Wie gaan er waar vandaan toegang krijgen tot dat extranet?

De security issues van W98 en NT4: de platformen worden (zo goed
als) niet meer ondersteund door Microsoft. Er komen geen security
patches meer uit, etc. Kortom het zijn onveilige platformen. Daarnaast
zal het zo zijn dat nieuwe software waarschijnlijk niet meer zal kunnen
draaien op deze platformen, dus het gaat ook beperkingen vormen
voor te gebruiken functionaliteiten.

Goed punt idd Poele. Dat is ook zeker iets dat de doorslag
kan geven.

De externe toegang is voor klanten en personeel tot een CMS.

Het is niet zondermeer noodzakelijk om W98 en NT4 eruit te gooien.
Afhankelijk hoe deze systemen in contact (kunnen) komen met het
Internet is dit wel of niet noodzakelijk. Wel is het van belang om goed
na te denken hoe je de gegevens uit het CMS ter beschikking gaat
stellen via het publieke internet. Hoe kritisch zijn de gegevens voor je
organisatie? Staan er persoonsgegevens in (Wet Bescherming
Persoonsgegevens)? Zo maar je CMS aansluiten op het internet
brengt risico's met zich mee die je moet afdekken van
bedrijfseconomisch en juridisch oogpunt. Dat is ook een argument
richting de directie. Hoe kritisch zijn de gegevens?

Zodra je Internet Explorer uit win98 sloopt, wordt het
systeem een stuk veiliger, en kan je dergelijke machines wel
gebruiken op je netwerk, aangezien de meest gebruikte
exploits tegewoordig gebruikmaken van IE, of zwakheden in
NT5 (winXP/win2k), verder moet je inventarizeren waar die
machines staan, en wat ermee gedaan wordt.

Win98 heeft nooit enige vorm van security gehad. Het is een OS voor
de thuisgebruiker die dat niet nodig heeft/had. Maar verder sluit ik me
hier helemaal bij aan. Dit is m.i. de reden om over te schakelen.

Maar als je met extranets aan de gang gaat raad ik je ook aan om een
(hardwarematige) firewall aan te schaffen. Deze vervolgens inrichten
met een fatsoenlijke DMZ, de (extern toegankelijke) webserver in de
DMZ plaatsen etc..

Ik zou het CMS zelf niet in de DMZ plaatsen maar deze in het LAN
plaatsen en te ontsluiten via reversed proxy.

De gegevens die we ter beschikken willen stellen voor de
klant zijn zeker kritisch en mogen niet in haden van derder
vallen. Een extra hardwarematige firewall zal er dan ook
komen, zodat de webserver in de DMZ komt te staan. Rest
achter de firewall, zoals SQL server bijv. We zijn nog niet
zover dat we hier al concrete plannen voor hebben liggen.

Het gaat er nu om in hoeverre WIn98 machines uberhaupt
toelaatbaar zijn op het netwerk als we een intranet/extranet
gaan gebruiken. het gaat erom dat ik met een degelijke rits
argumenten naar de directie kan stappen om een go te
krijgen. Vervangen van de Win98 brengt nou eenmaal wat
kosten met zich mee.

Hmmm. Je zou zeggen van niet natuurlijk. Aan de andere kant, soms
zijn O'S'en zo oud dat er nauwelijks exploits meer voor zijn. Ik weet niet
hoe dat zit met W98. Je zou eens kunnen kijken hoeveel
kwetsbaarheden er op dat platform gepubliceerd zijn.

Overigens, hoe wil je omgaan met authenticatie?

Ik niet :) Reverse proxy in DMZ1, Webserver in DMZ2, database
backend in DMZ3. Segmentation to the max.. ;-)

Dit alles om eventuele SQL injections niet gelijk op je LAN uit te laten
komen... Zelfs een reverse proxy kan niet alles filteren en laat soms
wat door. Anders moet je 'm zo ver dicht zetten dat je het risico loopt
dat het "normale" verkeer ineens geblokkeerd wordt.

Hendriku: Gaan die interne Win98 clients zelf ook surfen op het grote boze Internet? Of kunnen ze alleen maar naar de intranet/extranet sites?

In het eerste geval zou ik die Win98 clients vervangen voor XP. Dit omdat er genoeg ellende via browsen binnen is te halen. Denk dan aan trojans en een hele rits Explorer exploits die in het wild rondzwerven.

In het tweede geval is dit niet zo heel erg van toepassing aangezien je zelf volledige controle hebt over de content op de intranet/extranet sites.

Gezien het feit dat de gegevens kritisch zijn zou ik het extranet in ieder geval achter SSL zetten. Uitereraard met een username/password beveiliging. Misschien zelfs authenticatie op basis van client certificaten of mbv tokens...

Authenticatie is ook nog een hot item idd. We zijn nu met
een andere partij aan het praten over een mogelijk CMS. Hoe
we het intern gaah oplossen is dan ook niet 100% duidelijk.
Via LDAP zou geloof ik een mogelijkheid zijn?

SirDice, de computers maken gaan zoals in eerste geval
gebruik maken van het extranet, alsmede het internet.
Vervanging door XP Pro lijkt mij daarom ook een logische keuze.

Is voor elke DMZ een hw-firewall nodig? Of zou dat ook met
een softwarematige firewall kunnen?

Interne authenticatie kan natuurlijk op basis van een Active Directory of
NDS 9wat heb je?). Voor externe gebruikers zou ik zeker kiezen voor
tokens en niet vertrouwen op gebruikersnaam / wachtwoord.

Je zou ook nog kunnen overwegen om je echt kritische systemen te
voorzien van IPS-functionaliteit.

Daarnaast moet je kijken hoe je het CMS gaat aanbieden. Is het een
web based applicatie? Zit er SSL-functionaliteit in? Zo niet, dan zal je
voor SSL-versleuteling moeten zorgen.

Momenteel wordt hier nog NT Server gebruikt, om maar even
aan te geven hoe we er aan toe zijn. Kan je iets aanraden
voor NT en wanneer we over zouden stappen naar 2003?


IPS zit doorgaans toch ingebouwd in firewalls? Of is het
juist een extra?

Het wordt een web-based app. Is het beste en gemakkelijkste
voor alle gebruikers. Ik ga wel uit van SSL maar hangt
natuurlijk van uiteindelijke keuze van systeem.

Da's waar natuurlijk. Even nog mbt de argumenten om W98 en NT4
de deur uit te werken: hoeveel gaat die implementatie van het CMS
jullie opleveren, in de vorm van meer business of minder kosten?
Wanneer dat nou een flink bedrag is, dan kunnen die 15
werkstationnetjes en wat nieuwe servers wel meegenomen worden in
de business case.

Een beetje hardware firewall heeft meerdere interfaces zodat je
meerdere DMZ's kan defineren.

Bij banken is het meestal de regel dat er 2 hardwarematige firewall's
worden gebruikt van verschillende merken. Dit om eventuele exploits
voor de ene firewall tegen te houden met de andere.

Software firewall's heb ik geen vertrouwen in (die zijn leuk voor thuis). Stel namelijk dat je server gekraakt wordt (via dat ene poortje wat wel open staat), het is dan voor een aanvaller een koud kunstje om die software firewall op die server anders te configureren of zelfs uit te schakelen...

Ik denk dat je er verstandig aan doet om gelijk naar 2003 over te
gaan. Anders zit je misschien over 1-3 jaar weer in het zelfde schuitje
maar dan met een overgang van win2k naar 2k3. Als je dan toch bezig bent gelijk maar een beetje op de lange termijn plannen ;-)

Ben gelijk even gaan zoeken. Bij Misco kom ik oa D-Link
(DFL-700) en Hotbrick (VPN800) tegen. Redelijk betaalbare
firewalls tot €500,-. Hebben jullie hier ervaring mee of
raden jullie iets anders aan? VPN is overigens vooralsnog
geen vereiste.

Cisco.

Mag ik weten hoe groot je organisatie is, qua aantal werkplekken?

25, aantal externe client (qua extranet) nog onbekend maar
zullen tientallen worden.

Ik kan mij een artikel hier herinneren wat een leuke opsomming gaf
van prima betaalbare firewalls. Ik kan het alleen niet meer vinden :(

Luister eens, ik ben niet kapot van Windows 98, zeker als men het
heeft over stabilteit en beveiliging. Ik zou (dat is mijn mening) gewoon
overstappen op XP.

Huh ?? Weet je wel wat je hele upgrade je gaat
kosten ?
EUR500 is een druppel op de gloeiende plaat. Vergeet de
licenties, installatie en beheer niet. Het netwerk zal ook
wel niet al te best zijn, dat wil je dan ook niet de
bottleneck laten zijn, toch ? En kan je dat allemaal zelf
installeren en onderhouden?
Ga niet meteen implementeren maar concentreer je op
functionaliteit, daar gaat het nl. om. Leg je visie vast
in een doc. Maak dan een plan: van huidige situatie naar
nieuwe situatie, wat er allemaal nodig is en moet gebeuren.
Evt. nog een globale planning. Dan kun je pas kijken wat het
gaat kosten als je gaat migreren. SF

Spijker op de kop. Het is VEEEEL te vroeg om nu al te gaan praten
over welke firewall je wel of niet nodig hebt. Bouw eerst je functionele
plaatje.

Heb je een budget voor het hele verhaal?

Ik loop nu wel wat op de feiten vooruit idd. Ben bezig met
het samenstellen van een plan en inventarisatie van de
mogelijke investeringen. Die firewall zal er in een
dergelijke situatie wel komen en wilde alvast wat meer
informatie daarover. Meer nieuwsgierigheid dus.

Natuurlijk gaat het me allemaal niet alleen lukken maar sta
er ook niet alleen voor. Ik wil nu zo snel als mogelijk met
een concreet plan en voorstel komen. Dus alle input is zeker
welkom.

Wil je er een externe partij bij betrekken?

In eerste instantie niet maar ik verwacht wel dat de partij
die ons CMS gaat leveren ook hierin gaat adviseren.

Denk je dat een CMS-leverancier voldoende beveiligings- en
infrakennis in huis heeft? Wel een totaal andere tak van sport. Met
welke partijen praat je nu?

Ik vind een overstap op XP nog helemaal niet zo logisch. Wat
wil je op de workstations aan programmatuur/functionaliteit
beschikbaar hebben?
Vooral omdat je aangeeft graag met een centrale
webapplicatie te gaan werken.

Je praat bij een overstap op een nieuwe Windows over enorme
bedragen en niet alleen qua licenties, je hardware moet de
nieuwe draken ook aan kunnen. Niet te vergeten de hoge TCO
om de handel in de lucht te houden.

Ik draai als test een win95 met outlook en IE eraf......(dat
kan daar nog) en firefox en thunderbird
erop........zonealarm , AVG..... nou ik moet zeggen Het is
SNEL!!!!!!!!!!!!!!!!!!!!!!!!!! en
safe!!!!!!!!!!!!!!!!!!!!!!!!!!!!! en de tcp stack geef ik
niet hier...hahahaha

Kon toen ook nog alles op draaien.......

Ik ben met je eens dat het een enorme kostenpost kan worden
en dat de TCO aardig kan oplopen. Maar wat is het
alternatief dan? Overstappen op Linux stations is ook geen
echte optie omdat we die kennis niet huis hebben. Dus wat dan?

Wat betreft de Win98 machines: bedenk dat grofweg de helft van de
fraudegevallen in een bedrijf van "binnenuit" komen, dus door eigen
personeel of tijdelijke krachten worden gepleegd.

En als je fysiek toegang hebt tot een Win98 machine kom je geheid
binnen, daar valt weinig tegen te doen. Nu maakt het dan nog wel
verschil of er gevoelige data op de PC's zelf staat of dat die alleen op
het netwerk aanwezig is, maar toch ... ik zou persoonlijk nooit Win98
netwerkmachines meer toestaan in een bedrijf.

<Peter>

Wat is je functie in het bedrijf?

Het alternatief, al zou het enkel de server zijn, zou een
ander O.S. in kunnen houden, niet persé Windows of Linux.
Afhankelijk van wat je naast de centrale webapplicatie
verder nog op de werkstations aanwezig wilt hebben aan
functionaliteit zou je wellicht aan het huidige
Windows 98 voldoende kunnen hebben. Dat scheelt je
licenties. Ik weet niet of je er iets over kwijt wilt wat er
naast de centrale webapplicatie aan programmatuur /
functionaliteit op de werkstations gewenst is? Want daar zal
in deze waarschijnlijk toch het meeste gewicht liggen, schat ik.

Dat
geldt voor alle Windows' Windows vereist wat meer aandacht
en kunde maar neemt niet weg dat bijvoorbeeld Windows 98
niet afdoende zou zijn dicht te timmeren / rippen. Vaak
ontbreekt die kennis om Windows zodanig te kneden dat er
alleen mee kan wat er vooraf bepaald mogelijk zou moeten
zijn, betekent niet dat dit onmogelijk zou zijn. Beheer is
nu eenmaal wat omvangrijker dan 'setuppen' van CD van welk
O.S. of versie dan ook.

Op vrijdag 08 april 2005 13:53 schreef Peter:
> En als je fysiek toegang hebt tot een Win98 machine
> kom je geheid binnen, daar valt weinig tegen te doen.

en op op vrijdag 08 april 2005 20:37 schreef Anoniem:
> Dat geldt voor alle Windows

Sterker: dat geldt voor elk besturingssysteem, tenzij
de PC geheel is afgegrendeld (geen verwisselbare media, geen
USB/firewire, kast niet te openen of mee te nemen zonder een
alarm af te laten gaan etc). Zo niet dan kan iedereen (nou
ja, sommige typmiepen daargelaten die de Win98 "logon"
escape nog net wel kennen) met bijv. Knoppix of BartPE een
keylogger installeren. N.B. vergeet ook de beveiliging van
je netwerk niet.

Als je bang bent voor "aanvallen" van binnenuit zul je ook
kamers, ladenkasten, bureaux etc. grondig moeten afsluiten.
Voor de meeste bedrijven (vooral kleinere) levert dit een
onwerkbare situatie op, en is dit, tenzij je een high tech
of high security bedrijf bent, gewoon overkill.

Voor aanvallen van buitenaf kan, zonder ervaren beheerders
die tijd en budget krijgen om beveiliging goed op te
zetten, Win98 wel eens een kleiner risico vormen dan XP: ik
kan me (buiten OE/IE6) geen vulnerabilities voor Win98
herinneren waar snel exploits voor uitkwamen, en verwacht ze
ook niet meer; XP zul je vaker en sneller moeten patchen.

Tevens is NT/2K/XP mogelijk een groter security risico dan
Win98 indien "vereist is" dat gebruikers lid zijn van
Administrators, waarbij de bijbehorende vette PC's vaak
uitnodigen tot het installeren van allerlei "handige"
uitbreidingen. Zo is het mogelijk is dat een
opgeleukte XP PC, ondanks 3GHz CPU, 1GB RAM en snelle
schijf, niet alleen gevoelsmatig langzamer is dan een
Win98 PC met P600, 256MB en oude HDD.

Toegegeven, als je veel "zware" applicaties tegelijk open
hebt laat de stabiliteit van Win98 te wensen over.
Daarentegen, geheugenmodules die moeite hebben met actuele
bussnelheden, ploffende elco's, oververhitte schijven en
stoffige CPU/GPU coolers in lawaaiige 400W straalkachels
geven ook BSOD's - zelfs SP2 kan dat niet voorkomen.

Erik van Straten

Ik dank je Erik voor je volwaardige aanvulling, want je
uitgebreide stelling is realistisch, waar ik te kort van
stof ben gebleven.

Windows 98 is niet te handhaven, puur gezien vanuit het
aspect 'ondersteuning'. Applicaties zullen op een gegeven moment
(misschien nu al) niet meer draaien op W98, drivers worden niet meer
ontwikkeld, etc. Dit geldt ook voor NT. De realiteit zal je dwingen om ze
te vervangen. Het is niet anders.