Novell Netware beveiligen

[CAP-Team]

Wij hebben op dit moment bij mij op het werk een Novell 4.11 server draaien (25 user), met deels een UTP en deels een COAX lus (netwerk). We maken verbinding met het internet middels een router (ISDN) wel met een vast IP-nummer ivm onze mail (Groupwise).

Nu zijn we bezig met het veiliger maken van onze internet verbinding, en daarbij is ons een offerte gedaan met o.a. de volgende producten:

* Netscreen-5XP - 10 users + mogelijkheid tot opzetten van VPN sessies
* X-Wall Mail relay (mail scan)
* Trend Micro AntiVirus Software

Aangezien ik niet zo heel erg thuis ben met deze producten, zou ik graag jullie mening willen over:
- zijn dit goede producten (prijs even buiten beschouwing gelaten)
- zijn er betere alternatieven (softwarematig / hardwarematig)
- hoe noodzakelijk zijn genoemde producten in mijn genoemde configuratie.

We zijn wel bezig met kijken naar mogelijkheden van een vaste / snellere internet verbinding, via kabel, ADSL of flatfee ISDN.

Persoonlijk lijkt het mij dat de (Netscreen) firewall niet super-noodzakelijk is, aangezien we met ISDN inbellen. Dit wordt wel anders als we een vaste internetverbinding krijgen, dan vind ik een firewall zeker noodzakelijk.

Als antivirus-pakket gebruiken we op dit moment McAfee, met Netshield op de server, deze wordt wekelijks geupdate. Echter ons Groupwise systeem wordt niet gescand, en met de huidige golf van mail-virussen lijkt me dat niet zo veilig. Dus daarom eventueel overstappen op Trend Micro / X-wall.

Dus als jullie commentaar of opmerkingen hebben dan hoor ik ze graag. Dank u

[Koffie]

Even een hele snelle korte reply : Voor wat betreft firewalling zou ik zeker eens naar BorderManager (van novell zelf) kijken.
Goede firewall, tevens inet proxy.

Voor GroupWise heb je specifieke ani-virus producten, welke ook in staat zijn de attachaments te scannen (en tot ik meen gemiddeld een level 10 diep in .ZIP files enzo)

[Mark]

Voor virusscanning op je Groupwise systeem zou ik kijken naar GWAVA. Volgens mij is TrendMicro/X-Wall hier niet toe in staat (hooguit als SMTP relay'ing achtige oplossingen).
Verder zou ik als bedrijf zijnde *altijd* een firewall draaien als je verbonden bent met het internet. Of dit nu een dialup is, die vaak toch stiekem enkele uren per dag open staan, of een vaste (*DSL, kabel, digistream, etc) verbinding gaat. Je kunt het als bedrijf nooit goed praten dat klantgegevens op straat komen te liggen door de een of andere fout in jullie beveiliging.

[Verwijderd]

Tip1: gebruik een DMZ met een goede firewall
Tip2: 2e firewall/proxy dmv BorderManager (als middelpunt in het DMZ)
Tip3: lees een goed security-boek of laat een security-surevey doen

[Verwijderd]

Inderdaad is Novell Bordermanager (vanaf versie 3.5) een goede oplossing.
Echter is dit vrij duur.
Novell Bordermanager is een van de veiligste proxy/-firewall oplossingen die er bestaan.
Kijk voor tips op http://www.novell.com/coolsolutions/bordermag/

[CAP-Team]

Alvast bedankt voor de tips tot zover

Wij hebben echter geen DMZ, wat mij eigenlijk heel erg "gevaarlijk" overkomt als ik dit zo lees:

Internet --> router --> Server + werkstations

In principe is de server niet nodig voor de werkstations om een internet verbinding te kunnen maken. Dat zou dus wel beter zijn als ik dit hier zo lees.
De router maakt nu gewoon deel uit van het netwerk. Op de werkstations is de DNS server van de provider ingesteld. Dit is allemaal zo geïnstalleerd door onze leverancier destijds (1998). We zijn er altijd vanuit gegaan dat dit een veilige oplossing is.

Het zou dus eigenlijk als volgt moeten zijn

Internet --> Router --> Server + Bordermanager <-> werkstations

En een boek e.d. lezen over beveiliging lijkt me inderdaad geen overbodige luxe
Weet iemand misschien nog goede websites waar meer info te vinden is?

[Verwijderd]

In beide voorbeelden moet die router ook een firewall hebben... en in beide gevalen is een DMZ te maken. Maar het tweede geval is veeel veiliger ja. Daar is security goed uit te voeren...

[Verwijderd]

Denk idd aan bordermanager...nadeel is wel dat daar weer hele specigieke kennis voor nodig is. (en geloof me dat is niet simpel klikken)

Netscreen is een topprodukt wij hebben hier een Ns 25 vrij makkelijk te configgen en heelveel opties.(uitgebreider als de Ns5)
Wij gebruiken hem hier ook om over vpn te citrixen.
Nadeel: Duur!

[Verwijderd]

In het tweede voorbeeld zou ik de eerste firewall geen BM doen.... linux, bsd of zo. En in het middelpunt zou ik BM zetten.

[Verwijderd]

ik heb 6 maanden geleden guinevere aangeschaft om onze groupwise 5.5 server te laten scannen, en (afkloppen) tot nu toe GEEN virussen over de mail binnen gehad...Tevens E-po van mcafee gekocht, desktops overniew ingericht met mcafee enterprise.

Voor een vpn zou ik kiezen voor die novell constructie met de active tokens (zoals de rabobank) meer beveiliging dan dat kan je je eigenlijk niet voorstellen.

Tevens eens met iedereen over die bodermanager van novell, goed product. vraag me alleen af of een unix / linuxmachine niet meer kan beteken, heb het vage vermoede dat novell daarin toch achterloopt, loop ook al tijden te klote om te routen tussen twee wan verbindingen naar één lan verbindin via die bordermanager (en dan vooral op poort routen) maar tot nu toe geen succes...met linux dus meteen wel....

[reddog33hummer]

Bordermanager heb ik goede ervaringen mee maar er zijn ook andere die goed uit de bus komen.

www.checkpoint.com checkpoint praten, die hebben op dit moment 63% van de bedrijvenmarkt in handen (zeggen ze zelf) die leveren ook firewall's met filtermogenlijkheden tegen spam en sexsites (surfen op werk). Preformance is zeer uitstekend te noemen. Wat duur maar je kan alles filteren wat je wilt op een gemakkelijke manier.

Als het is dat alle websites toch bereikbaar mogen zijn vanaf binnen naar buiten dan is www.gta.com (Global Technology Associates) mischien wat. Het is een freebsd gebaseerde firewall, zeer gebruiksvriendelijk en instelbaar en zeeeer moeilijk te kraken.
GTA is vooral een goedkopere optie in sommige situaties. Zij werken standaard met mogenlijkheden voor een dmz.

Maar je zou ook nog kunnen gaan klooien met freesco, linux of freebsd enz.