🚀 go-pugleaf

Benno... wrote:

>Het gaat me er vooral om een met een virus of worm besmette laptop 
>buiten te houden en niet om pas in de router het eventuele uitgaande 
>verkeer naar een WAN of Internet te blokkeren. Ik had wat duidelijker 
>kunnen zijn.

Dan moet je zo'n systeem dus op de switch de nek omdraaien.

Je zult dus eerst de foute systemen moeten detecteren ("er komt fout 
verkeer van IP x"), vervolgens identificeren en achterhalen waar dat 
systeem zit ("IP x gaat over interface MAC y en dat zit op switchport 
z") en dan bijvoorbeeld de switchpoort remote dichtzetten. Een andere 
oplossing is om de switchpoort in een ander VLAN te plaatsen en daar 
tools aan te bieden zodat de brokkenpiloot de eigen rommel kan opruimen [1].

>Alhoewel een MAC tabel in de DHCP server een goede eerste stap is (die 
>ik niet kende aangezien de DHCP servers die ik bekeken heb dit niet 
>ondersteunen) heb ik al grappenmakers gehad die, toen DHCP om een of 
>andere reden toevallig niet direct een IP verschafte, zelf een statisch 
>IP adres invoerden. Dan kom je misschien niet door een goed 
>geconfigureerde router heen maar alle kwetsbare Windows machientjes op 
>het LAN kunnen dan wel de klos zijn.

Brokkenpiloten doen de gekste dingen en wringen zich in allerlei bochten 
om met ernstig gehavende digitale wrakken op de electronische highway te 
blijven surfen. Als er op maandag een switchport bij de dagelijkse 
afsluitronde remote wordt dichtgezet, dan lukt het ze om donderdag pas 
te bellen met de droge opmerking dat de 4 beschikbare switchpoorten in 
het kantoor de afgelopen week allemaal stuk zijn gegaan en of die 
gerepareerd kunnen worden.

Andere brokkenmakers geven aan dat ze critical updates van Windows 
Update niet installeren omdat ze de indruk hebben dat het niet nodig zou 
zijn of dat het niet kan omdat ze een "corporate" editie hebben.

>Je kunt je natuurlijk afvragen of het niet eenvoudiger/goedkoper is om 
>ervoor te zorgen dat die Windows bakjes zo onkwetsbaar mogelijk zijn 
>door ze met een interne Windows update server (SUS) te laten praten en 
>ze te voorzien van een personal firewall, maar dat is een heel ander 
>verhaal. Of niet? Mmmmm.

Op een bedrijfsnetwerk zou je zo de updates automagisch kunnen pushen. 
Heb je niet de volledige zeggenschap en controle over de systemen dan 
lukt SUS bijvoorbeeld niet en zul je moeten vertrouwen op degene die de 
systemen zouden moeten beheren. In dat geval is het nog maar de vraag of 
personal firewalls handig zijn. Gebruikers weten niet hoe ze 
geconfigureerd moeten worden, ze willen wel support voor alle problemen 
die ze veroorzaken met die firewalls en vervolgens kun je ook minder 
preventief scannen om kwetsbare systemen (in de tijd tussen het uitkomen 
van de patch en de exploit) op te sporen omdat de personal firewalls dat 
tegenhouden...

>FUP: nl.comp.netwerken

reset FUP, no read nl.comp.netwerken

[1] http://thuiswerkplek.surfnet.nl/Quarantaine_VLAN_180304.pdf

-- 
Thijs Timmerman.