Sicherheitskonzept eines gemischten Netzwerks

[=DarkEagle=]

Moin,
ich bin gerade dabei mir ein gezieltes Sicherheitskonzept
für das Netzwerk in meinem Haus überlegen.

Folgende Gerätschaften sind im Einsatz:

Notebook01: Geschäfts Notebook meines Bruders (W7)
Notebook02: Geschäfts Notebook der Sekretärin (W7)
Notebook03: Internet Notebook meines Vaters (XP)
PC01: PC meiner Mutter
PC02: Mein PC
Server01: Windows Server 2008 R2 mit ADS, DNS, DHCP
Router: FRITZ!Box
Switch: 24 Port Gigabit Switch

Der ganze Spaß sieht so aus,
dass in der Domäne mit servergespeicherten Profilen
und eingeschränkten Benutzerrechten gearbeitet wird.
Größere Datenmengen werden über Netzlaufwerke
eingebunden ( ausgenommen Video und Bild Dateien).
auf den Rechnern ist Microsoft Security Essentials 4.0,
Firefox (+AdBlockPlus) installiert.
Updates werden auch automatisch durchgeführt.

So weit, so gut.
Die Computer haben in der Regel genügend Leistungsreserven
für weitere Sicherheitsmaßnahmen.
Im Vordergrund steht allerdings,
dass die weiteren Sicherheitsmaßnahmen
nicht zu einem erhöhten Arbeitsaufwand der Anwender führen.
Als weitere Maßnahmen habe ich mir folgendes überlegt:

1. Installation von Threatfire auf jeden Computer
2. einrichten des Netzwerkzugriffsschutzes des Servers
3. Installation einer Software, welche automatisch nach
verfügbaren Updates für Programme sucht und diese durchführt.


Weitere Vorschläge?

Was mir halt Angst macht, sind Viren,
die sich über das Netzwerk verbreiten.
Ich lese immer wieder in regelmäßigen Abständen
von Viren, die sich durch Sicherheitslücken
über das Netzwerk ausbreiten.
Gibt es dagegen wirksame Maßnahmen?

Wie sichert ihr euer Netzwerk noch zusätzlich ab?

Ich hatte vor längerer Zeit auch mal so macht,
dass der gesamte Traffic über ein Proxyserver
in einer virtuellen Maschine läuft,
wobei auch der gesamte Traffic gescannt wird.
Das hat sich allerdings als unpraktisch in dieser Umgebung
erwiesen. Ich bin für jede Anregung dankbar.

letzte Frage noch: Welche Gruppenrichtlinien
in einer Domäne sind aus eurer Sicht
Pflicht, um die Netzwerksicherheit zu gewährleisten?

 

[Simon]

Ohne die Gefahr von Viren über das Netzwerk herunterspielen zu wollen, aber die Gefahrenquelle ist heute eher innen statt außen.

Die Wahrscheinlichkeit, dass einer deiner Familienmitglieder einen verseuchten USB-Stick anschleppt, den er irgendwo auf der Arbeit, Schule oder Freunden in irgendeinen PC gesteckt hat, würde ich als höher einstufen, als eine Verseuchung über das Netzwerk/Internet.

Es ist schon viel gewonnen, wenn nicht jeder permanent mit Adminrechten unterwegs ist. Damit hat man schon einmal so ziemlich alle erschlagen, was auf priviligierte Berechtigungen angewiesen ist.

Ganz wichtig sind m.E. Softwareupdates für die typischen Adobe-Produkte (Reader, Flash Player). Letztes Jahr gab es afaik mehr Attacken mit kompromittierten PDFs oder Flash Inhalten als auf irgendwelche Lücken in Microsoft Produkten.

An der Fritzbox sollten auch nur die Ports nach außen hin offen sein, die auch wirklich von den einzelnen PCs benötigt werden.

Als ernsthafte Erweiterung der Netzwerksicherheit würden mir spontan private VLANs mit isolierten Ports einfallen. Da dies aber eher den etwas professionelleren Switchen vorbehalten bleibt, halte ich das ebenso wie ein Proxy-Server oder NAC/NAP für den Privatbereich für etwas übertrieben.