[gelöst] Firewall -> (Interface) Groups

[chemlud]

Windows telemetry (via Alias), irgendwelche pings, die mein Linux an die Distribution sendet, ipv6 generell. Solche Sachen...

[kosta]

Danke für die Ideen!

[JeGr]

Aber das ist doch relativ einfach: Die Dinge die ich ÜBERHAUPt nicht will, sind floating, alles Spezifische ist auf den einzelnen Interfaces. Kann man sich doch merken. Selbst in meinem Alter funktioniert das ganz gut...

Ich widerspreche dir da ja gar nicht :) Nur zeigt die Praxis, dass das hauptsächliche Arbeiten auf den Interfaces selbst stattfindet und die Menschen dazu neigen, die Floating Rules (wie auch automatisch generierte) zu vergessen und sich dann wundern, warum ihre Regel nicht greift. Darauf zielte auch mein Kommentar ab ;)


> Korrekt. Bis man es in der NIC nicht händisch ändert.

Warum soll ich es ändern wenn ich DHCP mache? Das gibt keinen Sinn. Entweder ich mache DHCP oder ich lasse es aber DHCP machen UND dann noch selbst am Interface fummeln ist doch kontraproduktiv?

> IPv4 TCP/UDP   LAN net   *   LAN address   53 (DNS)   *   *   DNS

So macht es auch viel mehr Sinn, korrekt. UDP würde zudem auch reichen. :)

Nachdem man manuell auch outbound Regeln machen kann, nutze ich Floats fast gar nicht mehr. Damit hat man beim Interface dann einfach immer die komplette Sicht der Dinge und muss nicht im Hinterkopf noch dran denken "da waren noch 2 Blocks, 1 Reject und Co". Aber das macht jeder wie es ihm besser in die Orga passt.

[kosta]

Es gibt User die lokale Admin Rechte haben (= darauf bestehen diese zu haben, ich mich weigere, aber muss mich bücken, da mein Chef?) und er dann vlt. mal auf die Idee kommt in das Feld DNS andere DNS einzutragen, weil ihm sein Kumpel so geraten hat?
UDP ja reicht, aber ich bilde mir ein dass ich mal was darüber gelesen habe, und dann es auf TCP/UDP gesetzt habe. Ich weiß aber nicht wirklich mehr warum... bin halt ehrlich :). Ich werd's aber nochmals untersuchen.

Auch guter Tipp wegen Outgoing. Danke

[lfirewall1243]

Es gibt User die lokale Admin Rechte haben (= darauf bestehen diese zu haben, ich mich weigere, aber muss mich bücken, da mein Chef?) und er dann vlt. mal auf die Idee kommt in das Feld DNS andere DNS einzutragen, weil ihm sein Kumpel so geraten hat?
UDP ja reicht, aber ich bilde mir ein dass ich mal was darüber gelesen habe, und dann es auf TCP/UDP gesetzt habe. Ich weiß aber nicht wirklich mehr warum... bin halt ehrlich :). Ich werd's aber nochmals untersuchen.

Auch guter Tipp wegen Outgoing. Danke

Wenn bei euch die User ihre eigenen DNS Einträge überschreiben läuft meiner Meinung nach was anderes schief, wieso dann überhaupt DHCP wenn die User die Adresse nicht eh selbst hinterlegen können?

[kosta]

Natürlich rennt ein DHCP für die Clients und die User haben keine Admin-Rechte, ergo können sie selbst nichts umstellen!
Aber wenn mir mein Chef mit der Entscheidung kommt, dass ich ihm die lokalen Admin Rechte geben muss, kann ich mich dem nicht widersetzen, sonst bin ich den Job los.
Bestenfalls kann ich ihm auf jegliche Gefahren hinweisen, mich ausdrücklich dagegen aussprechen und damit abgesichert sein. Es entsteht eine ernste Sicherheitslücke, aber ich kann zumindest sagen ich wurde dazu angewiesen, es zu machen (und ja, habe es schriftlich).
Danach habe ich seinen Rechner aus der Domäne rausgenommen, jedoch verwenden wir auch OpenVPN, hier musste ich den Zugriff auch eingrenzen, kein Zugang auf die lokalen Daten (braucht er nicht mehr, hat alles lokal und im Rechenzentrum). Sicherung braucht er keine, kümmert sich selbst drum.
Warum und wieso jetzt OpenVPN, wenn kein Internzugriff, möchte ich jetzt nicht weiterhin erklären, da es etwas komplexer ist, aber glaub mir einfach wenn ich sage, er braucht OpenVPN weiterhin und muss trotzdem DNS der Firma nutzen.

Was ist so schwer daran zu verstehen, wenn er die lok. Admin Rechte hat, sich selbst, aus welchen Grund auch immer, die IP-Daten ändern könnte? Ich will nicht darüber diskutieren ob er das tut, sondern dass er das tun KANN.

[JeGr]

> Es gibt User die lokale Admin Rechte haben (= darauf bestehen diese zu haben, ich mich weigere, aber muss mich bücken, da mein Chef?) und er dann vlt. mal auf die Idee kommt in das Feld DNS andere DNS einzutragen, weil ihm sein Kumpel so geraten hat?

Kann er ja versuchen, dafür gibts dann die "geforcte" Umleitung auf den lokalen DNS der Sense. Oder ein Block auf andere 53/udp. Das ist durchaus gängig. Nicht um DNS Umgehung zu blocken, sondern die Leute zu sichern, dass interne URLs aufrufbar bleiben. Und lokale Domains die ggf. nicht im Netz bekannt sind funktionieren eben nicht wenn jemand sich nen externen DNS reinfummelt. Daher wird das normalerweise weggeblockt bzw. umgeleitet.

Aber ja. Wenn jemand mit Admin Rechten am Netzwerk rumfummelt braucht er sich nicht zu beschweren, wenn dann nichts mehr geht. Das ist inklusive bei Admin Rechten. Man kann alles nur soweit absichern und konfigurieren, wie es sinnvoll ist. Wenn halt jemand vorsätzlich anfängt Murks zu machen, kann man das nur blocken/verhindern, aber dass dann eben nicht mehr alles läuft - daran ist die Person dann selbst schuld. :)

Und manchmal reicht es auch sich selbst abzusichern, notfalls einfach mit nem Schriftstück, dass belegt, dass egal wer - ob Chef oder nicht - X genauso haben will wie es gemacht wird und man dann nicht für etwaige Folgeschäden haften/Verantwortung tragen kann.

[kosta]

Kann er ja versuchen, dafür gibts dann die "geforcte" Umleitung auf den lokalen DNS der Sense.

So ist es, das ist genau wovon ich bereits paar Posts früher gesagt hab. Aktuell aktiv zu Hause, nur zum testen, bei mir zu Hause macht keiner den Blödsinn, aber ich werde es auch so in der Firma umsetzen.

sondern die Leute zu sichern, dass interne URLs aufrufbar bleiben.

So kann man es natürlich auch sehen.
Und ja, würde das wer tun, würde einiges nicht funken, korrekt.
Beim Chef ist es aber etwas anders, da er keine internen Ressourcen mehr benötigt. Hat sein Outlook, lokal Office und das war's eigentlich.

daran ist die Person dann selbst schuld.

Da er nicht sonderlich IT-affin ist, warte ich bereits auf die Support-Anrufe...  ::)

[JeGr]

> Da er nicht sonderlich IT-affin ist, warte ich bereits auf die Support-Anrufe...  ::)

Nicht ganz richtig. Support kann ich immer nur liefern, wenn es möglich ist. Wenn sich jemand absichtlich Dinge verbaut weil er die Rechte dazu hat, kann ich weder was dafür noch in hellseherischer Aufopferung dagegen Vorkehrungen treffen. Das geht nur nach bestem Wissen und Gewissen und irgendwo endet das eben.

Wenn sich Chef mit Admin Rechten lokal in seine Hosts Datei bspw. Murks reinschreibt, dann kannst du auch alles menschenmögliche vorher tun - aber bei ihm wirds dann trotzdem nicht klappen und er kann abc.de nicht auflösen weil ers ggf. falsch überschrieben hat. Man kann Leute eben nicht vor sich selbst schützen. ;)

Und Admin Rechte am eigenen Rechner sind jetzt nicht so abenteuerlich, gibts oft in kleinen wie großen Firmen ohne dass einer auf schräge Ideen kommt :D

[kosta]

Die Gefahr ist einfach da. Und ich bin für die Behebung zuständig, so einfach ist es.

Und sorry, ich bin voll gegen jegliche Admin-Rechte auf lokalen Rechnern, sofern umsetzbar. Dazu sperre ich auch alles was geht mit den SRP oder Applocker. User-Erziehung hin oder her, setze ich in der IT auch auf alles was geht.

[kosta]

Ich habe etwas im Bezug zu Interface Groups gesehen...
Wenn man auf Inspect klickt, sieht man ja die States, Packets...
Für mich macht das eben einen Grund, warum ich nicht Intf-Gruppen bauen sollte.
Für die paar Rules die drinnen sind, kann mir das genauso sparen.
Dafür ist das Troubleshooting deutlich klarer, da man pro Intf die States sehen kann.
Daher kommen die Gruppen mal wieder weg.

[kosta]

delete