Büroumzug: Chance für Verbesserungen

[peterhoffmann]

Das Gerät ist aus, der Dieb aktiviert es und dann?

Wenn es ein Dieb nicht auf die Hardware, sondern die Daten abgesehen hat, schaut er beim Einbruch genauer hin.

Auf der Benutzerebene reicht nur ein dummer Fehler eines Mitarbeiters, z.B. die Sekretärin hat ihren Benutzernamen und das Passwort auf einem Zettel unter die Schreibtischunterlage gelegt. Manche Damen legen es nicht mal unter die Unterlage, sondern schreiben es auf einen PostIt, kleben es innen in die Stiftschublade vom Rollcontainer oder sogar ganz offen an den Bildschirm. Dieses Szenario habe ich sehr oft gesehen. Die Sekretärin ist meist das schwächste Glied im Büro und hat oft die meisten Rechte.

Oder man nimmt gleich den ganzen Rechner mit. In der Regel sind die Zugriffsdaten (z.B. SMB) abgespeichert. Im besten Fall brauche ich nur den PC zu starten und habe über den PC direkt Zugriff auf alle Freigaben.

Dann wären da noch die ganzen Zugriffsprotokolle wie SMB, NFS, FTP, SSH, usw. Es wäre auch da nicht das erste Schlupfloch, was nicht gestopft wurde.

Auch würde es mich nicht wundern, wenn man es schafft dem Linuxsystem auf der unverschlüsselten Systempartition vom NAS einen weiteren User hinzuzufügen.

Je nach Aufwand und finanziellen Mitteln gibt es auch Möglichkeiten auf Hardwareebene (z.B. RAM) an die Keyphrasen zu kommen.

Zu guter Letzt bleiben da noch die Möglichkeiten vom Schlüsselmanager (/usr/syno/etc/.encrypt/@keystore). Wer weiß wie (und womit) der die Keyphrasen auf der immer zugänglichen Systempartition verschlüsselt. Ich denke da nur an die überall auf der Welt gleiche (!!!) Keyphrase, womit die keyfiles (ordner.key) von Synology verschlüsselt sind. Du kannst mir ja gerne mal deine Keydatei schicken, ich schicke dir dann dein Passwort.

Es gibt sehr viele Wege. Nee, wer auf diesen Flickenteppich vertraut, sind seine Daten nicht besonders wichtig.

Die Alternative ist ein beim Start verschlüsselter Ordner. Da gibt es nur einen einzigen Weg: Das richtige Passwort. Ist das lang genug, hat man da als Eigentümer seine Ruhe.

In der Mitte des Sterns sitzt der Router.

Bei dem hier angesprochenen Hardwareaufbau (6 Rechner + NAS + Router + Switch) sitzt in der Mitte der Sternverkabelung eher der Switch.

 

[NSFH]

Das ist doch Erbsenzählen!
Das sicherste System lässt sich aushebeln, wenn die Mitarbeiter mit Zugangsdaten fahrlässig umgehen. Das hat rein gar nichts mit der technischen Absicherung zu tun. Diese ist einwandfrei und verhindert den unzulässigen Zugriff.

Grundsätzlich ist das Zentrum einer Sternverkabelung immer der LAN-Verteiler, ob nun Router mit seiner Switchfunktion oder ein reiner Switch sei dahin gestellt.

 

[peterhoffmann]

Das ist doch Erbsenzählen!

Vielen Dank für deinen konstruktiven Beitrag. Der hat wirklich gefehlt.

Das sicherste System lässt sich aushebeln, wenn die Mitarbeiter mit Zugangsdaten fahrlässig umgehen.

Das war eine von vielen Möglichkeiten. Ich muss davon ausgehen, dass du die anderen Möglichkeiten gar nicht erst gelesen hast. Meine Mühe dir die Wege aufzuzeigen, war also umsonst.

Wer es wirklich ernsthaft auf die Daten abgesehen hat, nimmt das NAS und alle PCs bzw. nur die HDDs mit. Da braucht es keine fahrlässigen Mitarbeiter mehr. Die wären nur noch der Bonus.

Diese ist einwandfrei und verhindert den unzulässigen Zugriff.

Da ist nichts "einwandfrei" und verhindert wird da auch nichts.
Dein Wunschdenken und Gottvertrauen sind nicht das Maß aller Dinge, geschweige das nun dadurch alles "einwandfrei" und "sicher" ist.

Grundsätzlich ist das Zentrum einer Sternverkabelung immer der LAN-Verteiler

Genau deshalb war die Angabe "Router" von dir schlichtweg falsch. Es ist immer der Switch.

 

[NSFH]

selten so einen Blödsinn gelesen. Ich glaube du hast rein gar nichts verstanden.
Aber da du so ein Crack bist erzähle mir mal, wie ein Hacker aus 4 aus dem NAS entfernten, verschlüsselten HDs eines Raids Daten auslesen will. Der kleine Dieb, der gerade das Büro leer geräumt hat hat also mehr drauf als du?
Und wenn du meinen vorletzten Post gelesen UND verstanden hast solltest du kapiert haben, dass man auf verschlüsselte HDs nur zugreifen kann wenn man einen Nutzernamen und Passwort hat. Das reseten einer Syno, was die Neuanlage eines Passwortes für den Admin ermöglicht, löscht automatisch das Einbinden von verschlüsselten shares. Wie kommt man also an die Daten ran Schlaumeier?
Was du an "Möglichkeiten" aufgezeigt hast hat nichts mit der technischen Absicherung zu tun sondern nur mit menschlichem Fehlverhalten.

Und es ist in garantiert 90% aller Fälle immer der Router, der in der Mitte hängt.

Letztendlich zeigst du gerade nur auf, dass du der typsche User mit gefährlichen Halbwissen bist oder nicht in der Lage ist über den Tellerand zu schauen.
Such dir was aus.
Jegliche weitere Diskussion mit dir erspare ich mir, dafür ist mir meine Zeit zu kostbar, da bohre ich lieber in der Nase.
Daher darfst du jetzt jeden Unsinn schreiben, muss man nicht weiter kommentieren.

 

[peterhoffmann]

wie ein Hacker aus 4 aus dem NAS entfernten, verschlüsselten HDs eines Raids Daten auslesen will.

Du hast mal wieder nicht richtig gelesen (oder nicht verstanden). Der Dieb nimmt das NAS (komplett) UND die PCs mit. Wenn ihm die PCs zu schwer sind, gerne auch nur die HDDs (der PCs!).

nur zugreifen kann wenn man einen Nutzernamen und Passwort hat

Was in der Regel in allen PCs im Büro abgespeichert ist, die er ja gerade mitgenommen hat.

Das reseten einer Syno, was die Neuanlage eines Passwortes für den Admin ermöglicht, löscht automatisch das Einbinden von verschlüsselten shares.

Das habe ich nie vorgehabt (es geht nämlich nicht). Diesen Ansatz hast du im Beitrag 17 (Klick) ins Spiel gebracht, ich bin höflicher weise nicht darauf eingegangen um dich nicht blöd dastehen zu lassen.

Und es ist in garantiert 90% aller Fälle immer der Router, der in der Mitte hängt.

Und es ist in garantiert 100% der Fälle immer ein Switch, ob nun einzeln oder als Kombigerät spielt keine Rolle. Nu kannst du weiter mit den Füßen stampfen wie ein 4-Jähriger Pumuckl im Kindergarten. Damit rutscht ein Router auch nicht zu 100% ins Zentrum. Da steht nämlich der Switch.

du der typsche User mit gefährlichen Halbwissen bist oder nicht in der Lage ist über den Tellerand zu schauen.

Halbwissen ist das z.B. mit dem 90%-Router im Zentrum eines sternenförmigen Netzwerkaufbaus.
Dieses Halbwissen z.B. kommt von zuviel Rumspielerei an einer Fritzbox und Speedport, die allesamt in privaten Haushalten stehen und einen Switch mit 2-4 Ports integriert haben. Nimm die Routerfunktion aus dem Gerät heraus und du hast immer noch ein sternförmiges Netzwerk, nimmst du aber den Switch raus, ist es Essig mit dem Netzwerk.

Schlaumeier... du der typsche User mit gefährlichen Halbwissen... über den Tellerand zu schauen....da bohre ich lieber in der Nase....jeden Unsinn schreiben

Persönliche Angriffe fangen da an, wo einem die Argumente ausgehen. Konstruktiv und sauberes Miteinander sieht anders aus.

 

[blurrrr]

Och Kinners... komm, wir machen das ganz einfach: 2x 19" SHA-fähige Synos, dazu noch ne 19"-Kiste für's Backup, alles zu mir (Colocation), dazu noch WS+Mailstore wird virtualisiert (nicht auf den Synos), dazu noch die SPLA-Lizensierung und ihr seit durch, kostet halt entsprechend, aber... wer fragt schon nach Geld...

Aber mal ernsthaft... Da kann man ja soviel bauen und basteln und machen und tun, aber eins steht sicherlich fest: der größte Gefahrenfaktor ist und bleibt der Mensch. Das gilt nicht nur in Bezug auf Dinge wie SocialEngineering, sondern u.a. eben auch auf Dinge wie "Programmierung" (jou, wer hätte es gedacht, ein DSM wird auch nur von Menschen programmiert...). Wenn man ein "konformes" Maß an Sicherheit erreichen will, gilt es da schon "einiges" an Aufwand zu kalkulieren. Allerdings sollte der TO (oder Geschäftsführer) selber abwägen wie wo was wann benötigt wird. Verschlüsselung von Festplatten ist mit Sicherheit erstmal eine der leichtesten Übungen, eine "sichere" Aufbewahrung der Backups ist schon wieder so eine Sache (nein, "Zuhause" ist nun nicht unbedingt sicher), ggf. ein Bankschliessfach. Egal wie man es dreht und wendet, es gibt etliche Faktoren zu beachten und jeder dieser Faktoren bedarf einer eigenen (objektiven, wie subjektiven) Einschätzung derer, die die Verantwortung für die Daten tragen.

Kurzum:

Ich denke, wir haben die Szenarien Defekt und Wasser durch das externe Backup adressiert. Beim Risikobereich Einbruch sehe ich zwei Handlungsfelder. Der räumliche Einbruch mit Entwendung des NAS kann ich m.V.n nur mit Sicherungsmaßnahmen vor Ort entgegenwirken (verstärkte Tür, verschlossener Schrank, Überwachung). Die Strategie für digitalen Einbruch: Zugriff auf NAS nur lokal oder per VPN erreichbar, 2-Faktor-Authentifizierung, Verschlüsselung. Welche wesentlichen Punkte sollte ich hinzufügen?

(hoffe, dass das jetzt nicht von goetz als Vollzitat angemahnt wird, da fehlt ja noch ein wenig zu )

- Defekt ist kein Schaden, welcher zwangsläufig durch äussere Einflüsse entsteht, ein simples Versagen von Hardware kann jederzeit vorkommen und dagegen kann man auch nichts machen (ausser ggf. HA-Cluster oder ein Backup samt Ersatzgerät vorrätig haben, je nachdem wie lang die Downtime zu ertragen ist)

- Wasser/Feuer sind gesondert zu betrachten, bei dem einen reicht es, das Gerät weiter oben zu platzieren (zb bei Rohrbruch und überflutetem Boden), bei dem anderen müsste es ein feuerfestes Gehäuse sein (oder man hat so Features wie eine Argon-Löschanlage...)

- Bei einem Einbruch sollte man sich immer eins vor Augen halten: Einbrecher sind meist nicht die schlausten Leute was die IT angeht und können auch nur selten entsprechende Wertigkeiten abschätzen: kleines Beispiel: 19"-Server mit 1,5TB RAM, 4 sehr dicke Intel-CPUs und etlichen 4TB-Enterprise-SSDs - fetter Klotz - preislich im mittleren bis oberen 5-stelligen Bereich - liegt zu Wartungsarbeiten auf dem Tisch. Direkt daneben liegt das kleine alte MacBook von 2011. Direkt daneben liegt das (auch schon etwas ältere) iPhone 7. Was meinste wird da mitgenommen? In der Regel wird geklaut, was man kennt und wo man weiss, dass es sich verkaufen lässt. Weder eine Tür, noch ein Schrank, noch eine Überwachung halten Einbrecher davon ab, wenn Sie es denn wirklich wollen (und mitunter ihr Ziel auch schon kennen). Das sollte man stets im Hinterkopf behalten. Wer will, kann.

- Was die Digitale Schiene angeht, klar, da kann man jetzt so richtig die Sau vom Stapel lassen.... Faktisch stellen sich aber direkt ein paar Fragen, wie z.B. ob ihr "intern" überhaupt das notwendige Knowhow besitzt um sowas fachgerecht zu implementieren, oder ob man die Verantwortung nicht doch lieber in externe Hände gibt. Grundsätzlich sei gesagt, dass ein "vernünftiger" ("Sinn&Verstand" und so...) Umgang mit Daten jedweder Art schon eine Menge bringt. Schlussendlich gibt es "etliche" Maßnahmen um Zugriffe weiter einzuschränken, die Frage ist eben nur: was darf's kosten? (womit wir wieder beim Anfang wären).

Wie man merkt, man dreht sich im Kreis. Erstmal das Budget festlegen, dann festlegen, welche Punkte einem "besonders" wichtig sind und dann kann man auch entsprechende Überlegungen anstellen. Vorher bringt das alles nämlich nicht soviel. Ebenso darf man auch nie vergessen: Wo ein Wille, da ein Weg. Falls es dicke kommt, hat ggf. ein verärgerter Mitarbeiter (Du? ) eine Kopie des Schrankschlüssels

Also: Bevor die Überlegungen hier VIEL zu weit gehen... klär erstmal die Sache mit dem Budget und was bisher an Hardware (inkl. Router/Firewall) da ist und... achja... die banalen Dinge wie z.B. Virenscanner auf den Clients(!!!) hab ich mal aussen vor gelassen. Zum guten Schluss: BSI Leitfaden Informationssicherheit

Wünsche viel Erfolg!

 

[Thorfinn]

Selbst bei nur 6 Mitarbeitern würde ich versuchen das mit wenigen, dedikierten, stabilen Komponenten auszurüsten.
Was kostet euch 1h Ausfallzeit?

Anstatt loser Kleingeräte ziehe ich einen 19'' Schrank/Wandschrank immer vor. Das sieht ordentlich aus und kann "überall" hängen. Da flöttern keine Kabel. Da fällt kein Stecker ab. Das spart m2-Miete.
Tür ist abgeschlossen um Fummelfinger fern zu halten.
10...15 U Wandschränke kosten nun wirklich nicht viel.
Steckerleiste 1,5 U
Patchpanel 1U
Switch 1U
USV 1...4U
Router (kleingerät auf Ablage 2U) oder 1U 19'' Gerät
NAS Rackstation 1..2U oder DS auf Ablage (oder Schrankboden)
Glastür damit der dumme Dieb nicht glaubt, das sei ein Tresor.

Netz-Infrastruktur
Jeder Arbeitsplatz sollte zumindest ein PDS Kabel erhalten. Wenn ihr seperate IP Telefongeräte benutzt 2 stk.
Keine Desktop Switche sind die Pest, die wollen immer dann einen restart wenn es wichtig ist.
Drucker, AccessPoints auch je ein PDS-drop
Das ganze sternförmig an ein Patchpanel.

Switch
GB-Switch - sowieso
gerne mit PoE für die AccessPoints - weil das spart viele Elektrikkerstunden
gerne managed.
gerne mit Link Aggregation

Access Points nach räumlichen Gegebenheiten.

Router:
Wenn ihr VPN Zugang von aussen braucht, dann solltet ihr das auf dem Router machen. Der Router sollte dazu mächtig genug sein.
QoS sollte man richtig konfigurieren.

NAS
soooo teuer ist eine kleine Rackstation auch nicht.
eine 718+ oder 918+ sind sicher ausreichend.
Wenn die 216 klaglos ihren Dienst verrichtet es aber mehr flutschen sollen, dann schau mal ins log und den ressource manager wo es denn nicht flutscht: CPU - Volume...


Deasaster Management:
Wo bekommst du die aktiven Komponenten bei Ausfall in welcher Zeit her?
Den HP oder Cisco Partner kann man dafür bezahlen dass die in 3h mit voll konfigurierten Austauschgeräten auf der Matte stehen. Das wird dir wohl zu teuer.
Legst du dir evt. ein "cold-spare niederer Qualität" ins Regal?

So ein 19'' Dingens trägt nur der sehr intelligente Dieb weg. Der dumme Dieb sucht nach Bargeld und vandaliert.