Dotaz: Bezpečnostná politika v doméne

[Juraj]

V práci sa zaoberám výberom vhodného sieťového a informačného riešenia pre našu firmu. Chlapík z 1 nemenovanej renomovanej českej IT spoločnosti, ktorý bol u nás na návšteve, bol presvedčený, že riešenie od MS v konečnom dôsledku je lacnejšie (Small Business Server). Dal som mu za pravdu v tom, že doménový radič sa mi zdá Windows Server oveľa výhodnejší a dá sa na ňom robiť bezpečnostná správa pre celú doménu. Pravdupovediac, neviem si predstaviť unixové riešenie pre doménu. Nakoľko som však proti MS zameraný (monopol), rád by som počul aj vaše názory na túto tému. Takisto, čo sa týka bezpečnosti a zabezpečenia patchov a záplat.

Odpovědi

[lefti]

Co se tyka security fixu, tak tam je to snad jasny. V unixi to distribuce resi za tebe pro veskery nainstalovany software. A udelat neco podobnyho na windows by bylo velmi, velmi slozite. Pokud se mylim, budu rad, kdyz me nekdo orpavi.
A zbytku otazky nerozumim :)

[podlesh]

Pokud se nepletu, tak něco podobného pod windows neí složité - pokud ovšem je veškerý software od Microsoftu. Není to ovšem ani zas tak levné (ale to je komplikovanější otázka).

[lefti]

To ano, ale pochybuji, ze pouzivaji sw pouze od MS.

[podlesh]

To ale dokáže konuzultant z renomované společnosti napravit

[Peter Lehotsky]

Patch management lze udelat pomoci davkovych souboru a sluzeb, neco lze najit myslim na microsoftim technetu a funguje to slusne.

Uz jsem to psal sem do fora pred nekolika mesici

[lefti]

Problem neni v technickem reseni distribuce patchu ale v udrzovani "repository".

[Peter Lehotsky]

A jaky? V ramci SUS/WSUS musite stejne povolit instalaci novych patchu takze je uplne jedno jestli to udelate do skriptu nebo zakliknete zatrzitko v SUS/WSUS.

[lefti]

Dobre, ale pres WSUS se mi nebudou samy od sebe updatovat vsechny nainstalovane aplikace(treba apache,firefox,winamp,..), ale budu jejich bezpecnosti updaty muset hlidat ja a udrzovat je na tom jednom WSUS serveru. Nebo se mylim?

[Peter Lehotsky]

Repositar musis udrzovat vsude

[lefti]

Jenze ja to beru z praktickeho (ne techickeho) pohledu.

[Filip Jirsák]

Doménou je předpokládám myšlena doména MS Windows. Samba na Linuxu umožňuje chovat se téměř jako plnohodnotný NT 4.0 server, AD neumí. Tzn. bezpečnostní politika vám dovolí nastavit to, co vám dovolil nastavit NT 4.0 server.

[otula]

Pokud jde o AD, tak to by snad mělo řešit OpenLDAP

[Filip Jirsák]

Kdepak. Samba 3 vůbec neumí v doméně typu AD fungovat jako server. To umí až Samba 4, která je momentálně v nějakých před-alfa verzích. OpenLDAP je jen LDAP úložiště, které Samba umí používat (a ve verzi 4 bude na LDAP pravděpodobně závislá, protože AD jako adresář je také LDAP).

[otula]

Pokud jde o AD, tak to by snad mělo řešit OpenLDAP

[otula]

Omlouvám se za tento příspěvek - nějak mi šílí myš při rolování a generuje funkci tlačítka zpět, tak se mi povedlo odeslat znovu to, co jsem posílal předtím

[trekker.dk]

nějak mi šílí myš při rolování a generuje funkci tlačítka zpět

Mám pocit, že se to tu řešilo - hledej ve FAQ, možná najdeš, jak to vypnout.

[Jakub Suchy]

Tusis prosim kde? Take by me to zajimalo

[TomCat1]

Nevím sice kde se to objevilo, ale sám jsem to kdysi řešil. V xorg.conf jsem měl Option "ZAxisMapping" "4 5 6 7". Stačilo mi smazat ty tlačítka 6 a 7, které na myši nebyly.

[Josef Kufner]

To není moc dobré řešení, tím zničí to kolečko úplně a v rozumných programech nepůjde scrollovat do stran. Bordel se zpet to dela jen v mozille a vypina se to v ni v about:config, najit mousewheel a nastavit věci s horizscroll obdobně jako jejich protějšky bez horizscroll v názvu. Pak umi scrollovat do stran misto prochazeni historii.

[TomCat1]

Problém byl v tom, že myš fyzicky měla pouze 2 tlačítka + klikací kolečko, tzn. 5 tlačítek. Pokud jich bylo v xorg.conf nastaveno 7, zbývající 2 se emulovala rychlým pohybem kolečka. Pak stačilo udělat rychlý pohyb kolečkem a místo pohybu po stránce jsem se pohyboval v historii.

[Arno3t]

Osobne bych nevolil MS SBS pro firmu s peti pocitaci s Win. XP bez perspektivy dalsiho nakupu pocitacu. Kdyby se jednalo o firmu s dvaceti pocitaci, tak bych se ptal, jake serverove aplikace budu potrebovat a k cemu me budou nutit dodavatele. Pokud bude nejoptimalnejsi informacni system pro vasi firmu behat pouze na MS SQL, tak asi neni co resit. Pokud je vam filosofie spravy MS systemu blizsi, nez filosofie Linuxu, tak se do Linuxu nenutte. Pokud jsou Windows XP na pracovnich stanicich jedinym pouzivanym systemem ve firme, pak je pro ne MS SBS vic optimalizovan, nez jakykoliv Linux. Nicmene, kdybych byl ja postaven pred podobnou otazku a nevedel z dalsich pozadavku, co je optimalni, tak bych zacal na Linuxu a teprve kdyz bych prisel na to, ze mi nevyhovuje, tak bych nasadil reseni od MS. V kazdem pripade nedoporucuji prilisny optimismus ani v jednom z obou reseni. U MS mi vzdy nektere funkce, ktere jsem potreboval, bud chybely nebo fungovaly jinak a nebylo jednoduche/neslo je dodelat. U Linuxu vas obcas rozbehani funkci, ktere mate v MS SMS nachystane na par kliknuti, stoji docela dost casu. Nejlepsi je mit k dispozici oba systemy a optimalne je vyuzivat.

[anon123]

Naprosto s vami souhlasim.

Jestli stanice jsou windows, programy take windows, urcite budete mit nejake windows sitove programy a ty budou podporovat jen MS SQL, tak proste musite jit do Windows Server. Bude to mnohem pohodlnejsi. MS SBS jen nic moc, hlavne kdyz firma bude rust. My vetsinou volime MS Server a na linux/bsd firewallu mame postovni server. Vyjde to levneji nez exchange. Jestli ale chcete vyuzivat MS Outlook v plne mire, Exchange se nevyhnete.

Jestli nemusite pouzivat MS programy, mozna treba jen ucetnictvi neco offisackeho a mate hodne uzivatelskych stanic, volil bych vse linux s openoffice a jeden windows terminal server na ktery bych dal ucetnictvi, coz je dobre i z hlediska, ze se uzivatele muzou pripojit z domovat a pracovat na tom.

[anon123]

Jinak na druhou stranku uspesne administruji linux server a 5 win stanic, bez zadnych specialnich nastaveni. Jede to temer 1 rok a nebyl problem. Jestli jsem na to sahnul dvakrat...

Linux server je i jako file server, raid, backups, posta

[Jirka]

Funkcionalitu Samba + LDAP mám ověřené ve společnosti s cca 100 PC. Na základě svých dlouholetých zkušeností s dostupností a spolehlivostí systémů Novell, MS a v poslední době Linux jednoznačně doporučuji to Linuxové. A mimochodem, Small Business Server měl ještě nedávno naprosto příšernou licenční politiku, která se negativně projevila ve chvíli, kdy toto řešení začalo být firmě 'malé' a bylo potřeba nasazovat další servery. Možná, že se ale v poslední době něco změnilo.

[zelial]

neco malo k licencovani sbs a vubec:

http://blogs.technet.com/technetczsk/articles/430022.aspx

je to ublognuti o nejrozsirenejsich famach kolem sbs. tech licencnich je tam pozehnane, takze jednoducha ta licencni politika nebude.

[Jakub Suchy]

Muzete zkusit pouzit iPlanet Directory server, Red Hat Directory server nebo Fedora directory server...

[OndraZX]

Je dulezite rict o jake pocty PC a serveru se jedna. Musite si uvedomit, ze domeny windows pomoci AD jsou urcene pro spravu mnoho serveru a uzivatelu. Bohuzel se stale casteji setkavam s tim, ze mala firmicka s 10 PC ma server ktery pouziva AD, protoze jim to nejaky chlapik z nejmenovane IT spolecnosti vnutil. (Horsi priklad je kdyz, linuxovy fanda tuto firmicku resi pomoci Samby a cpe tam i AD, protoze si mysli, ze to tak ma byt) Proc? protoze on potrebuje vydelat a proc to delat jednoduse, kdyz to jde slozite a uzivatel to zaplati. Muzete mi rict jedinou smysluplnou vlastnost pro pouziti Domen pomoci AD ve firme s 50 PC? - mluvite o SBS takze jste asi mala firma. SBS je opravdu balik programu za docela dobrou cenu, ale musite si uvedomit, ze ma i sve omezeni, co se tyka poctu klientu a hlavne jak je napr. omezeny SQL server co se tyka vyuziti RAM a velikosti databaze.

Jak vypada bezna firma do 100PC? - uvedu muj priklad

Router + firewall: Linuxova distribuce k tomu urcena (proc vymyslet znovu kolo) - u mne IPCop

File server: protoze desktopy jsou vetsinou Windows, tak Samba BEZ DOMENY (security=user) - jmena a hesla uzivatelu ulozena v /etc/password. Ono i pouziti LDAP nema moc smysl - proc si komplikovat zivot.

SQL server - u nas musi byt kvuli ekonomickemu systemu MS SQL server. Bezi na nem MS SBS 2000 - to SBS je nainstalovano tak ze jsou tam jen hola Windows + SQL server - funkce SBS se nepouzivaji. Uzivatelske ucty ve windows nejsou - uzivatele jsou nadefinovani jen v databazich. Protoze v soucasne dobe chystame upgrade hardware tohoto serveru ktery ma 2x dual core a 8GB RAM, tak musime prejit na pravy Windows server + pravy SQL server, protoze SBS ma limity ve velikosti pouzite RAM (jen 2GB), velikosti databaze (mame uz jednu databazi vetsi nez 1GB - SBS podporuje snad max. 2GB?) a mozna i poctu procesoru. SBS tam bylo proto, ze financne to bylo vyhodne, ale za 3 roky jsme narazili na tyto limity SBS a samordrejme to pekne zaplatime.

Email server: ja jsem porad nazoru, ze tak male mnozstvi uzivatelu nema firma resit svym e-mail servrem, ale vyuzivat server sveho providera, nebo verejne dostupne sluzby.

Desktopy uzivatelu: Win 3.11, 95, 98, 2000, XP, Linux - cca 70PC

SBS umoznuje vsechny tyto zminovane servery (router, file server, SQL, email) sloucit do jednoho. Myslite si ale ze je to vhodne? Ze to bude bezpecne? Jaky smysl ma pouziti AD u tohoto serveru? Jakou bezpecnostni spravu chcete delat u tohoto serveru pomoci AD? Co pouzitim AD ziskate? - vetsi podporu pri zabezpeceni Windows klientu? Hmm, nevim. Jestli mate "zlobive" uzivatele pomoci AD jim v tom moc nezabranite.

JAk jsem psal, domeny pomoci AD jsou nutne pri sprave velkeho poctu uzivatelu a serveru, tam to proste nejde delat jinak a AD je velmi dobrou sluzbou. Ale komplikovat si zivot pouzitim techto technologii ve firme o 50 PC? No nevim.

PS: Linux samozdrejme ma alternativu k AD - viz Novell ZENworks, ale jak rikam pri tomto poctu PC je pouziti techto technologii nesmyslne.

PS2: ja si stejne nedovedu predstavit nasazeni Windows jako file serveru - to jako kazde prvni utery v mesici (nebo kdy Microsoft vydava zaplaty) zavolam 70 lidem stop prestante pracovat, potrebuji nahrat updaty a restartovat server?

Na http://www.sweb.cz/samba/samba/index.htm me zkusenosti se Sambou, stranky jsou sice aktualizovane v roce 2004, ale ja tam fakt nemam co napsat, krome toho, ze server funguje.

[FRENKY]

...ale s tím email serverem jste to nemyslel vážně, že ne?

[OndraZX]

Jasne ze myslel vazne. Co ti prinese vlasni spravovany server oproti serveru tveho providera? (neberu v uvahu potreby groupware)

Sprava email serveru prece jenom vyzaduje casove a znalostni predpoklady. Dnes spravuji popisovane servery + 4 dalsi a cca 70PC a staci mi na to cca 2-3 hodiny tydne. Kolik casu by mi zabrala sprava email serveru - ja si myslim ze dost. A co je pro firmu financne vyhodnejsi. Udrzovat vlastni email server a platit cas a znalosti admina, nebo si email schranky pronajmout u sveho providera, ktery ma urcite lepsi znalostni a technicke predpoklady a vyjde to firmu na cca 200,- Kc mesicne (i s tim groupware)?

Tzn. pokud bych delat admina na plny uvazek, tak bych email server urcite mel, ale muj zamestnavatel neni socialni ustav a proto radeji veci ktere umi udelat nekdo lepe a levneji si radeji zaplati - a o tom to je.

[FRENKY]

No já dělám admina na plný úvazek. Spravuju 12 serverů (Novell, HPUnix, WinNT) a 160 stanic a k tomu ještě vývoj aplikací na Lotus/Domino (vše v jedné firmě). Při představě absence vlastního mailserveru mi vstávají vlasy na hlavě. Požadovaná dostupnost serverových služeb mým zaměstnavatelem je 100 procent, proto to ani jinak nejde. V první řadě jde přece o spolehlivost řešení a ne o to, kolik tomu věnujete času.

[OndraZX]

V první řadě jde přece o spolehlivost řešení a ne o to, kolik tomu věnujete času.

No a v cem je tve reseni spolehlivejsi? - i kdyz pri 160 stanicich bych e-mail server asi resil taky - ale tady se bavime o male firme s max. 50-100 PC.

[FRENKY]

I pro 5 pc už má význam rozjet vlastní mailserver. Z hlediska architektury sítě je přeci nesmysl, aby mail, který pošle kolega z vedlejšího kanclu, putoval do Internetu a zase zpátky (a mailserver providera už je "Internet"). A to nezmiňuju zatížení lajny, když ten kolega zrovna posílá svých 200 fotek z dovolené. Samozřejmě něco jiného je doménový koš, ale o tom se tu nebavíme.

[FRENKY]

..a ještě k Vaši poznámce o "využití veřejných služeb" v oblasti firemních mailů. To mi připomíná článek, který jsem minulý týden četl v jednom takyrenomovaném IT časopise, kde se zcela vážnou tváří doporučovali Hamachi, coby oficiální řešení pro firemní VPNku. No nevěřil jsem svým očím. Jinak myslím, že s touhle diskusí jsme už mírně OT, takže tohle budiž můj poslední příspěvek.

[Dan Ohnesorg]

Jenze mnoho lidi preferuje system, kdy vezmu novy pocitac, zacvaknu kabel, zadam heslo admina a je hotovo, vsechno ostatni udela sit. A to bez domeny nejde. Osobne si nedovedu predstavit centralni spravu 25 pocitacu bez domeny, natoz 100. Rozdil je jen v tom, kolik prace odmaka NT4 domena (a tedy da se udelat sambou) a kolik AD. A tady bych rekl, 100 pocitacu v pohode samba, 1000 pocitacu uz muze pouzivat sambu na fileserver, ale AD zatracene oceni. Tam uz potrebujete dedicnost skupinovych politik, pouzivani roli a mapovani uzivatelu do roli.... AD kopiruje s 15-letym odstupem novell a novell vzdycky vedel jak stavet obrovske site. AD neni microsofti vymyslenina typu, klesaji nam prodeje, zmente ikony a tapetu na plose a prodavejte verzi 2.0.

[OndraZX]

No ja radeji v siti do 100 PC se nebudu zabyvat domenami a udelam to klasicky pres Sambu. Vyhodu vidim i v tom, ze ve firme nemam "zahackovanou" Microsofti technologii - co kdyz si za 2-3 roky reknu, ze s Windows koncim a prechazim na desktopech na Linux (prozatim mam jen 5 desktopu na Linuxu) - s prechodem nebude problem - na rozdil od pouziti domen a AD. Porad mluvim o firme ktera ma jeden file server + max. nejaky SQL server, kde jsou uzivatele definovani jen v databazi. Nad +-100PC (zalezi na okolnostech nekdy i 50PC ) a hlavne pri pouziti vice serveru samozdrejme ma pouziti domen + AD smysl a je to logicke. Ale pri poctu +100 bych se radeji poohlizel po terminalovych sluzbach (i tam je pouziti D + AD vhodne) - to uz si opravdu nedovedu predstavit obihat napr. 1000 PC.

Puvodni dotaz znel ze uvazuji o SBS serveru - tzn. max. 75? uzivatelu (ve verzi 2000 to bylo 50, v 2003 presne nevim) - a tam bych pouziti D + AD zvazil.

[Igor]

Zajimave nazory, Ale daly by se shrnout do jedne vety: pokud budete potrebovat jen to, co nabizi samba, linux staci. Svet je ale slozitejsi.

[AD]

AD je podle mne vhodne pouze v pripade, kdyz hodlas nsatavovat urcite (netrivialni) monzstvi veci na koncovych stanicich pres GPO. Dedicnost politik (i kdyz ma sve mouchy) je pak docela pouzitelna/prehladna vec.

Co se tyce vlastniho sdileni, tam Ti AD moc nepomuze ani kdyz tech pocitacu budes mit tisicovku. Zarazovani do skupin ci prirazovani prav se od dob NT4 moc nezmenilo. Tady Ti zadna dedicnost nepomuze. Zarazenim urciteho uzivatele na urcitou pozici ve stromu AD prava nepridelis . Musis tedy udrzovat dve veci: zarazeni v ramci stromu AD (kvuli politikam) a zarazeni do klasickych skupin (kvuli pravum).

Ano, AD v organizaci s 50 stroji mi prijde opravdu usmevne.

[miroslav]

Když si tak pročítám tuto diskusi, napadá mě otázka: Dá se pomocí Linuxu + Samby + příp. nějakého dalšího nástroje vůbec nějak spravovat stanice Windows? Tj. nastavit aspoň nějaké bezpečnostní politiky, zástupce v nabídce Start, wallpaper, tiskárny?

[karoliner]

Tuhle otázku teď taky řeším a bohužel jsem nenalezl žádné linuxové řešení. Takže to zatím řeším docela nešikovně pomocí Microsoft Shared Computer Toolkit for Windows XP - ve škole, kde pracuji máme 3 učebny s cca 70 PC, což se dá ještě "uchodit", ale zoufale mi chybí šikovnější řešení podobné AD s Group Policy.

[rastos]

Kefalín,a čo vy si představujete pod takým slovom "bezpečnostná politika v doméne"?