp: stelen / vernietigen van designs.
Adobe Cloud, lokale backup, server backup én Adobe Cloud wordt ook nog een gesynct met mijn thuiscomputer. (Ook leuk trouwens, een bugje van Adobe waardoor ze na een update ALLE bestanden van je coud-opslag kwijt waren... gelukkig hadden we onze eigen backups)

We hebben het wel eens meegemaakt, vroeger. Toen hadden we een ADSL-lijn van XS4ALL. Malware op een computer en compleet afgesloten van internet door XS4ALL. Dat was inderdaad een ramp. Maar goed, dat is al meer dan 10 jaar geleden. We zitten nu op glas van CBIZZ en onze mail loopt ook nog eens via ROUTIT door een spamfilter. Daarnaast hebben we een tweede lijn als backup.

De specifieke hardware + rip-systemen staat allemaal in onderhoudscontract. Binnen 12 uur dienen alle voorkomende problemen verholpen te zijn, anders rijden ze linea recta nieuwe apparatuur binnen.

Onze workstations zijn dan nog kwetsbaar. Maar niets dat mijn backup (we kunnen 20 dagen terug) niet kan verhelpen denk ik dan.

De laptop draait trouwens windows 10, met Sophos. Voor de andere PC's is dit geen optie. We hebben gewoon te specialistische software welke nog niet goed ondersteund wordt op Windows 10 (het is al een ramp met die cloud-software welke maar updates blijven pushen.)

Lang verhaal kort:
Al trekken we 4 keer zoveel uit voor een scanner. We zijn altijd wel kwetsbaar. We hebben onze zaakjes daaromheen goed op orde waardoor de risico's minimaal zijn:

Het meeste dat hier te halen valt is dan een dump van een hdd van de printer, welke op een goede dag misschien wat scans (van kopieerwerk) van een advocatenkantoor/gemeente bevat....

[ Voor 16% gewijzigd door Ronald_ op 27-10-2017 13:05 ]

[Ronald_]

sh4d0wman schreef op vrijdag 27 oktober 2017 @ 12:10:
Nog even terug komend op: hoe realistisch is het dat ze specifiek Drumis aanvallen?
Die kans moet je niet onderschatten. Als iemand het bijvoorbeeld bij een pentest tegen komt en er een vulnerability in vind dan kan het zomaar zijn dat deze op internet verschijnt. Heb jij dan net de pech dat Drumis per ongeluk over internet open stond dan is het einde Drumis...

Op de site lees ik al over: web-services, ecommerce, xml parsing, taskmanager, web2print en meer. De kans dat dit allemaal 100% veilig geschreven is lijkt mij heel klein.

Ja, dat draaien wij allemaal niet. Enkel het calculatiepakket. dat lokaal draait met een SQL-database op de server. Valt echt niets te halen. Wat mailadressen, adresgegevens en telefoonnumers. Oja, je kunt zien wat we rekenen voor ons werk en hoe we daartoe komen...

[powerboat]

Ronald_ schreef op vrijdag 27 oktober 2017 @ 00:27:
[...]


We zijn eigenlijk heel tevreden over hoe het nu gaat en zien het nut niet in van een upgrade. Mij lijkt het ook dat als we nat gaan we de backups terug kunnen zetten. Het enige is natuurlijk de klantgegevens, maar hoe realistisch is het dat ze specifiek Drumis aanvallen? Volgens mij draait de server ook een firewall o.i.d., maar dat weet ik eigenlijk niet. Het is wel zo dat ik niet overal remote kan inloggen, enkel en allen van mijn thuis ip-adres (dat is zo ingesteld). We kunnen ook niet direct via een mailclient remote bij onze mail nog via een web-adres. Staat allemaal uit.


[...]


Jaaa, daar ga ik al. Dat is boven me pet!

Hier is een kleine tutorial mocht je er niet uitkomen mag je me ook een dm sturen

https://www.bleepingcompu...telist-policy-in-windows/

[Ronald_]

powerboat schreef op vrijdag 27 oktober 2017 @ 13:42:
[...]


Hier is een kleine tutorial mocht je er niet uitkomen mag je me ook een dm sturen

https://www.bleepingcompu...telist-policy-in-windows/

Dat moet wel lukken als ik er eens overheen scan. Maar is dit dan helemaal safe en maakt het een virusscanner overbodig? Of hoe moet ik dit zien?

[sh4d0wman]

Ronald_ schreef op vrijdag 27 oktober 2017 @ 14:18:
[...]


Dat moet wel lukken als ik er eens overheen scan. Maar is dit dan helemaal safe en maakt het een virusscanner overbodig? Of hoe moet ik dit zien?

Alles wat je kan bedenken maakt het moeilijker voor malware maar niet 100% waterdicht want dat kan niet.

Whitelisting kan effectief zijn tenzij malware functionaliteit gebruikt van het OS of whitelisted applicaties.

Een virusscanner kan ook om de tuin geleid worden of in uitzonderlijke gevallen zelfs aangevallen worden en je systeem compromiteren.

MS Emet / Exploit Guard zal helpen tegen memory corruption maar weer niks doen aan Command of SQL Injection exploits.
Etc.

Er zijn verschillen in detectie tussen alle AV en MS ingebakken Defender. Daarnaast zal de ene AV meer resources vragen dan de ander. Als je voornaamste infectie vector de bestanden van klanten zijn dan zou ik vertrouwen op Virustotal, deze scant met vele AV engines dus grote kans op detectie.

Dan kun je op je werkstations gewoon de ingebakken MS Defender gebruiker of als je dat niet vertrouwd een uitgekleed AV pakket er op zetten. Dan alleen nog een AV voor je server(s).

[powerboat]

Ronald_ schreef op vrijdag 27 oktober 2017 @ 14:18:
[...]


Dat moet wel lukken als ik er eens overheen scan. Maar is dit dan helemaal safe en maakt het een virusscanner overbodig? Of hoe moet ik dit zien?

Het bied nooit 100% bescherming maar door:
1. Standaard gebruikers (waarmee je dagelijks werkt) de beheerders rechten afneemt.
2. Beheerders account aan te maken die je gebruikt voor alleen beheerderstaken.
3. SRP met whitelisting toepast.
4. Antivirus pakket installeert (MS Defender is ook prima).
5. Lokele Firewall ingeschakelt.
6. Software met regelmaat update.
5. Backups inregeld met goede rententie.

Dan ben je al erg op de goede weg

[Ronald_]

powerboat schreef op zaterdag 28 oktober 2017 @ 13:07:
[...]


Het bied nooit 100% bescherming maar door:
1. Standaard gebruikers (waarmee je dagelijks werkt) de beheerders rechten afneemt.
2. Beheerders account aan te maken die je gebruikt voor alleen beheerderstaken.
3. SRP met whitelisting toepast.
4. Antivirus pakket installeert (MS Defender is ook prima).
5. Lokele Firewall ingeschakelt.
6. Software met regelmaat update.
5. Backups inregeld met goede rententie.

Dan ben je al erg op de goede weg

Goud! Ik heb dit lijstje bij mn it-man neergelegd en heeft dit vandaag geïmplementeerd. Alleen de SRP whitelist komt ie nog op terug. Ook gaan we de XP-pc updaten naar Windows 7 en alle pc draaien nu de nieuwe Sophos. Nu voel ik me weer op m'n gemak. Bedankt!

[powerboat]

Ronald_ schreef op dinsdag 31 oktober 2017 @ 23:46:
[...]


Goud! Ik heb dit lijstje bij mn it-man neergelegd en heeft dit vandaag geïmplementeerd. Alleen de SRP whitelist komt ie nog op terug. Ook gaan we de XP-pc updaten naar Windows 7 en alle pc draaien nu de nieuwe Sophos. Nu voel ik me weer op m'n gemak. Bedankt!

Graag gedaan maar vergeet die SRP's niet, die zijn nl. Het belangrijkste in het geheel. Het beschermt je tegen zerodays.

Goed start punt is om de
C:\program files
C:\program files (x86)

Te excluden, aangezien je hier toch niet mag schrijven als standaard gebruiker .

Nog een tip !! Bij netwerkshares altijd het volledige unc pad opgeven.