Dotaz: Antivir na linuxovo GW

[chinook]

Zdravím, na firmě máme linuxovo GW a chceme nasadit antivir přímo tam. Zatím máme antivir jen na klientských stanicích. Proto bychom rádi nasadili eset. Ale po instalaci eset mail serveru a eset gw, který jsem zkoušel cca před 4mi lety a nebyli jsme spokojení, se zdá, že se nic nezměnilo. Máte někdo zkušenosti?

A mail server můžu nainstalovat na GW? Nebo musím na server kde je mailserver? Stačí mně filtrovat pouze protokol 25 to co přijde z internetu. Je tam pouze namapován port na mail server.

Případně co doporučujete?

Distribuce na serveru je:

Debian GNU/Linux 10 (buster)

Předem děkuji

---

---

Odpovědi

[Pavel 'TIGER' Růžička]

Chápu to tak, že chcete posadit antivir přímo na bránu a odebrat jej ze stanic? Můj osobní názor je, že pokud je brána správně nakonfigurována, tak žádnou jinou ochranu nepotřebuje. Položený antivir přímo na bránu může mít ve výsledku za následek i větší zátěž sítě, než když je každá stanice hlídaná zvláště. Navíc, když je každá stanice hlídána zvláště, odpadá ten emailový antivir. Také by bylo dobré vědět, čeho tím chcete docílit?

[bigBRAMBOR]

Chápu to tak, že chcete posadit antivir přímo na bránu a odebrat jej ze stanic ale nic takove nepise, ani to nejde z jeho dotazu nijak odvodit

na GW se antiviry bezne davaji, jde o zakladni funknocst komernich GW. Idealne pak na stanice jiný vyrobce AV nez je na stanicich, trochu vetsi sance neco chytit nez kdyz je stejny. Samozrejme je pak vetsi zatez na ten GW.

[Pavel 'TIGER' Růžička]

Ano, to já pochopitelně vím, ale s tím popisem, jaký k tomu je se obávám, že o žádnou komerční GW nejde. Také nic nevíme o výkonu, o velikosti firmy atp. Dost mi to připomíná dotazy manažerů. Věcná k tomu prostě schází.

[Petr Šobáň]

Nepleteš si firewall a antivir.

Na GW běží běžně firewall který kontroluje provoz, ale aby tam byl i antivir to je celkem blbost, to by musel vše přijímat a analyzovat co to je atd.....

Samozřejmě může tam být i nějaká proxy či nějaký předávací smtp server který odfiltruje nějaké útoky, ale třeba www provoz jak chceš kontrolovat když se používá šifrování...

[Pavel 'TIGER' Růžička]

Tak ono je ještě poměrně dost nešifrovaného obsahu, ale takový by měl být ve firemním prostředí zablokován.

[bigBRAMBOR]

nejem nesifrovany obsah, kormeni GW dost casto delaji SSL inspection coz neni nic jineho nez MITM, ale pouziva se to ve firemni prostredi celkem bezne.

[j]

Jo, a taky s tim spousta veci, ktery bezpecnost aspon trochu resej, proste nefunguje.

[bigBRAMBOR]

rozhodne nepletu, soucasti GW je dneska krome packet filteru i antivir, SSL inspection, IDS/IPS a aplikační filter.

[Jendа]

Nepochopil jsem, jestli chceš filtrovat jenom příchozí maily, nebo i klientský provoz stanic. To druhé bych určitě nedělal, protože dneska všechno jede přes HTTPS, a jediný způsob, jak filtrování provádět, je MITM, při kterém tam nasekáš 100x víc bezpečnostních děr.

Pokud jenom maily, tak podle prvního výsledku z Googlu dělá ten Eset SMTP server a řekneš mu, kam má maily předávat. Případně by asi šel použít jako milter v postfixu.

Co konkrétně si od antiviru na GW slibuješ? (třeba příklady útoků, kterým by měl zabránit)

[chinook]

Chci filtrovat jen příchozí emaily. Hodím tedy ESET SMTP na server kde je spamassassin. A tam to budu scanovat.

Na té GW jsem chtěl filtrovat pouze port 80. Je sice pravda, že na každé klientské stanici je antivir. Ale přišlo mně, lepší zavírovaný soubor zastavit, dříve než přijde do počítače. Nic víc od toho nečekám a je pravda, že většina webu dnes je šifrovaného, ten řešit nebudu a nechám na klientských stanicích.

Má to tedy nějaký smysl nebo se mám spolehnout na antivir na klientských stanicích?

[Pavel 'TIGER' Růžička]

Upřímně, já už si ani nepamatuji, kdy jsem naposledy viděl nějaký zavirovaný soubor. Dnešní útoky prostě fungují jinak. Snaží se tvářit velmi důvěryhodně a přitom spoléhají na počítačovou negramotnost uživatele.

[Jendа]

Mně občas chodí nějaké jakože faktury a bývá to .doc, tipuju že s makry.

[chinook]

Jediné čeho se bojím, je, že přijde nějaký podvodný email s kryptovirem. Proto bych to rád filtroval na GW. Aby do počítače již nebyl. Asi je pravda, že když na stanicich je ESET, měl bych dat na bránu něco jiného. Protoože když to nezastaví eset na GW nezastaví to ani na stanici. Můžete něco doporučit? Třeba kaspersky?

[Jendа]

Já bych doporučil stanice záplatovat, BFUčkům zakázat spouštět cizí kód, nastavit správně přístupová práva a pravidelně zálohovat se snapshoty…

[Petr Šobáň]

Tak na toto je jednoduchý filtr na smtp serveru který nedovolí přijmout mail se spustitelnou přílohou.

Třeba něco takového

# Zakazane prilohy

/^Content-(Disposition|Type).*name\s*=\s*"?(.*(\.|=2E)(ade|adp|asp|bas|bat|chm|cmd|com|cpl|crt|dll|exe|hlp|ht[at]|inf|ins|isp|jse?|lnk|md[betw]|ms[cipt]|nws|\{[[:xdigit:]]{8}(?:-[[:xdigit:]]{4}){3}-[[:xdigit:]]{12}\}|ops|pcd|pif|prf|reg|sc[frt]|sh[bsm]|swf|vb[esx]?|vxd|ws[cfh]))(\?=)?"?\s*(;|$)/x REJECT SPAM Název přílohy "$2" který končí na ".$4" je zakázán! SPAM

/^begin \d\d\d .*(\.|=2E)(vbe|vbs|exe|com|jb|bat|pif|scr|lnk|cmd)/ REJECT Message content rejected; we do not accept executable attachments.

/^\s*(file)?name="?.*(\.|=2E)(vbe|vbs|exe|com|jb|bat|pif|scr|lnk|cmd|js|doc)"?/ REJECT Tento typ prilohy je zakazan SPAM!

Ale jak bylo řečeno už dlouho jsem nedostal něco z přílohou, jednu dobu byly přílohy označovány jako faktury a teď už dlouho nic.....

[j]

Az na to, ze widle spustej cokoli bez ohledu na priponu, vyzkousej si to laskave ... proc asi tak myslis, ze v tom seznamu mas trebas ... lnk.

Jedina spravna cesta je zakazat userum spoustet cokoli, co neni nainstalovany. A samozrejme jim zakazat zapis tam, kde se cokoli instaluje.

A ani to ti ve skutecnosti nepomuze. Protoze zasifrovat data na disku muze cokoli, co se da spustit tim, co uz nainstalovany mas. Trebas java/js/powershell/msopice dokumenty ...

[Nereknu]

a proto jsou aplikační firewally :)

[j]

Pokud chces resit maily, musi byt antivir tam, kde je zpracovavas = na mailserveru.

Ten si muzes dat kam chces, celkem bezne se v korporatu pouziva kaskada = mas filtrovaci mailserver, kterej nema zadny uzivatele, a je vystavenej do netu, kterej jen komunikaci predava, a zarizuje mimo jiny trebas likvidaci viru a spamu. A takovej klidne muze byt primo na stroji kterej dela GW, pokud je to vykonostne unosny (a nebo taky uplne mimo firmu na nejaky VPSce a pod).

Aprotoze zcela zjevne netusis o cem je rec, tak se to rozhodne pro tu dotycnou firmu nesnaz nastavovat, protoze to zarucene bude uplne blbe.

[bigBRAMBOR]

Ahoj, kdyz ctu ze chces instalovat mailserver na GW tak to asi bude jenom pro pár lidí, předpokládám. Tak všechno záleží na tom jak se v tom chceš vrtat, pokud ta 25 je jenom portforward a bude spojení šifrováno (není u mailu nutnost, ale už snad bývá povětšinou) tak do toho polezeš blbě. Ale určite by šlo na te GW pustit postfix, maily přijmout oskenovat antivirem a předat je na lokalni mail server. A antivir na GW zaleži jak to chces delat, a ceho tim chces dosahnout. Napr nainstalovat squid a pro tu bude urcite nejake napojeni na clamav, mozna i komercni antiviry. Cělkově pokud pujde komunikace přes nejakou proxy nebo socks, tak by to snad mělo jit. ZKusil bych se podívat na open(pf)sence jak maji tohle delane. Je to na opensource nástrojích, mohlo by se tam mnohé okoukat, ale mozna bych ji radsi nasadil rovnou.