Dotaz: Jak zablokovat na firmě ICQ... ? :)

[NoXO]

Dobrý den,

po marném boji, kdy jsem se snažil blokovat port 5190, udělat fake domenu icq.com, blokovat různé IP adresy, jsem na konci mých sil :)

Žádný postup co jsem zkoušel nedokázal ICQ zastavit, to mě vede jen k jednomu, že JE TO NEZKUTEČNÝ SPYWARE...(co chce reklamu k uživatlům protlačit za každou cenu)

(testovací sw: PINGIN (pořád jel))

---

---

Odpovědi

[Max]

Podle toho, co jsem četl, tak ICQ od verze 7 už nepoužívá 5190 a jede přes http, což je klasická sviňárna, nebo featurka, jak se to vezme.
Pokud je to firma, tak bych prostě blokoval všechno a povolil akorát web přes proxy a bylo by, ne?
Každopdáně bych nejdříve zjistil, jak skutečně aktuální ICQ komunikuje a nesázel na nějaké staré rady s porty .

Také mi přijde divné, starat se o takovou věc ve firmě. Řešit důsledek a né příčinu není moc dobré.
Pokud skutečně ICQ jede přes http, tak tě pak nespasí ani proxy, kterou by si ICQ mohlo samo natáhnout z nastavení třeba exploreru. Srát se s analýzou packetů a rozlišovat provoz, nebo odsniffovat všechny ip, na které se icq připojuje a pak je blokovat. To všechno jsou jen opičárny.

V prvním případě by měli uživatelé běžet pod uživatelskými právy.
Dále by měl být nějaký audit, aby byl přehled o nainstalované sw výbavě na stanicích a uživatelé by o takové kontrole měli vědět. Pak si totiž rozmyslí si něco instalovat.
Dále by měli podepsat nějaký papír, že se budou chovat dobře a něco o srozumnění s tím, že nemají nic instalovat atd. s výhružkou nějaké sankce.
Poslední fáze je proxy a na ní filtrovat obsah (zakázat např. stahování exe aj. souborů atd.)

Nedalo mi to a nakonec jsem si spustil pidgin a podíval se, jak komunikuje s ICQ sítí.
Nevím, co je na ICQ za spyware, resp. na pidginu :D. Když si ho spustím, připojím se k ICQ a dám :

netstat -anop |grep pidgin
tcp  0 0 192.168.1.244:52512 205.188.248.137:443 ESTABLISHED 4104/pidgin  off (0.00/0/0)
tcp  0 0 192.168.1.244:60041 205.188.254.81:443  ESTABLISHED 4104/pidgin  off (0.00/0/0)
tcp  0 0 192.168.1.244:59541 64.12.28.72:443     ESTABLISHED 4104/pidgin  off (0.00/0/0)
tcp  0 0 192.168.1.244:58155 64.12.28.4:443      ESTABLISHED 4104/pidgin  off (0.00/0/0)
...

Tak je vidět, na které IP se připojuje a na jaký port. Jedná se o 443, což je https, což je přesně to, co jsem říkal o novým ICQ protokolu.
Zdar Max

[NoXO]

ahoj,

verze windows co jsem zdědil jsou s 90procent HOME a srandy co nepřipojím do domeny. Firma je v dezolatním stavu.... jsem rád, že jsem zrovoznil zálohovaní... SQUID tady běží i filtrem dansguardian, kde je zakázano stahovat snad skoro vše včetně archívu :) Ale na flasce si donese každý kdo chce... Směrnici IT podepsali všichni, kde je toto popsáno. Nechci je prozatím trestat finančně.. Já si myslím, že právě ICQ proleze i přes ten port 80... a 443 nemůžu zakázat... (moje obavy se naplnily)

Myslím, to že použiváme neoficiální klienty neřeší protokol, který je určen pro spyware :)

[Zan]

V naší firmě je to udělané tak, že:
1. Uživatel nenainstaluje (neodinstaluje) vůbec nic. Nemá na to požadované práva. Nemůže měnit žádné důležité nastavení. Do nastavení třeba síťové karty, správa počítače atd se vůbec nedostane. Vypíše to, že administrátor zakázal zobrazení.
2. CD-ROM (DVD), případně USB je zablokované. Může tam člověk strkat co chce. Počítač to vůbec neregistruje.
3. Internet je částečně omezený. Nefunguje jakékoliv video (ani flash). Nelze nic stahovat, ani archivy (natož programy). Jinak běžné prohlížení funguje bez problémů. Lze používat pouze IE. Firefoxem, či Chrome se nejde připojit. Objeví se pouze stránka, že tento prohlížeč není zaregistrovaný (a telefon nadřízeného, kde lze situaci teoreticky změnit). ICQ nefunguje.
4. Uživatel má pouze právo zápisu do své složky (ze které může i číst), která je na síti (může ji prohlížet nadřízený). Několik vybraných složek jsou povolené pouze pro čtení (souvisí z prací). Do ostatních se nedostane ani pro čtení (Windows, Program Files, ...atd).
5. Počítač lze zapnout pouze pokud je funkční podniková síť. Uživatel se přihlašuje do sítě. Jiným způsobem se nelze přihlásit. Po startu se provádí kontrola, trvá asi 5 minut, pokud proběhne v pořádku, lze se přihlásit. Odpojením od sítě přestane počítač komunikovat a zahlásí chybu. Po jeho připojení se postupně činnost obnoví.
6. Nelze se dostat do Biosu.
7. Používají se Windows XP Profesional.
8. Jakým způsobem je to udělané nevím.

[Max]

S největší pravděpodobností bude profil uživatele umístěn na serveru (tzv. cestovní profil). Po přihlášení se profil natáhne po síti, to může být těch 5min čekání a ověřování.
Zbytek už je klasické ořezání práv uživatele.
Zdar Max

[skonciljsem]

Ale vždyť on tam píše, že je nemůže dostat do dominy - jsou to houmy apod.

[pht]

443 nemůžu zakázat... (moje obavy se naplnily)

443 možná nelze zakazovat, ale lze monitorovat na tom portu příliš dlouhá spojení typická pro IM klienty a odstřihávat je.

[Bilbo]

Pozor na to, že po https občas můžou lézt různé downloady nebo např. updaty antivurů apod .... takže to kritérium bude spíš spojení co je dlouhé a zároveň po něm proteklo jen málo dat (jelikož IM moc linku nevytěžuje)

Otázkou je jestli to k něčemu bude, klienti často mívají něco typu "automatický reconnect" se kterým tohle opatření tak nějak ve výsledku k ničemu není ...

[pht]

Otázkou je jestli to k něčemu bude

Tak má to 2 použití, za prvé lze (dočasně) zablokovat IP adresu toho serveru. Ten reconnect je sice hezká věc, ale pokud bude klient pořád "padat", tak ho třeba ten člověk vypne. Za druhé to lze použít jako detektor pro ověření procesního opatření.

[stativ]

V prvním případě by měli uživatelé běžet pod uživatelskými právy.
Dále by měl být nějaký audit, aby byl přehled o nainstalované sw výbavě na stanicích a uživatelé by o takové kontrole měli vědět. Pak si totiž rozmyslí si něco instalovat.

Tohle má menší problém – PortableApps. Všechno by to mohlo krásně fungovat, ale tyhle za sebou nenechávají žádný bordel (ani nastavení), takže pokud uživatele nepřistihneš přímo při činu máš smůlu. Nicméně já bych tohle řešení asi použil. Není sice úplně spolehlivé, ale je to lepší než drátem do oka (a rychlejší než filtrování na základě obsahu paketů).

Pak je tu ještě možnost L7-filter, ale pattern pro AIM (=> a ICQ) má být opravdu HODNĚ pomalý.

[Max]

Ve skutečnosti by PortableApps nevyužil asi nikdo. Jsou dva uživatelské stavy :
1) Stáhnu a nainstaluju - u mně ve firmně to funguje
2) Nejde stáhnout/nainstalovat - u nás ve firmě je to zakázané a nejde to

Víc uživatel neřeší. A když ví, že se počítače monitorují a ví, že se zaznamenává, kam člověk chodí na stránky (kdy na jak dlouho atd), páč se to také monitoruje, tak je finýto. Základní bezpečnostní opatření + vědomí, že se vše ví -> strach z průšvihu zařídí to, že zůstane uživatel spořádaný.

Další věcí je, že mechaniku můžeš odpojit, bios zaheslovat a boot jen z hdd, na skříň plácneš plombu a USBéčka zakážeš (resp. jen povolíš tebou vybraná zařízení, což lze přímo ve windows xp home/pro bez použití nějakého programu). Pokud se jedná o síť kolem 30PC, tak se to dá zvládnout všechno růčo.
Zdar Max

[NoXO]

ano toto je další level co plánuji, ale jsem na to sám... a je to opravdu v dezolátním stavu... těch alienů tu mám přes 60 :) (někteří jsou zpořádaní od přírody nekteří né no :))

[Max]

Když jsme dělali hurá akci s kolegou a vlastně jsme růčo kontrolovali PC (SP3 + full update, IE8, aktuální verze antiviru, omezení uživatele atd.), tak nám cca 30PC trvalo skoro celou noc :-/. Takže zábavy máš asi požehnaně.
Zdar Max

[NoXO]

dokonce jak sem přenastavoval něco na konstrukci v sobotu, tak jsem zjistil, že jeden kamarád má pc i jako mikrovlnku, ohřívá si jidlo na zdroji :D byly tam 3 talíře a na myši měl kečup + klavesnice od hořtice :D někdy je to i sranda při těch nervech :)

[Pavel 'TIGER' Růžička]

Jednou jsem otevřel bednu a disk nebyl ve své pozici, ale byl na dně bedny podloženej vaničkou od vlašského salátu (vypláchlou), ale stejně jsem na to asi pět minut čuměl jak vyoraná myš a nevěřícně kroutil hlavou.

Jako bránu používám IPCop a do něj URLFilter, slušná věcička i když u omezování se bez zásahu do registrů neobejdeš.

[xkucf03]

Tak proč jim šéf nezadá víc práce, když očividně nemají co dělat a zbývá jim čas na blbosti?

[piCZa]

Pod vas prispevek bych se mohl podesat.

1. Uzivatele musi bezet jako bezny user. Pokud existuje SW ktery takto neumi bezet, ma vyjimku.

2. Na pocitaci je pouze seznam povoleneho SW a namatkove se provadi audit.

3. Uzivatel se zavaze k jednoduchemu etickemu kodexu pouzivani firemni site.

4. Dusledne resit kazdy incident proti pravidlum

Filtrovani, krome bezpecnostni funkce, je vlastne uz jen faze represe resp. vymahani pravidel. To uz je pozde a vzniknou tak dva nastvane tabory.

Zkuste usnadnit proceduru schvalovani povoleneho SW. Delegujte tuto cinnost vedoucim ci jinym clenum tymu, kteri za to budou mit osobni zodpovednost. V pripade kontroverznich SW (Facebook, ICQ, apod.) se ptejte jak takovy SW zvysi nebo ovlivni produktivitu prace ve vasi firme . Nabidnete rizenou alternativu.

[Jary]

A komu tím prospějete?

[Mercuriuz]

Jako zaměstnavatel samozřejmě sám sobě, jako zaměstnanec na pozici IT to má pravděpodobně nakázaný od šéfa, já bych jako zaměstnavatel taky nechtěl aby zaměstnanci polovinu pracovní doby za kterou sou placení strávily na icq, jabberu, facebooku apod.

A s tím blokováním...GL&HF pže sme češi a nějakej způsob jak se připojit si vždycky najdem

[NoXO]

jde oto že mi to ani nikdo nemusí nařizovat, já prostě vím kolik lidi stráví deně na internetu svýma osobníma věcma :) často i půlku pracovní doby... co jsem zakázal facebook a stahovaní pro vybrané THP, tak nárust výkonu práce je znatelný už jen pouhým okem.

"hláška typu proč bych chodil na ten internet ? stejně tam nic už nefunguje... nebo ten internet už je jen demoverze ..." to je už tady běžná už klasika... občas se kouknu do squidu a poblokuji jim webové hry a zjistil jsem, že je to prostě už nebaví hledat nové a nové věci

Lidi nad sebou potřebují bič, jsou opravdu u nás zvyklí si v práci vyřídit všechny osobní věci a po práci jdou ven na kolo nebo na zahradu, vše co potřebovali probrat nebo vyřidit v osobním životě, si prostě vyřidili v práci...

U nás jsou lidi lamy, neumí obejít jednoduché zabezpeční ... a když umí, tak ať umí, ale brzy se to proflákne

Vím, že jsem to napsal dost sadisticky, ale je to tak z větší části jak jsem napsal...

[Luboš Doležel (Doli)]

Kdyby půlku. Měli jsme jednoho, co takhle trávil 97 % pracovní doby. Ani nevím, jak si to vlastně představoval.

[xkucf03]

To bych viděl spíš na selhání šéfa, prostě mu nezadával dost úkolů a nekontroloval plnění. A pokud ano, tak se ten člověk dá vyhodit za neplnění úkolů nebo za neschopnost, pomalost – ale není potřeba řešit, co dělá na počítači.

(jasně, je fajn, když se člověk sám přihlásí o práci, když už žádnou nemá, někde se to dokonce i vyžaduje, ale nelze to čekat od všech lidí a ve všech typech firem)

[Heron]

co jsem zakázal facebook a stahovaní pro vybrané THP, tak nárust výkonu práce je znatelný už jen pouhým okem

No já nevím, jestli se tím zákazem facebooku (čehokoliv) vůbec něco vyřešilo (systémově, trvale). Přece, pokud má dotyčný zaměstnanec co dělat, tak nemá čas na na kraviny kolem. Pokud má zadaný úkol a ten neplní, má být za to dle smlouvy sankcionován. A pokud nemá zadaný úkol (což je chyba vedení a ne jeho), tak ať si klidně facebookuje. Případně ještě může teoreticky nastat čtvrtý stav, kdy zvládá plnit úkoly a ještě u toho facebookovat.

Zkrátka, ať se na to dívám jakkoliv, je chyba někde jinde, než v povoleném chatu. Ten zaměstnanec by měl pracovat na zadaném úkolu a tohle by měl kontrolovat jeho nadřízený. A nikoliv to, jestli si vyřizuje něco soukromého.

[vain]

Přesně tak, hezky řečeno. Buď má málo práce a stíhá u toho dělat kraviny, nebo nedělá svou práci... no a s takovým zaměstnancem je jasné, co dělat.

[AsciiWolf]

+1

[pedro]

+1

[ttt]

Když má člověk něco důležitého (rozuměj facebook :) ) tak se může stát, že fláká svou práci. Byť svou práci udělá. Pokud řeknete, že to vyřeším změnou zaměstnance nebo domluvou tak jste podle mě úplně mimo.

U facebooku si člověk neodpočine, nezvýší to jeho produktivitu, nezvednete to jeho kvalitu práce, naopak se jeho soustředění třepí. A když najednou začne dostávat víc a víc práce (protože se podle své filozofie snažíte jeho dostupný čas využít tak aby "neměl čas na kraviny") tak začne být nespokojený. Prostě musí sám volit mezi využitím pracovní doby k "práci" a nebo "zábavě"... protože zábava vyvolává větší spokojenost a možnost volby má, je implicitně méně spokojený. Zákazem "facebooků apod" jasně dáte na vědomí, že možnost volby zaměstnanec nemá což dokonce zvýší jeho spokojenost z práce (byť si to neuvědomí :) )

Apropo... rvát zaměstnance do takového stresu aby neměl ani čas se zamyslet nad jednoduchým "podívám se na 10s na facebook, když to jde" NENÍ DOBRÉ PRACOVNÍ PROSTŘEDÍ.

[Heron]

Prostě musí sám volit mezi využitím pracovní doby k "práci" a nebo "zábavě"... protože zábava vyvolává větší spokojenost a možnost volby má, je implicitně méně spokojený.

Já si myslím, že pokud by ten zaměstnanec pracoval na úkolu, který má smysl, výsledky, je to výzva, zábava apod., tak na nějaký nudný facebook ani nepomyslí. Je velmi mnoho úkolů, které svoji atraktivitou překonají chatování. Je to prostě o té motivaci, jak píše Franta.

A mám pocit, že jsi můj komentář ne zcela pochopil. Já jsem rozhodně nechtěl toho zaměstnance zahltit úkoly. To ne. Pouze jsem vyjmenoval všechny čtyři možnosti. Podle mého názoru je stav "není práce, tak koukám na facebook" mnohem lepší, než stav "tak mu vymyslíme nějakou šílenou práci, ať se nenudí".

[xkucf03]

Souhlas. Celé je to akorát o marketingu – někde chce prodávat svoji teplou vodu, a tak si kolem toho vymyslí příběh, jak jeho řešení zvýší produktivitu zaměstnanců. A někteří manažeři jsou tak líní a neschopní, že místo aby motivovali* své lidi nebo lépe organizovali práci, tak si myslí, že když si koupí nějakou zázračnou krabičku, produktivita stoupne a oni nebudou muset hnout prstem.

*) což je jedna z jeden hlavních úkolů a důvodů, proč manažery vůbec máme

[xkucf03]

Tohle hrozně záleží na druhu firmy a na zaměstnancích – pokud to mají být jen dělníci, kteří plní osmihodinovou denní normu, tak tam možná takové fašistické nastavení sítě najde uplatnění – jinde je to ale spíš kontraproduktivní – obrátíš zaměstnance proti firmě nebo proti IT oddělení, budou se bavit (a ztrácet čas) obcházením buzerací, které pro ně síťaři vymysleli (což taky stálo čas a peníze firmy), z prolamování pravidel se stane výzva, i když to přímo nepotřebují, musí si dokázat, že jsou chytřejší a schopnější než nějaký dráteník, který ta pravidla stanovil

Řešení tohoto problému vidím spíš v motivaci, loajalitě k firmě a v organizaci práce (když ten člověk plní svoje úkoly a je užitečný, tak je přece jedno, že si v práci řeší i osobní věci).

P.S. taky je potřeba pamatovat na to, že život nejsou jen počítače – on se sice síťař může radovat nad tím, jak už nikdo nechodí na ICQ a nehraje webové hry, jenže ti lidi se třeba jen přesunuli jinam – můžou si číst noviny na záchodě* nebo tlachat v kuchyňce… ve výsledku se produktivita práce nijak nezlepší – a jsme zase u té motivace.

*) Homer Simpson si tam dokonce nosí krabici koblih, zamkne se a požírá je tam.

[vain]

Hlavně tomu, že nebude mít zasranou síť cypovinami. Nikdy jste nespravoval velkou síť? Není to žádná sranda.

[NoXO]

lidi jsou občas nehorazná cháska... hlavně pokud to není jejich věc, tak se k tomu neumějí chovat

[NoXO]

není nějaký jednoduchý návod jak to bloknout ??? nějaký sw co bych mohl prásknout na router ? :)

[ubuntak]

Jedina moznost je L7-filter jak uz vam tady psali kolegove. Nesouhlasim vsak s tim, ze by mel byt pattern pomaly. Zalezi na rychlosti pripojeni a routeru samotneho. Co se tyce instalace a zporovozneni takoveho reseni neni to snadne. Pokud ovsem tva distribuce nema v repozitarich vse potrebne. pak by to byla otazka nekolika chvilek.

[Max]

Jseš si jistý, nekoukal jsem nato, ale jak může L7-Filter nahlížet do šifrované komunikace a rozlišovat, co v ní teče? Podle mně to nejde. Podle mně lze použít jen na nešifrovanou komunikaci, nebo přímo na porty.
Takže smolík pakocholík a jediná možnost podle mně je odsniffovat ip serverů icq a ty pak blokovat, viz níže.
Zdar Max

[cynic_asshole]

Vařím z vody, ale co před ten filtr umístit proxy s cinknutým certifikátem vydávajícím se za *.icq.com? Je to sice sviňárna…

[stařo]

L7-filter asi ne ale ssh proxy existuje a dokaze koukat do zaheslovane komunikace..

[Bilbo]

A dokáže se ta proxy vypořádat i s tím, že podvrhne správný host key?

[Matlák]

to těžko na druhou stranu jsou i tak blbí lidé, že se připojí z práce poprvé a otisk si neověří...

[Max]

Myslím si, že ani omylem. Podle mně není šance ani na L7filter apod. věci, páč šifrovaná komunikace je šifrovaná komunikace.
Já bych ty PC přes noc vyčistil + nasadil zmíněná omezení : zakázat mechaniku, zaheslovat bios, boot jen z hdd, ve winxp zakázat usb a povolit jen vybarná usb zařízení. Uživatele jako user + správa třeba přes realvnc/ultravnc/tightvnc.

Jinak pokud opravdu něco dělat s firewallem, tak bych možná zkusil vygooglit, nebo odněkud vydolovat seznam IP adres serverů ICQ a ty blokoval. Můžeš to zkusit udělat růčo, ale s originálním ICQ klientem, nejnovějším. Prostě ho spustíš a budeš netstait(nebo sniffovat komunikaci, nebo pro win použít třeba program zdarma jako NetLimiter 3 Monitor free registration) a získávat IP a postupně je zakazovat a určitě těch ip nebude v řádu stovek, ale desítek, takže si myslím, že se to zvládnout dá.
Zdar Max

[NoXO]

do toho nejdu :) to není ultimatní řešení a je příliš naročné :)

raději jim šlápnu na mzdu... mám v hlavě myšlenku, že si vyberu odstrašující případ a toho veřejně popravím :)

[Max]

Tak je to podle mně na 30min, pak ten seznam máš.
Zdar Max

[Marian]

Predpokladám že na staniciach beží win. V registroch HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer/DisallowRun (nie som si celkom istý či priamo v tejto vetve ale asi áno) zakáž ICQ a hotovo. Samozrejme práva užívateľov na stanici nastav na USER.

[Max]

Pravda, windows xp umožňují zakázat spuštění předem definovaných aplikací. Na to jsem úplně zapomněl :). Také jedno z řešení.
Zdar Max

[Xerces]

By me zajimalo jak to funguje. Co kdyz ten EXE prejmenuju?

[Max]

Funguje to myslím jen podle jména exáče, takže tak. Ale je to zase jen jedna z věcí, kterou uživatele nemusí napadnout.
Zdar Max

[Mercuriuz]

na to bych nespoléhal, češi jsou neuvěřitelně vynalézaví při obcházení zákazů, nařízení apod.

[Sten]

Myslím si, že lepší by bylo nastavit práva tak, že kromě Windows a Program Files nesmí nic spouštět a ani do jednoho nesmí zapisovat.

[pic]

přikláním se spíš k nastavení vzáleného přístupu a postupnému čištěn a kontrole dle náhodného výběru, nebo po odděleních - to se rozkřikne, ostatní začnou přemýšlet. 100% se ukáže jeden rebel, tomu můžeš dát výstrahu, nebo je to pak ideální cíl k popravě

[pavlix]

Doporučuju všem zaměstnancům odpojit kabel od počítače a při vstupu do zaměstnání vzít všem uživatelům mobil a podobnou elektroniku a vrátit jim je při odchodu.

[Sten]

Tady je ucelený návod. Mimochodem neobchází to náhodou firewall přes nějakou HTTP proxy?

[pavlix]

Pokud to neumí blokovat mobilní připojení na soukromém zařízení zaměstnance, tak je to ve výsledku stejně k ničemu :).

[Sten]

Pokud počítače zaměstnanců jsou něco víc než jen hloupé terminály (tedy pokud má zaměstnanec fyzický přístup k hardware, kde mu jeho programy běží), tak se klička vždycky najde a zaměstnanci jsou v tomhle obzvláště vynalézaví.

[pavlix]

Ale já psal:

Pokud to neumí blokovat mobilní připojení na soukromém zařízení zaměstnance, tak je to ve výsledku stejně k ničemu :).

To nemá s hardware v majetku firmy nic společného.

[Sten]

Jo takhle, jako že by ti zaměstnanci měli ICQ přímo na mobilu. Aha, tak to jsem nepochopil, já myslel, že by použili tethering. Nj, tak to potom nejde udělat už nic

[pavlix]

Tak tak.

[Bilbo]

Něco takového je ale obvykle neproveditelné, aktivní rušičky jsou nelegální a pasivní rušení (jako třeba vybudovat kolem místnosti nebo budovy faradayovu klec) zase dost drahé.

Na druhou stranu, ne všichni zaměstnanci mají smarthphony s připojením k netu, takže to nemusí být zas tak k ničemu zakázat to na pracovních strojích (které se pak mimo jiné nezanesou potenciálním spywarem a podobnými ptákovinami)

[pavlix]

Něco takového je ale obvykle neproveditelné, aktivní rušičky jsou nelegální a pasivní rušení (jako třeba vybudovat kolem místnosti nebo budovy faradayovu klec) zase dost drahé.

Není moje vina, jestli nechápeš sarkasmus.

Na druhou stranu, ne všichni zaměstnanci mají smarthphony s připojením k netu

Tady nikdo nemluví o smartphonech ale o telefonech s Javou za pár stovek z bazaru. Smartphone je potřeba jen pro pohodlí.

[Bilbo]

Spustit tcpdump, zjistit si IP adresu (adresy) se kterými pidgin komunikuje při přihlašování a ty pak zakázat (na všech portech). Jako side effect asi nepůjde web ICQ, ale to by nemělo vadit :)

[otasomil]

Nepisete kolik pc se Vas problem tyka.

 

V male firme by nemel byt problem:

Zaridit, aby lidi delali co maji.

Udelat poradek v uzivatelskych uctech.

Nikdo nebude mit admina.

Castecne se spolehnout ze lidi nevi o portable programech pro instant messaging a jedine icq je to co stahnou v cestine z atlasu.

Do souboru hosts inkriminovanych icq zavislaku vlozit radek smerujici domenu na niz se dotazuje klient icq a jako cil dat treba IP localhostu.

[Max]

Jednak tu bylo vše již řečeno a navíc, icq se nepřipojuje na doménu, ale na ip. Již několikrát jsem řešil, že web nefungoval a ICQ ano - prostě nešel dns server, což icq nevadilo.
Zdar Max

[otasomil]

V original klientovi (jeho instalaci a pouzivani lze znemoznit zakazanim admin uctu beznym uzivatelum) patrne je natvrdo zadana IP avsak v alternativnich portable klientech (Miranda) se bezne pouziva: login.icq.com nebo tak nejak

[VM]

Nejlépe nijak - krom zmíněného byste museli zakázat i web ICQ (běží tam webová verze), veřejné web proxy, proxy co si pustí zaměstnanci ... výsledkem bude buzerace která zaměstnance demotivuje, a stejně si to pustí minimálně na mobilu, tedy pokud nepořídíte i rušičku mobilů. Pokud jako zaměstnanec nebudu chtít pracovat, vždy si vymyslím nějakou neproduktivní aktivitu. A pokud mě zaměstnavatel bude takhle buzerovat, místo aby se mě snažil podporovat, tak se mi nebude chtít pracovat.

Zkuste si radši zajistit, aby vám zaměstnanci za plat dávali odpovídající výkony, a aby k tomu měli chuť, a nestarejte se o to, zda v mezičase tlachají s kolegy v kanceláři nebo na ICQ. Pořád lepší, než kdyby slepě zírali do monitoru a nutili se předstírat práci.

[pavlix]

A každý web s webovým jabberem (viz ICQ transport).

[xkucf03]

V jedné firmě jsem viděl i následující konfiguraci: zaměstnanec přinesl GSM modem (který měl oficiálně na práci doma, paušál platil zaměstnavatel) a k tomu se připojilo APčko a najednou byla v kanceláři nová takřka neomezená síť. Obejít se dá všechno

[P.P.]

ani jeden z uvedenych postupu ale nezablokuje pouzivani icq pres webove rozhrani gmailu ne? :)

[MaFy]

A jak se da pouzivat ICQ pres GTalk?

[pavlix]

Třeba přes ICQ transport umístěný na jiném serveru? Navíc těch webových rozhraní pro jabber je vícero. Při troše šikovnosti se dá ICQ protunelovat přes cokoli včetně ICMP a DNS :).

[P.P.]

jednoduse v Gmailu prepnete na ENG, a pak vlevo klik na zmenu statusu a tam je "Sign into AIM"

[tuxmartin]

Zablokovat? Technicky takmer nijako. Je to plytvanie casu a prostriedkov na nikdy nekonciaci boj s pouzivatelmi, ktory ti technicky zdatni aj tak vzdy vyhraju.

Tieto veci sa najucinejsie riesa firemnym nariadenim, kontrolou a exemplarnym potrestanim prichyteneho vinika. A mozete si byt isty, ze akonahle sa po firme rozsiri, ze niekto nedostal premie, lebo prevadzkoval lubovolne nepovolene sietove aktivity, pocet previnilcov prudko skonverguje k nule. A tych zvysnych odhali dalsia kontrola, a firma opat usetri na premiach.

[NoXO]

toto je řešení a je určitě krok ku předu... ale prozatím nechcu šahat lidem na peníze..

[cronin]

Podľa toho, čo si napísal v dotaze, si už urobil dosť preto, aby bolo jasné, že je nežiadúce ICQ používať ... a vďaka tým opatreniam technicky menej zdatní používatelia ICQ už používať pravdepodobne nie sú schopní. Tí zvyšní, hoci im musí byť zrejmé, že obchádzajú pravidlá, tak činia naprie technickým opatreniam. Preto treba na nich použiť netechnické opatrenia; skús zoznam viníkov vyvesiť na frekventované miesto vo firme.

[FilipL]

Dovolím si nesouhlasit s tím, že IM komunikaci nelze blokovat.

Jakási firma Enlogit u nás na škole pravidelně pořádá různé semináře a mimo jiné nám na nich předvádí i jakési Astaro.

A názorně nám tam ukázali právě blokování Skype, ICQ, Jabberu apod. A bylo zcela jedno, jestli to bylo šifrované, nebo ne.

Mimo jiné to blokuje i weby podle jejich obsahu (nabídka velmi široká - např. weby s nevhodným obsahem, technické weby, ... zhruba několik desítek kategorií s podkategoriemi).

Moc si z toho už nepamatuji, ale lze to. Akorát, že to stojí celkem dost peněz

Tady je odkaz.

[pavlix]

Dovolím si nesouhlasit s tím, že IM komunikaci nelze blokovat.

Dovolím si tvrdit, že pokud neodeberete zaměstnancům při vstupu do práce jejich soukromou elektroniku nebo neuzavřete kancelář před signálem mobilních komunikací, nemáte s blokováním šanci.

Moc si z toho už nepamatuji, ale lze to. Akorát, že to stojí celkem dost peněz

Taky umím sehnat řešení pro blokování HTTP a dalších protokolů podle různých kriterií.

Mimochodem, marně jsem hledal heslo „nevhodný obsah“ na wikipedii a kdesi jinde, ale stále ještě nevím, co to znamená.

Jedna věc je, jestli lze „to“, což v marketingových kecech vždy platí (při šikovném dosazení slova „to“), jiná věc je, jestli lze, či je rozumné, řešit problémy firmy tím, že se uživatelé donutí, aby přešli s facebookem a ICQ na svá mobilní zařízení.

[FilipL]

Dovolím si tvrdit, že pokud neodeberete zaměstnancům při vstupu do práce jejich soukromou elektroniku nebo neuzavřete kancelář před signálem mobilních komunikací, nemáte s blokováním šanci.

S tím souhlasím. To blokování jsem tak nějak myslel jen na počítače připojené do firemní sítě.

Mimochodem, marně jsem hledal heslo „nevhodný obsah“ na wikipedii a kdesi jinde, ale stále ještě nevím, co to znamená.

Jako ten „nevhodný obsah“ nám tam prezentovali zejména porno, násilí apod., nějak mě nenapadlo tuhle položku dále rozvádět.

..., jiná věc je, jestli lze, či je rozumné, řešit problémy firmy tím, že se uživatelé donutí, aby přešli s facebookem a ICQ na svá mobilní zařízení.

Tady nedokážu říct, jestli to je rozumné řešení problému, nicméně některé uživatele to může odradit od užívání ICQ a Facebooku v pracovní době.

[VM]

Tady nedokážu říct, jestli to je rozumné řešení problému, nicméně některé uživatele to může odradit od užívání ICQ a Facebooku v pracovní době.

Já bych za cíl spíše považoval namotivovat je pracovat. Ale když myslíte, že tohle je lepší ...

[FilipL]

Já bych za cíl spíše považoval namotivovat je pracovat. Ale když myslíte, že tohle je lepší ...

Samozřejmě, že by mělo cílem být namotivovat ty lidi pracovat. Ani nikde neříkám, že je lepší jim ty služby na počítačích blokovat . Pouze jsem se snažil odpovědět na tazatelovu otázku ohledně blokování ICQ.

[pavlix]

Jako ten „nevhodný obsah“ nám tam prezentovali zejména porno, násilí apod., nějak mě nenapadlo tuhle položku dále rozvádět.

Co je na pornu a zpravodajských pořadech (kde se objevuje násilí) nevhodného? :)

Tady nedokážu říct, jestli to je rozumné řešení problému, nicméně některé uživatele to může odradit od užívání ICQ a Facebooku v pracovní době.

A motivovat některé k tomu, aby další čas věnovali obcházení tohoto bloku, což se jim dříve či později povede :).

Navíc jak už tu bylo psáno výše, ti lidé zřejmě nemají co na práci, takže je FB/ICQ/whatever nemá od čeho zdržovat.

[pumelice]

To nemusi souviset jen se ztratou casu ale taky s informacni bezpecnosti spolecnosti. Na svem mobilu/notebooku at si delaji co chteji, pokud je vedouci ma ve skatulce "pracant"

[pavlix]

No... pochybuju, že zablokování jedné konkrétní služby se dá nazvat bezpečnostním řešením, ale budiž. Držel jsem se spíše kontextu produktivity práce.

[pumelice]

Tak to jste komplet vyfabuloval. Ja jsem nikdy nerekl, ze zablokovani icq je bezpecnostni reseni. Je to jen drobna soucast bezpecnostniho reseni.

[pavlix]

Tak to jste komplet vyfabuloval.

To je dle mého názoru velmi úsměvný způsob argumentace.

Je to jen drobna soucast bezpecnostniho reseni.

Právě že tak drobná, až nepodstatná, pokud se neuplatní pomalu stovky důležitějších pravidlech.

[pumelice]

Dle meho nazoru tomu vubec nerozumite. Mel byste se mene angazovat v teto diskusi.

[pavlix]

Váš názor mě jaksi nezajímá, a tak nějak tuším, že nikoho tady.

[pavlix]

Abych to upřesnil, nezajímá mě od vašeho posledního komentáře, kde jste ukázal, že už nic nemáte, a zbývá vám jen „ad hominem“.

[xkucf03]

nekrmit

[Bilbo]

Navíc jak už tu bylo psáno výše, ti lidé zřejmě nemají co na práci, takže je FB/ICQ/whatever nemá od čeho zdržovat.

To je otázka - nemají co na práci proto, že nedostali od šéfa úkol, nebo nemají co na práci proto, že tu práci co dostali se jim podařilo přehodit na jiné aby mohli dělat něco "zábavnějšího"? Pokud se jim zábava odstřihne, tak buď začnou zase pracovat (když ten FB a ICQ nejde ....), nebo z firmy odejdou (případně jsou vyhozeni), ale tak jako tak je to pro firmu výhra.

Ale je pravda, že nejlepším řešením může být něco jiného než hra na kočku a myš s blokováním a obcházením blokování (byť na méně zkušené nebo méně "flákavé" pracovníky tohle opatření může být účinné)

[pavlix]

To je otázka - nemají co na práci proto, že nedostali od šéfa úkol, nebo nemají co na práci proto, že tu práci co dostali se jim podařilo přehodit na jiné aby mohli dělat něco "zábavnějšího"? Pokud se jim zábava odstřihne

Neodstřihne :).

[xkucf03]

S tím souhlasím. To blokování jsem tak nějak myslel jen na počítače připojené do firemní sítě.

To bys musel zablokovat* i HTTPS resp. veškerou SSL komunikaci, což je dost nemožné, protože ta často bývá potřeba pro práci. A vlastně zablokovat i ostatní komunikaci, protože data se dají zabalit třeba do GPG zpráv a posílat přes nešifrované HTTP spojení – na proxy nepoznáš, co teče skrz, akorát že to jsou šifrovaná data (a ani jejich detekce nemusí být tak snadná, protože GPG hlavičky tam být nemusí, potečou tam prostě jen nějaké texty, data v Base64 kódování, případně se dá použít steganografie a bude to vypadat třeba jako nevinné obrázky). Nakonec bys skončil u whitelistingu – musel bys omezit komunikaci jen na servery, u kterých máš jistotu, že nebudou tunelovat jiná než pracovní data. Ve výsledku to bude stát spoustu práce a buď to stejně půjde obcházet nebo naprosto paralyzuješ i pracovní činnost ve firmě – to už můžeš tu místní síť rovnou odpojit od Internetu (taky řešení).

*) alternativou je MITM útok prováděný firmou na její vlastní zaměstnance, při kterém dochází k dešifrování komunikace na nějaké proxy a opětovnému zašifrování, tentokrát ale s jiným certifikátem (a příslušná CA se nainstaluje všem zaměstnancům do prohlížečů jako důvěryhodná, takže na první pohled nic nepoznají). Snad ani nemusím říkat, co si o takových „řešeních“ myslím.

[Jendа]

To bys musel zablokovat* i HTTPS resp. veškerou SSL komunikaci, což je dost nemožné

Nechceš se někdy přijít podívat k nám do školy? :-/ Z admina se mi nepodařilo vylámat, proč je povolené jenom HTTP, ještě tomu přes transparentní Squid. Výsledkem je, že vzdělanější žák to tlačím přes HTTPS over SOCKS over SSH over DNS tunel (cca 1 kB/s), méně vzdělanější si na Facebooku a webmailech vypínají SSL. Kdybych byl paranoidní, řekl bych, že to admin (možná na požadavek vedení) dělá schválně, aby potom mohl tajně páchat Opatření a přechovávání přístupového zařízení a hesla k počítačovému systému a jiných takových dat a Porušení tajemství dopravovaných zpráv.

[xkucf03]

Admin je každopádně zloduch Ale místo toho tunelování přes DNS by bylo asi lepší tunelování přes obyčejné HTTP (a šifrovat až uvnitř jednotlivých HTTP požadavků).

BTW: taky jsem si říkal, že by bylo fajn vytvořit nějaký steganografický tunel – normálně by sis třeba prohlížel web, ale na serveru a u tebe by byl speciální software, který by do přenášených obrázků vkládal (jako to dělá steghide) data – tím by vznikl další komunikační kanál, který by byl nejen šifrovaný, ale i utajený (pro detekci by bylo potřeba zkoumat každý přenášený obrázek, jestli neobsahuje schovaná data…). Akorát by to bylo dost asymetrické, protože při běžném prohlížení člověk víc stahuje než odesílá. Chtělo by to nějakého robota, který by simuloval prohlížení webu (aby vznikla dostatečná kapacita pro tunel). Pro IM nebo e-mail by to každopádně stačilo.

[Bilbo]

Chtělo by to nějakého robota, který by simuloval prohlížení webu (aby vznikla dostatečná kapacita pro tunel)

Možná by stačila nějaká AJAXová aplikace, co hodně intenzivně komunikuje se serverem. Pak by se nemuselo řešit kudyma bude umělý brouzdač brouzdat, prostě se to pustí a je kapacita dostatečná :)

[Jendа]

Nedávno tu byl jeden obchodník s deštěm. Nabídl jsem mu sázku o polárkáč, že to prolomím do 10 minut. Už se radši neozval .

Pokud dobře chápu odkazovanou stránku, tak je to zase jenom nějaká kouzelná proxy, která blokuje, co se dá. Úspěšnost prolomení pak závisí na tom, jestli si uživatel může na počítači spustit vlastní kód. Pokud jo, pak je to jasné - možností je víc než dost. Pokud ne, pořád jim nikdo nebrání spustit si u sebe na serveru třeba Ajaxterm s irssi. Jediná možnost blokování tak de-facto je zakázání spuštění vlastního kódu (a že to jde dost blbě, a to jak na GNU, tak asi i na Windows, ale tam se v tom moc nevyznám) a pečlivě vybraný whitelist webů a služeb vůbec. Ale pozor - včetně e-mailu - co byste řekli na MAIL←→ICQ gateway? I když na to bych se už asi vybodl a použil vlastní zařízení, jak píše pavlix.

[NoXO]

toto je celkem přestřelka tady... :)

Ale mé zkušenosti z lidma na síti jsou takové, že je nemusí člověk moc terorizovat, člověk udělá pár opatření a pak je to přenstane bavit a žanou robit :) (kamarád přezdívá uživatelům na síti .. "alieni")

Internetu u nás už říkaj demoverze :D jen to icq jsem jim chtěl ještě bloknout, skype nechám obchodníkum, pokud taky půjde zablokovat. :)

to ICQ jsem prostě vzdal...

[Adamec]

http://wiki.mikrotik.com/wiki/Drop_IM_Using_L7

[Jendа]

http://jenda.hrach.eu/f/installfest-2010-dns-tunelovani.odp

[pavlix]

:)

[Max]

Už to tu bylo několikrát zmíněno, do zašifrované komunikace se nepodíváš. Nevíš, zda v tom https je komunikace s webserverem, nebo s něčím jiným. L7 je dobrý akorát tak na nešifrovanou komunikaci.
Zdar Max

[Bilbo]

Dovnitř ne, ale to neznamená, že nejde nic poznat. U HTTPS putuje od usera někam nejdřív nějaký cca 500-1000 bajtů chrchel (request) následovaný chrchlem ze serveru od pár bajtů do mnoha Kb. Pokud je Keepalive, toto se několikrát opakuje a pak se spojení utne.

U kecálků je komunikace dlouho otevřená, jen sem tam probublá pár set bajtů, typicky s nějakým malým "ack" (pár bajtů) poslaným zpět.

Podle toho kolik bajtů jak protéká se dá celkem dobře tipovat co za protokol tam leze.

Viz útok na TOR kdy lze poznat z analýzy zašifrovaného provozu s poměrně velkou jistotou dokonce na které stránky člověk přes TOR leze.

TOR navíc narozdíl od prostého SSL zarovnává pakety na určitou délku.

[pavlix]

U HTTPS putuje od usera někam nejdřív nějaký cca 500-1000 bajtů chrchel (request) následovaný chrchlem ze serveru od pár bajtů do mnoha Kb. Pokud je Keepalive, toto se několikrát opakuje a pak se spojení utne.

A nebo taky ne :).

Viz útok na TOR kdy lze poznat z analýzy zašifrovaného provozu s poměrně velkou jistotou dokonce na které stránky člověk přes TOR leze.

Fingerprinting zašifrovaného provozu podle mě není něco, co bys zítra nasadil ve firmě proti zaměstnancům, co používají ajsko.

[pepe_]

Jsou 2 řešení .

 

1. Odpojit od internetu = žádné náklady

2. Vyměnit vedení neb je to předem prohraný boj. (Pokud není ve smlouvě zákaz této činnosti , nesmíš ani trestat zaměstnance) viz ochrana práv a svobod.  Ono se pak zaměstnanecká šikana prodraží víc než firma unese.

Soudy na Vás !

[Max]

Mně by jen zajímalo, kolik lidí, co tady tvrdí, že je to zbytečné, nebo že takové blokování zaměstnanci obejdou, nebo že je to chyba přidělování a kontroly práce a tudíž špatné vedení atd., tak zda mají s něčím takovým zkušenosti, tzn. se spravováním nějaké firemní sítě 50-60-200 a více zaměstnanců, nebo jsou to jen teoretici?

Pokud jde o argumenty ohledně špatného vedení, tak vězte, že dokonalé vedení neexistuje. Každý má nějaké mouchy a přednosti, né každý šéf sekce má čas pro neustálé kontrolování zaměstnanců, tzn, že sleduje jen odvedenou práci (počet vyřízených objednávek, nebo faktur apod.) a případné stížnosti klientů.

Další častý argument, který tu slyším, je ohledně nemožnosti uživatelům zakázat ICQ, že si prý najdou vždy nějaký způsob. Toto jsou maximálně mylné a vysněné argumenty. Zaměstnanci nejsou IT odborníci, zaměstnanci nemají zas tak často telefony s nějakým OS, na kterým by se dalo rozjet třeba ICQ, zaměstnanci většinou nemají datové tarify atd. Jak už jsem napsal, zaměstnanec buď ví, že to jde a používá to, nebo ví, že se to blokuje, že je tajně sledován (nějaký program pro audit) a tudíž už jen hole konstatuje, že to nejde, nebo se to vůbec nesnaží rozjet kvůli strachu, že se to hned provalí a bude mít problémy (když je monitorován programem pro audit).

ICQ není jen o komunikaci, ale také o přenosu dat (další možnost, jak něco do PC dostat včetně nějakých svinských broučků)

Dále bych rád podotkl, že takový program má určitě vliv na výkonnost zaměstnance, jelikož když si s někým píše, tak může odkládat svou práci (teď něco řeším po icq, ale zachvíli se nato juknu), může to být pak na hranici, tedy žádné ad-absurdum, že zaměstnanec přestává makat a jsou problémy, ale že prostě někdy problémy jsou, někdy ne, nebo dřív stíhal všechno hned, nyní těsně na konec termínu, jinak je to zaměstnanec spolehlivý, už je proškolený, což trvá tak měsíc, dva + plná kvalifikace třeba 6 měsíců.

Další pěkný argument je, že když nebudou komunikovat po síti, tak se budou stejně bavit mezi sebou. Taky blbost jak zvon. Jasně, že se zaměstnanci baví mezi sebou, ale rozhodně né úměrně k absenci komunikačních programů. Mezi tím není žádná vazba, jak si tady mnozí myslí. Zaměstnanci se baví baví a vždy budou bavit mezi sebou, řekl bych úměrně. Jednak to, že jeden má čas, neznamená, že má čas hned i ten druhý, další věcí je, že zaměstnanci nejsou sami, ale je jich víc a všichni se k sobě nemají výborně. Takže když se do sebe dva zaláskujou a začne se mezi nimi zvyšovat komunikace, tak si toho nepřející duše všimnou a začnou stížnosti od kolegů atd.

Prostě mám takový pocit, že tu hafo lidí vymýšlí hafo blbostí a jen si hrajou na teoretiky a postrádají minimální zkušenosti, čímž pak všechno vidí černobíle.
Zdar Max

[pepe_]

wap.tjat.com toto icq jde na každym wap telefonu , https://imo.im/ na většině prohlížečů.

Přes jabber si pak daj icq transport.

Podceňovat lidi se nevyplácí a většinou zaměstnavatel může očekávat odvetu ikdyž třeba z jiného soudku (pošle hygienika pro nedostatek světla , wc nebo teploty) a najdou se toho spousty.

Je to spíše o dohodě se zaměstnanci.

Oni třeba ani icq nepotřebují ale vzhledem k tomu že ve firmě mají jen e-mail ale žádný intranetí komunikační software tak utíkají na icq aby nemuseli o patro níž se zeptat na údaj.

[pavlix]

Podceňovat lidi se nevyplácí a většinou zaměstnavatel může očekávat odvetu ikdyž třeba z jiného soudku (pošle hygienika pro nedostatek světla , wc nebo teploty) a najdou se toho spousty.

Jo, to je taky pravda, akce proti zaměstnancům můžou mít tyto následky v podobě (třeba anonymních) udání.

Oni třeba ani icq nepotřebují ale vzhledem k tomu že ve firmě mají jen e-mail ale žádný intranetí komunikační software tak utíkají na icq aby nemuseli o patro níž se zeptat na údaj.

Ve firemní sféře e-mail často hbitě nahradí IM řešení, takže to bych zase tak černě neviděl.

[pavlix]

Mně by jen zajímalo, kolik lidí, co tady tvrdí, že je to zbytečné, nebo že takové blokování zaměstnanci obejdou, nebo že je to chyba přidělování a kontroly práce a tudíž špatné vedení atd., tak zda mají s něčím takovým zkušenosti, tzn. se spravováním nějaké firemní sítě 50-60-200 a více zaměstnanců, nebo jsou to jen teoretici?

Minimálně bych řekl, že tu má dost lidí zkušenosti s prací :) a kousek zdravého rozumu.

Pokud jde o argumenty ohledně špatného vedení, tak vězte, že dokonalé vedení neexistuje. Každý má nějaké mouchy a přednosti, né každý šéf sekce má čas pro neustálé kontrolování zaměstnanců, tzn, že sleduje jen odvedenou práci (počet vyřízených objednávek, nebo faktur apod.) a případné stížnosti klientů.

To nic nemění na platnosti těch argumentů.

Další častý argument, který tu slyším, je ohledně nemožnosti uživatelům zakázat ICQ, že si prý najdou vždy nějaký způsob. Toto jsou maximálně mylné a vysněné argumenty.

Zřejmě jsi nikdy neviděl počítačem takřka netknutnou třináctku s ICQ v mobilu. Mám za to, že když maminka hezky poprosí, že to nastaví i jí.

Prostě mám takový pocit, že tu hafo lidí vymýšlí hafo blbostí a jen si hrajou na teoretiky a postrádají minimální zkušenosti, čímž pak všechno vidí černobíle.

Mám pocit, že jsi se právě dokonale popsal.

[Max]

To nic nemění na platnosti těch argumentů.

To mění, protože někdy jsou neoprávněné, záleží to mj. na typu požadované práce. Chtělo by to jen trochu představivosti, nebo zkušeností .

Zřejmě jsi nikdy neviděl počítačem takřka netknutnou třináctku s ICQ v mobilu. Mám za to, že když maminka hezky poprosí, že to nastaví i jí.

Možná ano, možná ne, každopádně ICQ v mobilu není hrozbou pro PC a o to tu jde také. Navíc se pak jedná o jednu černou ovci, nebo minoritní skupinu, ostatní mají útrum a neřeší to, nebo se to bojí řešit.

Mám pocit, že jsi se právě dokonale popsal.

To, co jsem popsal, jsou mé zkušenosti s pár stovkama zaměstnanců a né nějaký černobílý svět, kteří si tu mnozí vysnívají a obviňují třeba vedení, ač vlastně ani neví, o jakou práci se v nějaké firmě jedná, zda práci přiděluje šéf, nebo se práce přiděluje skoro sama (klienti) atd.
Samozřejmě, že nejde ničemu na 100% zabránit, ale také nelze tvrdit, že dělat jistá opatření je zbytečné.

A pokud jde o to, že mnozí mají zkušenosti jako zaměstnanci a né jako správci větší sítě, tak musím říci, že ač si mnozí myslí, že ví všechno třeba o vedení, tak vedení toho vždy ví minimálně 2x více, než zaměstnanci. Z tohoto pohledu je kritika ze strany zaměstnanců neobjektivní, páč nevidí všechno. A toto lze naroubovat i na vztah uživatel PC - správce pc.
Zdar Max

[pavlix]

tak musím říci, že ač si mnozí myslí, že ví všechno třeba o vedení, tak vedení toho vždy ví minimálně 2x více, než zaměstnanci.

Tyhle objektivní všeobecné pravdy bývají takové... pochybné.

[muficek]

mrkni sem