Endpoint Security für RaspberryPi

[Zathras]

Hallo zusammen,

ich plane einen, zugegebenermaßen, eher ungewöhnlichen Einsatz für Raspberries.
Ich möchte sie als Ersatz für klassische Desktop-PCs im Firmenumfeld verwenden.

Die Testpahse läuft bisher ganz gut:
Ubuntu Mate wurde als Basis verwendet. Wir haben ein paar Anpassungen vorgenommen um den Benutzern möglichst wenig Zugriff auf das Betriebssystem zu geben. Nach dem Hochfahren des RasPi wird automatisch Firefox gestartet, welcher auf die Webanmeldung unserer Citrix XenDesktop-Site zugreift. Nach der Anmeldung wird über den zusätzlich installierten Citrix-Receiver direkt ein Desktop für den jeweiligen Benutzer gestartet.
Bis hierhin ist alles bestens und auch ziemlich performant.

Allerdings ist gibt es kaum Sicherheitssoftware die in diesem Fall einsetzbar ist.
Als Virenscanner wird bei uns üblicherweise Kaspersky Endpoint Security verwendet, außerdem haben wir auch noch ein Port- und Geräteüberwachung um Einsatz, die hauptsächlich den Zugriff auf USB- und andere Speichergeräte steuert.
Für Windows-Clients gibts diese Software natürlich. Für Linux-Clients gibts das meistens auch, allerdings nur für i386- und AMD64-Architekturen.
Meine bisherigen Recherchen bezüglich entsprechender Software haben mich bisher nur in die selben Sackgassen geführt:
Linux-Versionen gibts, aber nicht für die ARM-Architektur.

Meine Frage ist nun, ob mir jemand eine Endgeräte-Sicherheitssoftware nennen kann, die Malwareschutz und/oder Speichergeräteverwaltung für Linux auf ARM-Basis bietet.

Vielen Dank fürs Lesen bis hierher und auch für mögliche Antworten!

Grüße

 

[Hancock]

ClamAV sollte auch für ARM laufen, als Virenschutz.
Keine USB-Sticks zulassen sollte möglich sein, einfach den Treiber blacklisten... ​

 

[Zathras]

Hi,

zur Ergänzung muss ich sagen:
Wir wollen nicht USB-Sticks generell verbieten, sondern wir wollen nur unsere eigenen Sticks erlauben. Für Windows-Clients haben wir hier Wave PortProtector im Einsatz. Hier können Geräte mittels Distinct ID identifiziert und verwaltet werden.

ClamAV schau ich mir an, danke für den Tipp!


EDIT: es muss nicht zwingend OpenSource sein...

 

[Piktogramm]

Als Ersatz für Desktop PCs allein zum Browsen finde ich den Raspi3 schon zäh. Als produktiver Arbeitnehmer der mitunter Arbeit zum Termin fertig bekommen muss fände ich es eine Zumutung und würde es als Aufforderung auffassen, den Arbeitgeber zu wechseln.
Virenschutz halte ich aus diesen Performancegründen auch für eher mäßig.


Was dein Problem mit dem Stick angeht, für dererlei Kram braucht es bei Linux keine weiteren Programme:
https://superuser.com/questions/902723/mount-only-specific-usb-stick

 

[Zathras]

@Piktogramm
Vielen Dank für deine Antwort.
Dein Einwand ist völlig richtig, daher meine vorherige Ausführung zur Arbeitsweise:
es wird keine lokale Rechenleistung gebraucht, gearbeitet wird auf dem Terminalserver.
Die Zeit die der RasPi braucht um zu starten und das Storefront-Anmeldefenster anzuzeigen ist immer noch deutlich kürzer als die Zeit die der Windows-Client braucht um das Windowsanmeldefenster zu erreichen.

 

[IronEagle]

@Piktogramm: Die Anwendungen des TEs laufen ja nicht auf dem Raspi, sondern auf dem Citrix-Server. Auf dem Raspi rennt dann nur der Client, und das geht wirklich fix

Zur Frage des TEs: ich finde in so einem Szenario braucht es keine Endpoint Security auf den Clients. Einfach so einrichten, das sich ein unpriveligierter User automatisch anmeldet, und sich mit dem Terminalserver verbindet. Zum Thema USB gabs ja schon hinweise.

 

[Piktogramm]

Oh, hatte irgendwie überlesen, dass der Webdialog nur ein Zwischenschritt ist. Rein als ThinClient gehen die PIs recht gut.

 

[HominiLupus]

Wenn eh alles via Citrix läuft, dann gibt es keine lokale AV Software, weil doch eh alles auf dem Terminalserver läuft, oder?
Gegen was willst du dich da abschotten? Ubuntu ist da auch ein bissel komisch als Distro für einen ThinClient, aber was solls...
Du stellst netfilter so ein daß man sich nur mit dem Citrixserver verbinden kann, alles andere ist geblockt, das wars mit der "Netzwerksicherheit"