Is dit voldoende beveiligd ?

[seq_uence]

Kijk even naar de volgende inbelvoorziening: Inbellen op een intranet waar honderden bedrijven aan gekoppeld zijn. Vervolgens d.m.v. gebruikersnaam en wachtwoord een ip toegewezen krijgen waarna een verbinding kan worden gemaakt met 1 LAN in dat intranet. Vervolgens een ICA verbinding maken met een terminal server.

Mijn vraag is dus of deze oplossing voldoende beveiligd is of is een extra firewall en/of VPN verbinding absoluut nodig ?

[Koffie]

- Alleen laten inloggen als het telefoon nummer klopt van die specifieke user
- Server terug laten bellen
- als he puur om ICA gaat, waarom niet via Nfuse ?

[Flyduck]

offtopic:
Een intranet waar honderden bedrijven op aangesloten zijn??? Das zijn de leukere netwerkjes.... oe

[PtrO]

Wat veilig is bepaal je zelf en zal afhangen van de informatie-waarde en de gevolgen bij inbreuk op de omgeving.

Kortom je kan niet zomaar zeggen dat de maatregeltjes voldoende zijn.

Als die 100den bedrijfjes, onderdeel zijn van een naaikransje, zou ik me niet echt zorgen maken en volstaan met userid/password en controle van de logs. Zijn die bedrijfjes in de weer met verslepen van prijzige of gevoelige zaken, dan is meer nodig.

Naast wat al is gezegd kan je gaan denken aan closed networks, multiple path transmission, encryptie, timeslot-check, secundaire authorisatie al of niet op basis van codeword-tellers. Los van aanmelden en beveiligen van data, dien je ook een overeenkomstig informatie beleid te voeren. Zoals beperkte toegang tot informatie, classificatie van de gegevens en geheimhouding. Alleen de voordeur beveiligen met een hoop staal is dus, in bepaalde omstandigheden, niet genoeg.

Kortom veel (en nog meer) is mogelijk. Wat wenselijk is, is de vraag. Bedenk ook dat hoe veiliger het is, hoe moeilijker/lsastiger de toegang zal worden voor je goedminnende gebruikers.

Zeg je dit allemaal niets of boert het te ver, maak je dan maar niet te druk. Installeer eventueel callback. Voer een actief beleid van periodieke wachtwoord wijziging en controle van (mislukte) aanmeldingen.

[TrailBlazer]

Op zondag 13 januari 2002 14:29 schreef PtrO het volgende:
Als die 100den bedrijfjes, onderdeel zijn van een naaikransje, zou ik me niet echt zorgen maken en volstaan met userid/password en controle van de logs. Zijn die bedrijfjes in de weer met verslepen van prijzige of gevoelige zaken, dan is meer nodig.

Ik zal beveiliging nooit af laten hangen van wat voor gebruikers er zitten. Noobs of niet.
Ik zal het laten afhangen van het budget van de klant en daar het maximale mee doen

[seq_uence]

Op zondag 13 januari 2002 12:42 schreef Koffie het volgende:
- Alleen laten inloggen als het telefoon nummer klopt van die specifieke user
- Server terug laten bellen
- als he puur om ICA gaat, waarom niet via Nfuse ?

Ik moet nog uitzoeken of de callback optie mogelijk is, dat ligt natuurlijk aan de ISP in dit intranet.
Waarom geen Nfuse ? Dan heb je toch alles binnen een browser, geeft dat geen beperkingen ?
En we willen op de remote werkplek een Windows based terminal plaatsen (Compaq EvoT20), daar zit geen browser op, je hebt ze ook met browser maar of je dan wel Nfuse kunt gebruiken ?
Verder moet je voor Nfuse toch een IIS hebben draaien of niet ? En die is er nu niet en het is niet de bedoeling dat die er gaat komen.

[seq_uence]

Op zondag 13 januari 2002 14:29 schreef PtrO een heel verhaal

Het is wel zo dat er toegang wordt verschaft tot vertrouwlijke gegevens, is dan deze oplossing niet afdoende ?
Verder is het zo dat je in het geval van een RAS server kunt zorgen dat bv. de admin niet kan inloggen. In dit geval (connectie naar terminal server) is het zo dat elk account in kan loggen. Dat zou ik eigenlijk anders willen, maar hoe ?

[PtrO]

Ik weet niet of dat afdoende is. Dat is aan jou(w klant ?) . Feitelijk praat je over data-beveiliging (integrity/tampering) en toegangs beheer (accounts).

Ik weet niet hoe terminal server daarvoor is in te stellen, wellicht dat een der andere personen hier meer over weet. In principe is dit (nog) niet zo belangrijk, eerst moet je i.s.m met de organisatie een analyse doen naar noodzaak en dan pas gaan kijken hoe dit te implementeren.

Voor beveiliging moet je een beetje paranoia wezen. Het budget voor veiligheid (be)hoort afhankelijk te zijn van de (geschatte) schade die kan worden opgelopen of kosten om te herstellen. Het gaat er om dat een evenwicht wordt gevonden.

Als het gaat om vertrouwelijke gegevens zou ik zeker encryptie (al of niet via VPN) toepassen. Gaat het om gegevens waarmee geld kan worden verdient of gemaakt, dan is callback eigenlijk een must.

Hoe het ook zij, 100% veiligheid is niet realiseerbaar.

[Koffie]

Ik moet nog uitzoeken of de callback optie mogelijk is, dat ligt natuurlijk aan de ISP in dit intranet.
Waarom geen Nfuse ? Dan heb je toch alles binnen een browser, geeft dat geen beperkingen ?

hoe bedoel je? Je kan het idd in een browser window laten draaien, maar ook in een aparte buiten je IE om zeg maar. Je hebt IE dangewoon nodigom in te loggen enzo.

En we willen op de remote werkplek een Windows based terminal plaatsen (Compaq EvoT20), daar zit geen browser op, je hebt ze ook met browser maar of je dan wel Nfuse kunt gebruiken ?

Tenzij dat apparaat OF kan inbellen, OF direct aan inet hangt zie ik niet in wat je met zo'n apparaat remote/thuis moet.

Verder moet je voor Nfuse toch een IIS hebben draaien of niet ? En die is er nu niet en het is niet de bedoeling dat die er gaat komen.

Weet het niet zeker, maar volgens mij draait Nfuse ook op elk andere willekeurige webserver (zou je ff na moeten zoeken).

[Verwijderd]

Op zondag 13 januari 2002 21:45 schreef Koffie het volgende:
Weet het niet zeker, maar volgens mij draait Nfuse ook op elk andere willekeurige webserver (zou je ff na moeten zoeken).

Nou ,niet elke; IIS, apache, netscape en iplanet.

[Verwijderd]

Als het echt veilig moet, een RSA ACE/Server met keyfob

[seq_uence]

Op zondag 13 januari 2002 21:45 schreef Koffie o.a. het volgende:

Tenzij dat apparaat OF kan inbellen, OF direct aan inet hangt zie ik niet in wat je met zo'n apparaat remote/thuis moet.

Zo'n WBT kan inderdaad inbellen want je kunt er gewoon een USB-modem aanhangen, het voordeel van zo'n apparaat is de betrouwbaarheid en het feit dat een gebruiker er niets in kan wijzigen. Dus deze oplossing heeft bij ons de voorkeur boven een gewone pc.

[Koffie]

OK, dan is het interesant voor een user.
Ik heb alleen ervaring met de oude Neostations, en die kunnen dus niet bellen ofzo.