Firewall ext. met threat protection pack vs pi-hole

[ECS Mechelen]

Mijn vraag
Onze leverancier van de firewall kwam langs om eens kennis te maken (is lang geleden) en had ook een praatje bij van DNS security, GEO-ip filter en Web en email filter en dat we die voor een maandje kunnen uit proberen.

Dit zo gedaan en het is wel wat maar de kost prijs is me te hoog, deze bedraagt 55,90€ per "vaste" machine en vermits we met 25 machines zitten zouden we aan bijna 1400€ zitten jaarlijks bovenop ons vast abonnement van 565€. Moest dit nu een vast bedrag zijn per jaar ongeacht de machines zou ik nog zeggen ja.

We zijn heel content over de service dat ze bieden maar die prijs.

Relevante software en hardware die ik gebruik
Een firewall van een Mechels bedrijf dat we hebben aangekocht maar we hebben er een jaarlijks service contract bij.

Wat ik al gevonden of geprobeerd heb
Nog niets geprobeerd, maar ben aan't denken om een vm op te spinnen op onze server en daar pi-hole op te zetten en die dan de dns laten doen.

m.v.g.

Michael

[CrankyGamerOG]

Er zijn legio open source producten op de markt die kunnen wat jij wil, wat heb je zelf al gevonden?
Duw een van die producten op een goeie server en je hebt dat geld er in een jaar uit tov de offerte.

[ Voor 33% gewijzigd door CrankyGamerOG op 02-07-2024 16:11 ]

[SVMartin]

Dat vind ik wel wat kort door de bocht. Het ligt er namelijk maar aan wat die externe dienst nu exact doet, maar ook wat je denkt nodig te hebben (risico's).

Begin daar eens mee: wat voor bedrijf ben je, welk risico loop je dat je niet kunt accepteren, en wat voor maatregel zou je kunnen nemen?

Zomaar extra zaken inrichten omdat een leverancier ze verkoopt.. is meestal zonde van de tijd. Ook als je het zelf met minder uitgaven, maar hogere kosten (tijd) zou kunnen doen, terwijl het helemaal niet nodig is.

[ECS Mechelen]

@CrankyGamerOG ik weet niet op wat ik moet zoeken. Ik ken behalve pi-hole niets.

@SVMartin Is een DNS service die via lijsten heel veel url's blokkeert. Die lijsten kan je aan of uit zetten. GEO-ip blok lijst werkt hetzelfde, je kan dat per land uit of aan zetten.
Er word wel wat tegengehouden, maar om daar nu een hele hoop geld voor te betalen mmmh.

Wat niet kunt accepteren?

En je koopt dat niet, je leased dat

[Rmg]

Reken jezelf ook niet rijk met pi-hole. Daar zitten ook gewoon kosten aan, en dan vooral in tijd.

Testen, Opzetten, inregelen, documenteren, updaten, monitoren, domeinen die toch niet/wel geblokkeerd moeten worden, loggen, updates, scope creep. Etc. etc.

Die 1400 van het eerste jaar is er zo doorheen, tweede jaar ook wel, als je je tijd rekent als kosten dan zou het mij niet verbazen als de pi-hole oplossing pas na een jaar of 2 voordeliger is.

[ECS Mechelen]

@Rmg We hebben momenteel 2 dns servers. 1 Voor het gasten netwerk (firewall) en 1 voor het interne netwerk (Windows server). Dat ben ik al aan't veranderen zodoende dat de interne dns afkan en we nog maar 1 dns server hebben.

Uren voor opzetten/onderhoud e.d. tellen we niet, dat is overhead.
Als ik daarna die pi-hole (of andere software) zou doen moet ik toch alles omschakelen naar die nieuwe.

Documentatie: ik geef dat door aan onze externe it leverancier, dat ze dat bij in hun documentatie kunnen zetten.

Wat betreft domeinen: dat gaat wel mee vallen. Onze gebruikers klagen niet veel of veel te laat heb ik gisteren gemerkt dat spotify/sonos/youtube niet meer werkte om dat die in een audio/video filter staan.

[BytePhantomX]

Ik weet bij voorbaat dat deze mening enigzins controversieel gaat zijn, maar als ik geld investeer in security producten, dan zijn DNS gerelateerde security producten en GEO ip filters er daar geen van.

Je voorkomt met die diensten vooral aanvallen uit het verleden. Aanvallers weten dat deze producten veel gebruikt worden en wisselen daarom continu van ip en domein. Daarmee ben je met deze producten eigenlijk net altijd een stapje te laat. Het enige wat het misschien tegenhoud is adware achtige zaken, maar de meer serieuze aanvallen niet.

Wil je geld investeren, investeer dan in een geavanceerd EDR oplossing (Microsoft Defender for Endpoint, Eset, Crowdstrike etc). En ga dagelijks naar dat dashboard kijken, daar heb je veel meer aan.

Een andere reden om kritisch te zijn naar (kleinere) leveranciers en/of het zelf doen. Om dit enigszins te laten werken heb je zeer actuele threat intell nodig met malicious ip adressen en domeinen. Tenzij je zelf een goede leverancier hebt (met bijbehorende kosten) kun je eigenlijk niet over actuele lijsten beschikken.

[ Voor 17% gewijzigd door BytePhantomX op 03-07-2024 09:13 ]

[F_J_K]

Geo-filters: je bent heel veel laaghangend fruit kwijt qua ongerichte 'aanvallen' . Maar inderdaad, iemand die actief richt op jou pakt wel lokale IP-adressen. En dat valt dan eerder op zonder de ruis.

Maar inderdaad, nee gebruik van blacklists mag niet de hoogste prio hebben. Ook wegens de nadelen, zoals waar de geolocation-database niet klopt en het IP van een thuiswerker wordt geblokkeerd of een collega ff vanaf vakantieadres wil meekijken.

Iets als Defender for Endpoint ("gratis" als je al E5 licenties hebt) goed inrichten zou hoger op de wensenlijst mogen staan ja.

[CrankyGamerOG]

SVMartin schreef op dinsdag 2 juli 2024 @ 18:42:
Dat vind ik wel wat kort door de bocht. Het ligt er namelijk maar aan wat die externe dienst nu exact doet, maar ook wat je denkt nodig te hebben (risico's).

Alles wat dat bedrijf kan kun je ook zelf met een degelijke server. Of je dat wilt is een 2e natuurlijk.

[ECS Mechelen]

@F_J_K we hebben niet de E5 maar Standaard office licenties. Als een collega wil meekijken moet ie via Teams maar inloggen en mee aan een vergadering deelnemen. We zijn een klein bedrijf en de mensen dat een laptop hebben is laag.

@BytePhantomX Ik heb het aan onze it leverancier gevraagd wat we nog kunnen doen qua EDR. Volgens mij hebben we al een diepe integratie via Datto en Windows Defender.

Toch al bedankt voor de wijze raad

[ Voor 4% gewijzigd door ECS Mechelen op 03-07-2024 15:23 ]

[BytePhantomX]

@ECS Mechelen Er zijn meerdere Defender opties, maar ook van andere leveranciers. De essentie is vooral dat je op een centrale plek naar de meldingen kan kijken en dat ook doet en niet alleen er op vertrouwd dat een AV het wel allemaal blokkeert.

[ECS Mechelen]

Dank aan allen voor de feedback; we gaan voor een pi-hole (ECS-hole ) en EDR van Huntress met M365 addon.