Apfelinsel

Talk => Thema gestartet von: Jochen am Oktober 04, 2011, 07:37:47

Titel: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 07:37:47
Ausgelöst durch "Vorfälle" wird nun jeder Zugriff auf Seiten im www verboten.
Zugriff auf vetrauenswürdige Seiten im www wird erlaubt.
Falls man auf eine Seite klickt die nicht freigeschaltet ist, kann man beantragen, dass sie freigeschaltet wird.
Die Freischaltung kommt dann einige Tage später - oder auch nicht.

Nun gut soweit die Theorie.

Nun ist es ja so, dass das www ja eine Fundgrube auch für legale Informationen ist.
Man hat ein technisches Problem.
Man benötigt eine schnelle Lösung.
Man sucht was mittels Suchmaschinen, z.B. google und es werden Treffer angezeigt.
Die Treffer lassen sich aber nicht anzeigen da Seite nicht freigegeben.
Man weiss ja auch nicht was sich hinter der Seite  verbirgt, ich gehe mal davon aus, dass es keine Seite mit Schadsoftware ist.

Wie wird denn sowas technisch gehändelt ?
Nach welchen Kriterien ?

Im übrigen, hier komme ich drauf.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 04, 2011, 08:26:57
Wie wird denn sowas technisch gehändelt ?
Nach welchen Kriterien ?

Technisch ist das doch simpel. Einfach erst einmal alle Zugriffe in der Firewall oder im Proxy verbieten und dann eine Liste von erlaubten Adressen führen und pflegen, für die das Verbot nicht gilt.
Die Kriterien kann das Unternehmen beliebig festlegen. Da es ja eine White-List ist, ist es nicht besonders schwer und benötigt nicht viel Logik. Der Admin schaut sich die Seite an, deren Freischaltung man beantragt hat, prüft die vorgegebenen Kriterien und trägt die Seite evtl. in erlaubt ein. Fertig.

Oder was meintest Du?
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 08:33:29
Wie wird denn sowas technisch gehändelt ?
Nach welchen Kriterien ?

Technisch ist das doch simpel. Einfach erst einmal alle Zugriffe in der Firewall oder im Proxy verbieten und dann eine Liste von erlaubten Adressen führen und pflegen, für die das Verbot nicht gilt.
Die Kriterien kann das Unternehmen beliebig festlegen. Da es ja eine White-List ist, ist es nicht besonders schwer und benötigt nicht viel Logik. Der Admin schaut sich die Seite an, deren Freischaltung man beantragt hat, prüft die vorgegebenen Kriterien und trägt die Seite evtl. in erlaubt ein. Fertig.

Oder was meintest Du?

Das Unternehmen hat ca. 20.000 MA in diversen Ländern ;-)

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: fränk am Oktober 04, 2011, 08:39:25
Das Unternehmen hat ca. 20.000 MA in diversen Ländern ;-)

Du wirst dich wundern, wie wenig Internetseiten diese 20.000 Mitarbeiter benötigen um ihre Arbeit zu erledigen. ;)
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 08:51:04
Das Unternehmen hat ca. 20.000 MA in diversen Ländern ;-)

Du wirst dich wundern, wie wenig Internetseiten diese 20.000 Mitarbeiter benötigen um ihre Arbeit zu erledigen. ;)

Das ist schon richtig.
Es gibt aber durchaus Abteilungen in denen Forschung und Entwicklung betrieben wird.
Diese nutzen google u.ä. um nach Infos zu suchen.
Diese benötigen Daten von Unterlieferanten.
Und da ist es nicht hilfreich wenn eine Freischaltung erst nach einer Woche kommt.
Gut, man kann natürlich nun sagen > dauert nun halt alles länger ;-)

Da klemmt es doch schon derzeit.

Jochen

Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 04, 2011, 08:55:22
Ah, es geht Dir weniger um die technische Umsetzung, als darum, dass so etwas grundsätzlich langsam und hinderlich ist.

Ja, da hast Du Recht. Die müssen entweder sehr viel Geld und Arbeitskraft in das Pflegen der Filterliste investieren oder es wird alles extrem lange dauern und/oder nach einiger Zeit ganz schlecht funktionieren.
Das ist der große Nachteil von Whitelists.

Aber ob sich die Leute, die derartiges entschieden haben, um solche Details kümmern, ist eher fraglich. Die kriegen zu hören "So ist das sicher und einfach" und schon ist es entschieden. Wenn jemand aufgrund dessen langsamer arbeiten kann oder Sachen später fertig werden, dann interessiert es eben nicht. :(
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: fränk am Oktober 04, 2011, 10:29:04
Es gibt aber durchaus Abteilungen in denen Forschung und Entwicklung betrieben wird.
Diese nutzen google u.ä. um nach Infos zu suchen.
Diese benötigen Daten von Unterlieferanten.

Keine Angst, diese Kollegen haben uneingeschränkten Zugang ins WWW.

Die dürfen es euch „während-der-Arbeitszeit-private-ebay-Deals-Abwicklern“ nur nicht sagen. ;)
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 11:11:17
"Keine Angst, diese Kollegen haben uneingeschränkten Zugang ins WWW."

Das wüsste ich aber, falls ich da tätig wäre.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 11:17:43
Die Kriterien kann das Unternehmen beliebig festlegen.

Man kann sich beliebige Kriterien überlegen al la alles was dem Admin nicht gefällt wird gesprerrt.
Ich gehe aber mal davon aus, dass es technisch nachvollziehbare Kriterien sind.
Welche könnten es dann sein ?

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 04, 2011, 15:51:50
Ich gehe aber mal davon aus, dass es technisch nachvollziehbare Kriterien sind.

Da gehe ich nicht von aus. Ich könnte mir vorstellen, dass die irgendwelche Regeln in der Art festgelegt haben, dass die Seite für die berufliche Tätigkeit wichtig sein soll. Also schaut der Admin drauf, ob da private oder dienstliche Sachen drauf sind und fertig. Zudem werden wohl wenige einen Antrag stellen, damit private Sachen (z.B. eigene Facebook-Seite) erreichbar ist.

Ist halt eben die Frage, was da vorgefallen war und was in Zukunft verhindert werden soll. Das ist weniger eine Frage von technisch nachvollziehbaren Regeln als mehr eine von Frage von "Was soll der Angestellte dürfen?".
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 17:21:25
Ist halt eben die Frage, was da vorgefallen war und was in Zukunft verhindert werden soll. Das ist weniger eine Frage von technisch nachvollziehbaren Regeln als mehr eine von Frage von "Was soll der Angestellte dürfen?".

Ich bin ja kein Fachmann, aber das IT Netz und der Zugriff aufs www wird ja nicht von einem Admin betreut.
Es gibt da ja eine ganze Abteilung in D und F und USA.
Da arbeiten gewiss auch Hilfkräfte (Studenten) .
Die werden ja nicht nach Lust und Laune entscheiden, sondern gewisse Kriterien haben.
Bei Beantragung öffnet er die Seite und schaut in seiner Kriterienliste nach.
Es gibt ja englische, französische, deutsche Seiten.
Da gibt es gewiss einen Kriterienfilter.
Bevor das strengere jetzt eingeführt wurde, waren ja bestimmte Seiten auch schon gesperrt
ebay, musikdownload, porno …

apfelinsel ist ja harmlos und funktioniert derzeit und ist privat >>>> oder auch nicht.
Ich kann ja hier auch mit "Fachleuten" über Dinge diskutieren die mir dienstlich auch weiter helfen.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: warlord am Oktober 04, 2011, 18:13:52
Welche Kriterien Dein Arbeitgeber fürs Freischalten von Sites festgelegt hat, wird Dir hier aber niemand beantworten können. Das wird am ehesten im Betrieb selbst herauszufinden sein. Obwohl der Arbeitgeber womöglich ein Interesse daran hat, dass die Kriterien nicht allgemein bekannt werden.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 04, 2011, 18:18:20
Welche Kriterien Dein Arbeitgeber fürs Freischalten von Sites festgelegt hat, wird Dir hier aber niemand beantworten können. Das wird am ehesten im Betrieb selbst herauszufinden sein. Obwohl der Arbeitgeber womöglich ein Interesse daran hat, dass die Kriterien nicht allgemein bekannt werden.

Das ist mir klar.
Ich dachte es gäbe da so allgemeingültige Dinge:

http://www.kennst.net/blue.security.shtml
http://www.gutefrage.net/frage/woran-erkennt-man-eine-sichere-website
http://www.commoncraft.com/video/common-craft-erklärt-ihnen-sichere-webseiten
http://blog.die-web-architektin.de/index.php?/archives/94-10-Punkte-fuer-eine-sichere-Website.html

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: warlord am Oktober 04, 2011, 18:52:51
Ich dachte es gäbe da so allgemeingültige Dinge:

Nein, gibt es nicht. Und ich denke, jeder der etwas anderes behauptet, lügt oder hat keine Ahnung.

Natürlich gibt es auch fürs Internet ein Gegenstück zur "Strassenweisheit", jenem auf Erfahrung basierenden Bauchgefühl, welche Situationen nun eher zu meiden und welche eher risikoarm sind. Ich behaupte aber, das wird niemand in einen brauchbaren "Katalog" schwarz auf weiss umwandeln können. Denn ein solcher kann nur für vergangene, "bekannte" Situationen erstellt werden. Für die Risikoeinschätzung von "zukünftigen" Situationen gibt es gegenwärtig (und noch lange) nichts anderes, als ein menschliches Gehirn, dem Wissen, Erfahrung und die Fähigkeit zu vernetztem Denken beiseite stehen.

Zudem dürfte Sicherheit meist nur vorgeschobenes Argument eines Arbeitgebers für solche Massnahmen sein. Effektiv geht es bei solchen Massnahmen nicht primär um Sicherheit (dazu eignet sich ein aktuell gehaltener Malwareschutz wohl besser), sondern darum, dass die Mitarbeiter während der Arbeit arbeiten sollen und nicht private Dinge auf E-Bay verhökern, Pornos schauen etc. etc.  Was eine Firma ihren Mitarbeitern erlauben will (bzw. muss), kann also wohl noch weniger allgemein gültig definiert werden, sondern unterscheidet sich von Firma zu Firma.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 04, 2011, 19:54:53
Sehe ich ganz genauso wie warlord.
Das da nicht nur ein einsamer Admin sitzt und das die gewisse Regeln haben, ist klar. Was im konkreten Fall für Regeln da sind und ob und inwieweit die was mit technischen Gründen zu tun haben, lässt sich nicht erspekulieren.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 07, 2011, 12:54:44
Die verantwortlichen Admins nebst deren Management hier in Germany sind mit der von der Zentrale im Ausland festgelegten rigiden Sperrung auch nicht zufrieden.
Ihnen sind die Hände gebunden.
Nun gut - oder auch nicht.
Man könnte sich aber doch eine Lösung deart vorstellen, dass man pro Abteilung ein Rechner aufstellt - zum searchen im www - der keine emails empfangen und senden kann und kein Zugriff aufs Intranet hat.
Meinetwegen auch Sperrung von USB und FW Anschlüssen.
Und auch Sperren der gängigen Seiten.
Dann könnte man dort mit Searchmaschinen suchen, sich Treffer an zeigen lassen und evtl. Lösungen für Probleme finden.
Oder gäbe es da auch einen Haken

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 07, 2011, 13:18:39
Nein, da gibt es keinen Haken.
Das ist eine reine Sache der firmeninternen Wünsche, Entscheidungen, Regelungen.
Mit technischen Gründen hat das nur ganz am Rande bis gar nichts zu tun.

Du schreibst auch nicht, was für Vorfälle in der Vergangenheit waren und was mit der Sperrung eigentlich verhindert werden soll.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 07, 2011, 13:40:53
Nein, da gibt es keinen Haken.
Das ist eine reine Sache der firmeninternen Wünsche, Entscheidungen, Regelungen.
Mit technischen Gründen hat das nur ganz am Rande bis gar nichts zu tun.

Du schreibst auch nicht, was für Vorfälle in der Vergangenheit waren und was mit der Sperrung eigentlich verhindert werden soll.

Das was ich weiss, kann ich nicht posten.
Aber so viel weiss ich auch nicht.
Ich bin ja im wesentlichen nur Anwender und Nutzer des www.
Meine Kollegen und ich greifen halt sehr oft aufs www zu um z.B. technischen Datenblätter zu laden oder auch Informationen - technische oder andere - zu sichten.
Der Knackpunkt ist halt wenn ich was via google suche und Treffer angezeigt bekomme muss ich die Treffer ja bewerten.
Geht halt nur wenn ich die Trefferseite aufrufe. Und da sind erfahrungsgemäss die meisten gesperrt.
Ich kann dann die Aufhebung der Sperrung beantragen, i d.R. wird dem stattgegeben, jedenfalls bei den letzten 5 Sperrungen war das so, aber das daaaaauuuuuert und ist viel zu umständlich bei den google Treffern.
Dies ist nur praktikabel bei Seiten wo ich den Inhalt kenne, die aber momentan gesperrt sind.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 07, 2011, 14:44:34
Ich verstehe Dein Problem voll und ganz. Eine derartige Sperrung ist für die Mitarbeiter unpraktisch, langsam und nervig. Das ist keine Frage.

Solche Sperrungen können unterschiedlichste Gründe haben, z.B. soll privates Surfen verhindert werden oder Virenbefall oder Weitergabe von Geheimnissen oder...
Man kann für jede der Gründe unterschiedliche Lösungen finden, die unterschiedlich gut oder schwer die Arbeit unterstützen oder behindern.

Eine grundsätzliche Sperrung mit einer Whitelist wie bei Euch, ist die von den Admins am einfachsten umzusetzende und von Entscheidern zu verstehende Lösung. Aber meist auch die schlechteste für den normalen Mitarbeiter.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Oktober 07, 2011, 15:25:56
... von Entscheidern zu verstehende Lösung. ...

Ja, sehe ich auch so. Die haben den Entscheidern gewiss die Kindersicherung a la OS X gezeigt und das fanden die toll.

Ich bekam heute nachmittag einen Rückruf eines Admins, der sagte das seine Gruppe ca. 400 Seiten pro Tag freischalten muss, jedenfalls die letzten Tage seit dem das eingeführt wurde.

Toll ;-)

Deren Arbeitsplatz ist erst mal sicher.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Oktober 07, 2011, 15:30:52
Deren Arbeitsplatz ist erst mal sicher.

Genau.  ;D
Das könnte auch einer der Gründe sein...
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Dezember 15, 2011, 10:24:32
Irgendwann kann ich tagsüber Montag bis Freitag nicht mehr posten.
Stelle fest, dass zunehmend immer mehr Seiten gesperrt sind.
Irgendwann auch diese.
Sind alles seriöse Seiten.

Da ich in der Vergangenheit, also seit es Zugriff aufs www gab, mein Wissen und Know How auch aus dem www bezog, wird nun diese Quelle bewusst ausgetrocknet.

Naja, mich betrifft es demnächst nicht mehr so stark.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Florian am Januar 13, 2012, 19:18:36
Nicht das ich Jochen es empfehlen würde, dies am Arbeitsplatz umzusetzen ;), aber Onkel Heise wüsste Rat (http://www.heise.de/netze/artikel/Netzzensur-per-SSL-Tunnel-aushebeln-1412967.html).
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Januar 14, 2012, 07:17:00
Uiuiui, ist ja nett, dass so etwas geht, aber die Arbeitsstelle würde ich so nicht riskieren. Wenn so etwas raus kommt...
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Januar 14, 2012, 09:25:52
Uiuiui, ist ja nett, dass so etwas geht, aber die Arbeitsstelle würde ich so nicht riskieren. Wenn so etwas raus kommt...

Die Firma schadet sich letztendlich selber wenn sie einfach nur erlaubte Seiten frei schaltet.
Da ich bedingt durch meine Tätigkeit Informationen im Netz recherchieren muss oder möchte oder kann, kam ich halt schnell auf Lösungen.
Das geht nun fast nicht mehr. Was nützt es wenn ich bzw. mit google oder anderen Suchmaschinen Treffer angezeigt  bekomme, aber die Seite dann nicht öffnen kann. Dann muss erst ein elektronisches Antrag aufgefüllt werden zum Öffnen der Seite und nach 1 bis 2 Tagen kommt evtl. positives feedback.

Teilweise auch ganz triviale Sachen, z.B. vorgestern wollte ich nach einem Akkuladegerät suchen und bekam Conrad angezeigt.
Gesperrt ;-(

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: MacFlieger am Januar 14, 2012, 10:59:41
Die Firma schadet sich letztendlich selber wenn sie einfach nur erlaubte Seiten frei schaltet.

Klar, sehe ich genauso.
Ich meinte nur, dass ich dann nicht mit den beschriebenen Methoden versuchen würde, diese Sperren zu umgehen.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Florian am Januar 14, 2012, 13:22:10
Klar, ich meinte das schon ernst, er soll es nicht machen. Das wird Jochen auch selber wissen.
Ich habe es nur in dieses Thema gepostet, weil's halt passte.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Florian am Januar 14, 2012, 13:35:07
Das geht nun fast nicht mehr. Was nützt es wenn ich bzw. mit google oder anderen Suchmaschinen Treffer angezeigt  bekomme, aber die Seite dann nicht öffnen kann.

Habe noch nie mit derartigen Sperren zu tun gehabt, aber eine Idee:
Bei statischen Seiten lohnt sich bei Google vielleicht der Klick auf „Im Cache“. Den hat Google im neuen Interface (würg!) jetzt versteckt.
Erst Maus-Cursor auf ein Suchergebnis halten, nicht klicken -> es erscheinen rechts zwei Pfeile. Ein Klick darauf lädt eine Vorschau der Webseite (die dann wohl bei Dir in der Arbeit nicht geladen wird), darüber steht „im Cache“.
(Google lädt von den durchsuchten Seiten eine Kopie an, die liegen dann auf deren Server.)

Eine Forumsbeteiligung oder Bestellvorgänge gehen darüber natürlich nicht und das Abbild kann schon veraltet sein, Datum steht immer drüber.




 
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Jochen am Januar 18, 2012, 07:51:00
Bei statischen Seiten lohnt sich bei Google vielleicht der Klick auf „Im Cache“. Den hat Google im neuen Interface (würg!) jetzt versteckt.
Erst Maus-Cursor auf ein Suchergebnis halten, nicht klicken -> es erscheinen rechts zwei Pfeile. Ein Klick darauf lädt eine Vorschau der Webseite (die dann wohl bei Dir in der Arbeit nicht geladen wird), darüber steht „im Cache“.

Hier mit IE und FF erscheint nur ein Doppelpfeil >> wenn ich mit der Maus über den Treffer fahre.

Jochen
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: Florian am Januar 18, 2012, 16:32:22
Sag ich doch.
Titel: Re: IT Sicherheit in Unternehmen
Beitrag von: radneuerfinder am Februar 06, 2012, 19:52:31
http://www.golem.de/news/accenture-studie-fast-70-prozent-nutzen-eigene-rechner-am-arbeitsplatz-1202-89580.html