Laptops entwanzen

[kadel 10]

Folgender Fall:

 

Bei uns in der Firma werden viele Laptops auch mal mit nach Hause genommen. Die Mitarbeiter gehen damit dann zu Hause evtl. ins Internet und fangen sich vielleicht einen Virus oder Ähnliches ein. Dann kommen sie in die Firma mit dem Teil, stöpseln das Ding ans Netz, loggen sich ein und .... drin ist das Virus in unserem Intranet.

Gibt es da `ne Möglichkeit das Teil erst mal zu entwanzen, bevor ein Virus überhaupt `ne Chance hat, anzugreifen?

Denn da kann unsere Firewall noch gut sein, wenn der Angriff von innen kommt, ist das Netz verseucht.

 

Hat jemand `ne Idee dazu?

 

Mit freundlichem Gruß

 

kadel

[pandur 10]

Ist auf den Notebooks keine Antiviren Software installiert???

 

Wenn ja, dann solltest Du den Notebook sein Anmeldescript verpassen, das beim Anmelden im Netzwerk als erstes die neuesten Virensignaturen herunterlädt. Damit hast Du einen gewissen Schutz.

 

Wieso schließen die Mitarbeiter die Notebooks überhaupt privat an's Internet an???

 

Erklär mal die näheren Umstände weiter...

[blub 115]

Hi kadel,

Es ist technisch nicht allzu schwierig ein Loginskript zu schreiben, dass den Rechner nur in die Domäne lässt, wenn Virensignaturen und Securitypatche auf dem neuesten Stand sind. Das sollte für Notebooks, genauso wie für RAS-Zugänge gelten. Falls das nicht der Fall ist, kommt der Rechner erst in eine Quarantäneumgebung, in der die notwendigen Updates aufgespielt werden.

Ich bekomms bei uns (immerhin Bank) politisch leider nicht durch, so eine "Policy" scharfzuschalten. Es muss wohl erst was passieren in dieser Richtung...

 

Was übrigens auch recht nett ist, wenn so ein Kollege sein Notebook mit nach Hause nimmt und dort ICS (internet connection sharing) aktiviert. Dann hast du plötzlich einen neuen niedlichen DHCP-Server im Netz, der munter 192.168.x.x Adressen vergibt., sobald das Notebook wieder im FirmenLAN hängt.

 

cu

blub

[Sven Eichler 10]

Nur mal so eine kleine Beschreibung, wie sich das bei uns verhält:

 

- Wir haben eine Firewall, die zwischen dem Internet und unserem Intranet steht.

 

- Wir haben auf unseren Servern ServerProtect von TrendMicro laufen.

 

- Mailserver ist per ScanMail gesichert.

 

- SÄMTLICHE unserer Workstations, ob Laptop oder nicht, sind per OfficeScan gesichert.

 

- Unser VirusControlPanel holt alle Stunde neue Definitionen ab und verteilt die dann automatisch direkt an die Clients.

 

- Die Laptops arbeiten, wenn notwendig, ausser Haus auch mal im Internet - Aber nur mit von mir angelegten Konten!

 

- Der Internetzugriff ist von mir vordefiniert, TrendMicro läuft in dem Fall im Mobilmodus und fragt bei einer (ISDN!)-Internetverbindung erstmal beim TM-Server nach, ob neue Definitionen vorliegen.

 

- Ach ja: DER SCANNER LÄSST SICH VON DEN USERN NICHT DEAKTIVIEREN!

 

- User (ausser der Geschäftsleitung) dürfen auf den Laptops keine Software installieren.

 

- Beim Einbinden der Laptops ins Netz sehe ich im ControlPanel, wer sich einen Virus eingefangen hat - Hier schau ich dann mal ins Profil, was da so für Cookies rumliegen, und wenn der betreffende Kollege der Meinung war, per Kaazaa seinen Lieblingsinterpreten herunterzuladen, dann gibt das halt eine auf den Deckel.

 

 

Ich hatte noch nie einen Virus im Netz...

[Sven Eichler 10]

Original geschrieben von blub

 

Was übrigens auch recht nett ist, wenn so ein Kollege sein Notebook mit nach Hause nimmt und dort ICS (internet connection sharing) aktiviert. Dann hast du plötzlich einen neuen niedlichen DHCP-Server im Netz, der munter 192.168.x.x Adressen vergibt., sobald das Notebook wieder im FirmenLAN hängt.

 

cu

blub

 

 

:shock:

 

Uuups, noch gar nicht drangedacht... :suspect:

 

Boah ey, das gäb Ärger... :D

[torstenbeck 10]

Hi,

 

wenn die User auf den Laptops eh keine Adminrechte brauchen, was hindert Dich dann daran per Gruppenrichtline ICS und neue DFUE Verbindungen zu verbieten? Dann können die User nicht mehr ins Internet mit Ihren Maschienen, muß ja auch nicht sein...

Sind es Windows 2000 oder XP Maschinen?

 

Gruß

 

Torsten

[blub 115]

Na, ja wir sind halt ein Softwarehaus. Da hat und braucht fast jeder lokale Adminrechte. Vmware/ virtualPC sind mehr verbreitet als Word und Excel :)

 

cu

blub

[kadel 10]

Der User hat evtl. Adminrechte, denn wenn er auf `ner Messfahrt irgendwo auf der Erde unterwegs ist, geht es einfach nicht anders.

Die Tatsache, dass das eine oder andere "Spielkalb" sich dann irgendeinen Sch... installiert, will ich hier nicht weiter ausschlachten.

Dann hat er evtl. Travel-X, DialXpressway und so weiter installiert, weil ja unterwegs seine eMail-Aktivitäten machen muss, und dann muss er natürlich ins Internet.

Betriebssystem: W2k, XP.

 

@ pandur: Selbstverständlich läuft Symantec AntiVirus auf der Möhre - die Signatur ist dann natürlich nicht immer topaktuell.

 

@ blub: Habe leider nicht genug Kenntnisse, um so `ne Policy zu bauen. Ansonsten ist es bei uns genauso: es muss erst was passieren...

 

@ Sven Eichler: Danke für die Beschreibung

 

Danke erst mal für Eure Mitarbeit!

 

kadel