Sugestões do servidor proxy

Question

Aqui está a pergunta que espero que não seja muito geral de uma pergunta.

Eu tenho uma rede com aproximadamente 25 PCs, 3 servidores e 25 câmeras IP. Eu tenho um firewall já na rede e funciona bem para o que eu preciso, mas meu cliente está me perguntando se existe uma maneira de colocar um servidor proxy na rede para monitorar onde seus funcionários estão indo quando eles navegam na Internet. Ele não está querendo bloqueá-los (pelo menos não através do servidor Proxy), mas ele quer ter certeza de que eles não estão indo para sites que possam comprometer os PCs em rede. Eu olhei para o TMG e é um pouco mais do que eu quero. Hesito em adicionar outro firewall ao sistema por causa das câmeras de segurança que estão atualmente na rede (câmeras IP). Eu só quero colocar uma política no AD que faria certos usuários (ou computadores) usar um servidor proxy. Qualquer sugestão sobre um bom servidor proxy é bem-vinda.

Obrigado

Eu gosto da opção de usar a assinatura do firewall ou o provedor de serviços. Eles estão em um ambiente de Domínio e atualmente usam o IP do servidor como seu provedor de DNS ... mas se o servidor Proxy fora de seu ambiente puder ser usado, isso seria ótimo. Eu gosto de usar OPENDns para alguns dos meus clientes e eles oferecem uma boa filtragem.

Estou apenas tentando mantê-lo o mais simples possível.

Eu li que usar uma única instalação de NIC do TMG desativaria a parte do firewall do TMG Server. Isso ainda pode ser uma opção.

Obrigado pessoal !!

    

Answer 1

Quase qualquer site pode ser invertido e convertido em uma ameaça que possa comprometer o visitante. Os sites de anúncios são destinos particularmente atraentes e qualquer site que hospede um anúncio infectado incorporado seria uma ameaça. É improvável que alguém possa rever uma lista de sites e determinar com precisão se eles são ameaças ou são realmente seguros. Eles podem ser capazes de detectar algumas ameaças, mas há mais do que isso.

A filtragem de conteúdo é uma daquelas áreas que exigem conhecimento aprofundado, especialização e atenção freqüente e esforço administrativo para fazer corretamente.

Muitos firewalls têm uma assinatura integrada de filtragem de conteúdo. Você pode querer verificar se essa é uma opção para seu appliance de firewall que você pode aproveitar. Caso contrário, pode ser mais prático mudar para um firewall que tenha esse recurso.

Se a assinatura do firewall não for uma opção, você poderá utilizar um provedor de serviços. Você pode especificar uma política de grupo para o servidor proxy usado por um navegador da Web, que é realmente hospedado externamente, e eles podem executar isso para você. A Symantec e a Websense são alguns provedores de filtragem de conteúdo que vêm à mente, mas há muitos outros.

    

Answer 2

Acho que você descobrirá que decidir o que é malicioso levará mais tempo para ser imaginado. Isso se tornará inviável a menos que haja algo para classificar tudo.

Talvez a abordagem mais fácil seja usar algo como o OpenDNS. link

Dependendo de onde você esteja, pode ser suficientemente rápido. Eu até usei da NZ, mas foi um pouco mais lento que o meu provedor local. Se você está nos EUA, eu acho que é bem rápido.

A maneira como isso funciona é que você substitui os servidores DNS do seu ISP pelos do OpenDNS. Você configura uma conta opendns e decide o que deseja que seus funcionários possam procurar. O servidor DNS da opendns decidirá se deve ou não fornecer o IP correto para o site, ou uma página que diz que eles não podem ver esse material porque ele não atende à política da empresa.

Por si só, isso não impede que as pessoas naveguem no meu endereço IP ou substituam os servidores dns com seus próprios locais. No entanto, você pode colocar regras de firewall em vigor para garantir que apenas os servidores opendns sejam usados para o DNS e bloqueiem todo o resto.

É uma boa solução, pois não requer nenhum hardware para você configurar. Você define a política e é isso. Tenho certeza de que existem alguns buracos e pode não bloquear tudo que você não quer, mas é provável que obtenha mais. Eu acho que você deve ser capaz de fazer um teste gratuito que requer muito pouca configuração e nenhum gasto de capital.