Noob: Hoe controleer ik mijn netwerk op security issues?

[GJA]

Na veel zoeken... Mijn kennis en ervaring is niet heel groot en ik kom er nu niet mee verder; veiligheid mbt 1 pc lukt nog wel maar een heel netwerk is lastiger. Zijn er tools of tips waarmee ik veiligheidsissues in mijn netwerk kan opsporen en verhelpen?

Even het waarom achter deze vraag: Laatst was ik bezig met een IP camera. Die werkt dus niet als er geen verbinding is met internet. Zegt dan dat je niet bent ingelogd. Volgens mij betekent dat gewoon dat het niet werkt als de Chinese fabrikant er geen verbinding mee kan maken; gevoelig als backdoor binnen m'n netwerk en gaat dus foetsie.

Er staan hier meerdere pc's, een synology NAS, meerdere Android telefoons (redelijk recent). Ook zijn er nogal wat apparaten die slecht geupdate worden; receiver, tv, omvormer voor zonnepanelen; dat soort zaken.
Wat ik nu doe; apparaten die ik wel op het netwerk wil hebben maar niet met internet wil verbinden ontzeg ik de toegang in de router. Wil ik ze van buitenaf toch benaderen zet ik een VPN op via de NAS.
Hoe detecteer ik nu dat soort apparaten met de standaard apparatuur? Straks komen er nog IOT spulletjes bij (stopcontactjes, verlichting) Dat is toch niet meer te beveiligen voor een consument?

Als router gebruik ik de standaard Ziggo apparatuur. Net een nieuwe gekregen maar de mogelijkheden van dat ding zijn niet heel groot.
Het wifi netwerk is volgens mij wel goed afgeschermd tegen gebruikers die ik er niet op wil hebben.

[MAX3400]

Derde hit op Google: https://www.qualys.com/forms/freescan/

Sowieso kan je overwegen (!!!) om je Ziggo modem in bridge te zetten en in ieder geval poorten en protocollen in eigen hand te nemen met pfSense en/of een EdgeRouter.

[Bierkameel]

Of een MikroTik
Daar kan je precies loggen welk IP waar verbinding mee maakt, desnoods over een paar dagen, daarna kan je VLAN's opzetten en via firewall rules bepaalde dingen toestaan en de rest blocken.

[Keiichi]

Bierkameel schreef op woensdag 31 januari 2018 @ 08:49:
Of een MikroTik
Daar kan je precies loggen welk IP waar verbinding mee maakt, desnoods over een paar dagen, daarna kan je VLAN's opzetten en via firewall rules bepaalde dingen toestaan en de rest blocken.

Klinkt echt iets voor een Noob zoals ts zichzelf noemt.

Denk de belangrijkste tips:
- Verander standaard wachtwoorden
- Doe je updates

[Tsurany]

Focus op de beveiliging van je individuele apparaten. Ga er vanuit dat ze al je netwerk binnen gekomen zijn en begin vanaf dat punt de schade te beperken.
Beveilig je Synology en zorg dat gebruikersaccounts niet meer rechten hebben dan eigenlijk nodig. Zo hoeft een mediaspeler bijvoorbeeld enkel read-only rechten tot de media mappen.
Koop telefoons die gegarandeerd elke maand beveiligingsupdates krijgen, zijn een (beperkt) aantal merken die deze garantie af willen geven.
En andere apparaten hoef je niet perse uitgebreid te beveiligen. Neem nu je verlichting, is het heel kritisch dit te beveiligen? Of je stopcontacten? Je komt er snel genoeg achter en er kan weinig schade aangericht worden.

[GJA]

MAX3400 schreef op woensdag 31 januari 2018 @ 08:47:
Derde hit op Google: https://www.qualys.com/forms/freescan/

Sowieso kan je overwegen (!!!) om je Ziggo modem in bridge te zetten en in ieder geval poorten en protocollen in eigen hand te nemen met pfSense en/of een EdgeRouter.

Daar was ik dus naar op zoek; ga ermee aan de slag!
Als noob klaarblijkelijk met de verkeerde zoektermen gezocht
Over noob gesproken; het in bridge laten zetten en vervolgens zelf gaan routeren is geen echte optie. Lukt nog wel maar het enige dat ik er dan mee opschiet is dat ik er een andere router voor in de plaats zet. En daar vervolgens niet genoeg mee kan om het veilig te maken . Waarschijnlijk maak ik het er alleen maar minder veilig mee.
Tnx!

[MAX3400]

GJA schreef op woensdag 31 januari 2018 @ 09:01:
[...]

Waarschijnlijk maak ik het er alleen maar minder veilig mee.

Nee hoor. Tenminste, als je wil leren (en tijd hebt en even geen internet hoeft): je begint met alles te blokkeren (want veilig) en dan ga je rustig in logging kijken van zowel een router/firewall alsmede een Windows-PC waarom je niet meer kan naar "internet", "Steam", "malwarebytes", "etc".

Oftewel; en het is niet het meest efficient qua n00bness: begin met een blackhole en ga langzaam maar zeker open zetten wat je wel denkt/wil nodig te hebben.

/edit: veel routers/firewalls die de controle in handen geven van de beheerder, werken vaak al met whitelisted en blacklisted zaken. In een aantal gevallen staan standaard (veilige) dingen al open dus je hoeft dan alleen nog maar te kijken waarom je receiver niet kan updaten door middel van de logging op de firewall. En dan kan je alsnog besluiten om die blacklist een rule te geven voor whitelist en dan specifiek voor je receiver naar "site X" en "protocol Y".

[ Voor 26% gewijzigd door MAX3400 op 31-01-2018 09:06 ]

[GJA]

Tsurany schreef op woensdag 31 januari 2018 @ 08:56:

En andere apparaten hoef je niet perse uitgebreid te beveiligen. Neem nu je verlichting, is het heel kritisch dit te beveiligen? Of je stopcontacten? Je komt er snel genoeg achter en er kan weinig schade aangericht worden.

Da's nu eigenlijk mijn grootste zorg; is die schade wel zo beperkt?
Doet een hacker mijn licht aan en uit... nou boeiuh... Maar als dat device nu zo brak is, is het dan een backdoor naar de rest van het netwerk?

Btw: Qualys zegt dat er geen threats zijn gevonden.

[Tsurany]

GJA schreef op woensdag 31 januari 2018 @ 09:45:
[...]


Da's nu eigenlijk mijn grootste zorg; is die schade wel zo beperkt?
Doet een hacker mijn licht aan en uit... nou boeiuh... Maar als dat device nu zo brak is, is het dan een backdoor naar de rest van het netwerk?

Btw: Qualys zegt dat er geen threats zijn gevonden.

Dat bedoel ik, zorg dat je andere apparaten up to date zijn en alles achter login gegevens zit. Zo kent Synology de two factor authentication voor de webportal, dat is handig aan te zetten. En enkel mappen met guest access open zetten als de inhoud volledig ongevaarlijk is.

[McKaamos]

Tsurany schreef op woensdag 31 januari 2018 @ 09:47:
[...]

Dat bedoel ik, zorg dat je andere apparaten up to date zijn en alles achter login gegevens zit. Zo kent Synology de two factor authentication voor de webportal, dat is handig aan te zetten. En enkel mappen met guest access open zetten als de inhoud volledig ongevaarlijk is.

Dit.
Houd je spullen up-to-date. Dat is het enige wat je als noobish eindgebruiker kan doen.
Als er ergens een gat in software zit die ge-exploit kan worden, fix je dat in de meeste gevallen niet zelf, maar draai je gewoon de eerstvolgende patch/update voor je apparaat.
Het is niet alsof je even lekker gaat lopen knutselen met SSH op je NAS, om even een softwarepakket te herschrijven en te recompilen. (en dan de fallout van de dependencies oplossen, etc)

Log dus regelmatig in op je NAS en andere netwerkapparatuur om te zien of ze een update in de wacht hebben staan. Of schrijf jezelf in op de mails van de diverse fabrikanten omtrend updates. (als ze die hebben, mijn NAS mailt me als hij wil updaten)

Desktops zelfde: niet wachten met updaten als het ook maar enigzinds mogelijk is om het direct te doen.

Als je telefoon/tablet geen updates meer krijgt, wordt het tijd voor een nieuwe (eventueel van een fabrikant die langere tijd updates garandeert).
En vergis je niet tussen de appstore updates en de systeem updates op Android. Dat doen veel mensen namelijk. "ja hij krijgt toch nog updates?" terwijl de fabrikant al lang de updates heeft opgeheven en je dus alleen nog maar updates van apps ziet, en niet het besturingssysteem.

Verder kan je jezelf alleen wapenen met goed opletten wat er open staat en waar mogelijk goede wachtwoorden neerzetten.
Gebruik b.v. Keepass en de daar in geintegreerde wachtwoord generator. En beveilig dat weer met een certificaat op een USB stick (voor het dagelijks gebruik) en een master password. Kopietje van je certificaat parkeer je op een USB stick of iets dergelijks (als backup) en legt dat in een afgesloten kastje/kluisje.

[GJA]

Tnx allen voor jullie tijd en moeite!
De updates worden al trouw uitgevoerd; staan zoveel mogelijk op automatisch. De NAS ga ik nog eens even grondig doorspitten; 2 factor authentication staat nu nog niet aan, goeie tip.
De tablets en telefoons zijn allemaal redelijk nieuw en ontvangen allemaal updates.
Ik zal de exotischere netwerkdevices nog eens goed doorspitten en desnoods maar vervangen. Printers nog even blokkeren van internet en zo.

Edit: ik ga er sowieso vanuit dat niets 100% veilig is. Het 1 is wel veiliger dan het andere.
Als software reuzen als MS, Google en Apple af en toe nog fouten met grote impact maken dan kun je niet serieus verwachten dat andere bedrijven dat niet doen.

[ Voor 22% gewijzigd door GJA op 31-01-2018 10:29 ]

[Frogmen]

TS ga voor jezelf eerst eens na wat de risico's zijn en kijk daarbij dus naar de kans dat het gebeurt en de gevolgen daarvan, die samen zijn het risico. Algemeen gesteld als er fysieke verbinding is is het te hacken, alleen je risico is de kans dat het gebeurt en gevolgen. De kans en de gevolgen kan je beïnvloeden en dan komt hoeveel geld wil je investeren.
Als je stelt ik wil niet dat ze op mijn netwerk komen, dan ben je heel erg veel geld kwijt.