Windows Vista

enrg, 27.3.2008 22:26:
-clip-

Mä en lähde edes selittämään erittäin lyhennetysti näitä rautalankaa vääntämällä kun voit puuttua jokaiseen pieneen seikkaan tajuamatta isompaa kokonaisuutta.

Suosittelen lukemista: http://www.isaserver.org/articles/2004tales.html - joka oikeastaan antaa vastauksen kaikkeen mitä ihmettelit ja ziljoonaan muuhun asiaan myös.

taas ihan ufo väite.. Kerro miksei voi suojata kunnolla jos tuo RPC over HTTP perustuu sertifikaatteihin? Mitä parannusta ISA serveri tähän tuo?

...ja varsinkin, kun sun Mikkisofta teknologian tuntemus on tällä tasolla on meidän aika vaikee näistä asioista keskustella. Lyhyesti - RPC over HTTP tekniikalla (Exchangen kanssa) ei ole mitään tekemistä sertifikaatti pohjaiseen authentikointiin.

http://technet.microsoft.com/en-us/library/aa995784(EXCHG.65).aspx
http://www.securityfocus.com/infocus/1807

Sitten sä kokoajan vähättelet ISA:n kykyä authentikoida käyttäjiä AD:ta hyödyntämällä joka on todella iso etu muihin kilpailijoihin nähden joka tuo lukemattoman määrän erillaisia ominaisuuksia tarkempaan verkon liikenteen valvontaan ja estoon (tämä on oleellinen osa "DZM is death" ajatuksen kannalta).

Mitä muuten tapahtuu myös jos esim. rautamuurin läpi menee SSL tunneloitu yhteys weppi palvelimelle? Silloin rautamuuri ei näe liikenteen sisälle mitenkään eikä se osaa edes tehdä alkeellista liikenteen analysointia. ISA Serveri osaa toimia proxynä niin, että käyttäjä kuvittelee juttelevansa suoraan weppi palvelimen kanssa, mutta jutteletkin SSL tunnelin kautta ISA Serveriin ja ISA Serveri uudestaan SSL tunneloi liikenteen siitä sitten weppi palvelimelle... kuinka monta rautamuuria osaa näinkin oleellisen featuren?

Hinnan suhteen, ISA on luokassaan selkeästi rautamuureja halvempi oli sitten laskentakaava mikä tahansa. Enkä muutenkaan rupea juupas eipäs väittelemään ennen, kun oikeasti luet ylläolevat artikkelit läpi. Jos siitä jää jotain epäselvää niin katsotaan silloin uudestaan.

...ja lopuksi rautalankaa vääntämällä, mikään rautamuuri ei analysoi niin "syvällisesti" liikennettä kuin ISA Serveri. Ennemminkin pitäisi ihmetellä, että miten HC rautapurkki faneja vielä riittää, kun softa pohjaisten muurien ominaisuus on kiistaton verrattuna rautapurkkeihin.

Ei, ei todellakaan ole mitään hätää vielä

edit: niin tuo DMZ juttu joka varsinkin vanhalle IT porukalle on itsestään selvyys, niin jo 2004 aikoihin Steve Riley julisti kovaan ääneen, että DMZ alueita ei enää tarvita. Tämä aiha on erittäin laaja eikä tietenkään noin yksiselitteinen, mutta kun selvästi koko idea ja konsepti ei ole tiedossa niin suosittelen katsomista (ja tämän implemetoimiseen ISA Server on ainoa tuote joka pystyy siihen, älä kysy tarkkoja kaavoja, kun minulla ei ole niitä - ehkä netistä löytyy Steve R:n materiaalia missä myös selitetään mitä työkaluja käytetään ja miten):

http://edge.technet.com/Media/Steve-Riley-talks-security/

...ja tosi yksinkertaistettuna tuo ISA:n kanssa:
http://blogs.technet.com/rhalbheer/archive/2008/02/28/securing-my-infrastructure-firewall.aspx

joopa joo. tää väittely oli tässä

enrg, 28.3.2008 14:53:
joopa joo. tää väittely oli tässä

Olit mitä mieltä tahansa niin mä toivon et jos tää asia kiinnostaa niin kokeilet joku pv. ISA Serveriä

Dorka, 28.3.2008 15:46:
---
enrg, 28.3.2008 14:53:
joopa joo. tää väittely oli tässä

---


Olit mitä mieltä tahansa niin mä toivon et jos tää asia kiinnostaa niin kokeilet joku pv. ISA Serveriä

No pakkohan se on

Muilla sellasta ongelmaa että koneeseen kirjautumisen jälkeen alkaa loputon kovalevyn käyttö?
Indexointi, defrag yms poistettu käytöstä silti vaan levy käy yhtenään.

Fakiiri, 6.4.2008 16:47:
Muilla sellasta ongelmaa että koneeseen kirjautumisen jälkeen alkaa loputon kovalevyn käyttö?
Indexointi, defrag yms poistettu käytöstä silti vaan levy käy yhtenään.

No, ei nyt loputon, mutta täysin epäsäännönmukainen, koneella tehtävistä asioista riippumaton ja pitkiä aikoja putkeen kestävä vittumainen raksutus. Olen ajatellut nepata HP:ta soitolla asiasta, mutta toistaiseksi se on vielä tekemättä, joten kommentteja ja neuvoja tästä otetaan vastaan.

Olen tässä aikeissa ostaa hyvää ja halpaa kannettavaa jossa on Vista esiasennettuna. Kaikki melkein sanoo, että vetää Vistan tilalle Ubuntun tai muun vastaavaan. On mukamas paljon helpompi käyttää...

Fakiiri, 6.4.2008 16:47:
Muilla sellasta ongelmaa että koneeseen kirjautumisen jälkeen alkaa loputon kovalevyn käyttö?
Indexointi, defrag yms poistettu käytöstä silti vaan levy käy yhtenään.

Onko vähintään 2gigaa muistia käytössä?

opmdevil, 7.4.2008 13:04:
Olen tässä aikeissa ostaa hyvää ja halpaa kannettavaa jossa on Vista esiasennettuna. Kaikki melkein sanoo, että vetää Vistan tilalle Ubuntun tai muun vastaavaan. On mukamas paljon helpompi käyttää...

No kukin tyylillään. Joillekin toi voi ollakin helpompi käyttää, itselleni ei. Toi on hauska, kun vaikka käyttis olisi mikä, niin aina löytyy tyyppejä, jotka asentaa läppäriin jonkun käyttiksen, joka ei tullut mukana. Tääl duunissakin 2 jannua osti MacBook Pro:t ja asennutti heti ensitehtävikseen XP:n :D

Kandee muistaa ton hyvän ja halvan kanssa sit se, että Acer ei ole hyvä JA halpa ;)

Dorka, 28.3.2008 01:30:
edit: niin tuo DMZ juttu joka varsinkin vanhalle IT porukalle on itsestään selvyys, niin jo 2004 aikoihin Steve Riley julisti kovaan ääneen, että DMZ alueita ei enää tarvita. Tämä aiha on erittäin laaja eikä tietenkään noin yksiselitteinen, mutta kun selvästi koko idea ja konsepti ei ole tiedossa niin suosittelen katsomista (ja tämän implemetoimiseen ISA Server on ainoa tuote joka pystyy siihen, älä kysy tarkkoja kaavoja, kun minulla ei ole niitä - ehkä netistä löytyy Steve R:n materiaalia missä myös selitetään mitä työkaluja käytetään ja miten):

http://edge.technet.com/Media/Steve-Riley-talks-security/

...ja tosi yksinkertaistettuna tuo ISA:n kanssa:
http://blogs.technet.com/rhalbheer/archive/2008/02/28/securing-my-infrastructure-firewall.aspx

DMZ on edelleen validi toimintamalli, sillä kaikkea ei voi edelleenkään tehdä mikkisoftan päällä. AD ja sen serkut sopivat varmasti sisäverkon ylläpitoon ja etäkäyttöön kun tradenomi laskee excelillä kaavaa tai myyntireiska tekee slidewarea. Mutta kun puhutaan aikuisten (pun intended ;-)) platformeista ja Tosi Miesten Hommista [tm], niin ei siellä tuollaista pascea vain voi käyttää.

En jaksa tässä topikissa aloittaa kitisemään kaikesta siitä paskasta mitä AD, Exchange ja muut M$ kilkkeet ovat esimerkiksi allekirjoittaneen työlle aiheuttaneet. Menee liian rankasti ohi topikin.

jUSSi, 7.4.2008 22:52:
Mutta kun puhutaan aikuisten (pun intended ;-)) platformeista ja Tosi Miesten Hommista [tm], niin ei siellä tuollaista pascea vain voi käyttää.

Aika kovaa puhetta, mä en lähtis noita alan suurimpia vaikuttajia ihan noin lyttämään vinoon Periaatteessa olet sitä mieltä et se mitä Mikkisofta tekee "turvallisuuden" suhteen tällä hetkellä on väärin? Eikä tossa ole tarkoitus tappaa DMZ:a kokonaan pois, mutta ajatella koko asiaa hieman uudelta näkökannalta ja monessa tapauksessa DMZ idea on "kuollu".

Joskin mielenkiinnosta kyllä kuuntelisin vasta-argumentteja mitä vikaa ko. ideassa on.

Dorka, 7.4.2008 22:54:
---
Aika kovaa puhetta, mä en lähtis noita alan suurimpia vaikuttajia ihan noin lyttämään vinoon

Gurut on perseestä :-) Niitä ei kumarrella, jos hommat ei toimi.

Minulla riittää jo pelkästään se tieto, että yksi maailman suurimmista teleoperaattoreista ei tulisi toimeen ilman DMZ:aa. Sen verran monimutkainen sisäverkko heillä on. Ja kun operaatiot ovat raskaita, tekijöitä voi olla kymmeniä (eri firmoja siis, henkilöitä sen mukaisesti), ei siellä verkossa jostain syystä ole yhtään M$:n alustaa.

Dorka, 7.4.2008 22:54:
Periaatteessa olet sitä mieltä et se mitä Mikkisofta tekee "turvallisuuden" suhteen tällä hetkellä on väärin? Eikä tossa ole tarkoitus tappaa DMZ:a kokonaan pois, mutta ajatella koko asiaa hieman uudelta näkökannalta ja monessa tapauksessa DMZ idea on "kuollu".

Joskin mielenkiinnosta kyllä kuuntelisin vasta-argumentteja mitä vikaa ko. ideassa on.

Ei mitään. Yritin siis sanoa, että työkalut tehtävän mukaan :-)

jUSSi, 7.4.2008 23:03:
ei siellä verkossa jostain syystä ole yhtään M$:n alustaa.

...jos luit tarkkaan niin ei muilla kuin M$ alustoilla toimi tuo DMZ:n "tappaminen" - ainakaan noin miten ylläolevissa asioista oli kyse.

Dorka, Onko vähintään 2gigaa muistia käytössä?

2 gigaa juu. Asensin eilen vistan uudestaan ja tuo ärsyttävä rutina lopahti siihen. Mystinen juttu.

Dorka, 8.4.2008 00:23:
---
jUSSi, 7.4.2008 23:03:
ei siellä verkossa jostain syystä ole yhtään M$:n alustaa.

---


...jos luit tarkkaan niin ei muilla kuin M$ alustoilla toimi tuo DMZ:n "tappaminen" - ainakaan noin miten ylläolevissa asioista oli kyse.

No morjens. Eipä kauheasti juttuja tuolla ollut mitä ei voi muillakin softilla tehdä kuin tällä maagisella ISA:lla. Ihme juttua että joku "guru" nyt hössöttää DMZ:n tappamisesta sun muista, eihän kukaan aikasemminkaan ole semmoista pakottanut tekemään, jos ei ole tarvetta.

Kaipa nää jutut oli tarkoitettu kädettömille mietintämateriaaliksi ja ihan hyvä asiahan se on että mietitään. Mutta jos asiat on hallussa, niin kyllä se verkko pystetetään kuten parhaaksi tiedetään.

hege, 8.4.2008 09:22:
Kaipa nää jutut oli tarkoitettu kädettömille mietintämateriaaliksi

Kröhöm, kyseinen henkilö on aika kovassa vastuussa Mikkisoftan turvallisuuspuolesta. Konsultoi ja pitää lukemattomia luentoja "ei kovin pienille firmoille". Itseasiassa tää on tyypillinen vastaus, kun ei tiedetä oikein tarkkaan mitä hyötyä ja etuja se tuo.

Kyllä featurena palomuurin integrointi täysin AD:n on sinänsä "pieni feature", mutta käytännössä se mahdollistaa kokonaan uuden ajattelutavan miten järjestelmiä pitäisi suojata. Windows Serveredein tuomat kaikki "VPN karanteenit" yms. featuret tukee tätä ajattelutapaa missä ei enää tarvitse rakentaa erillisiä verkkoja näille "turvallisuuden" takia.

...ja joo, isommat firmat eivät näitä pysty vielä hyödyntämään, kun tämä koko paletti vaatii täysin M$ pohjaisen alustan joita ei ole - joskin on typerää olla seuraamatta ko. kehitystä. Oli miten oli niin muutaman vuoden päästä jos näitä asioita ei hallitse niin huomaa kohta olevansa työtön. .NET:lle naurettiin muutama vuosi sitten, eipä enää. Tällä hetkellä .NET osaajista on huutava pula johon Mikkisoftalla on oma "sponssattu" koulutuskin menossa tällähetkellä. Miten kävi tietokantapuolella? Naurettava SQL Server on tullut ja syönyt muut mennessään - vielä DB2 ja Oracle hyvin porskuttaa, mutta SQL Server kasvaa muita nopeammin joka vuosi ja kasvattaa markkinaosuuksia.

Muilla homma kusee, kun ei saada tiukkaan integroitua palvelinjärjestelmiä, työryhmiä yms. jolloin ei saada sellaisia featureita mitä M$ saa aikaiseksi oli tuote mikä tahansa.

Halusi tai ei niin, vielä muutama vuosi niin sekä tietoturva sekä integraation tuomat edut on niin isot et isotkin firmat varmasti tulevat siirtymään M$ järjestelmiin kokonaisvaltaisemmin. Joskin en mä väitä et M$ softat olisi niin loistelijaita, ei ne ole - tosin kukaan tervejärkinen ei voi väittää, että etteikö kehitystä tapahdu ja nopeasti - paljon nopeammin kuin kilpailijoilla.

Dorka, 8.4.2008 10:47:
---
hege, 8.4.2008 09:22:
Kaipa nää jutut oli tarkoitettu kädettömille mietintämateriaaliksi
---


Kröhöm, kyseinen henkilö on aika kovassa vastuussa Mikkisoftan turvallisuuspuolesta. Konsultoi ja pitää lukemattomia luentoja "ei kovin pienille firmoille". Itseasiassa tää on tyypillinen vastaus, kun ei tiedetä oikein tarkkaan mitä hyötyä ja etuja se tuo.

Oot nyt ihan hukkunu omaan propagandaas. Ne jotka osaavat asiat, tietävät kyllä mitä hyötyjä ja etuja mikäkin asia tuo, se että meuhkaat täällä ei muuta sitä mihinkään. ISA on vain yksi vaihtoehto lukuisten ratkaisujen joukossa.

(Älä vaivaudu vastaamaan, ei se kuitenkaan Vistaan liity. Tee vaikka oma ketju.)

Eipä ole vaikeaa uskoa, että jäbä, joka on "kovassa vastuussa Mikkisoftan turvallisuuspuolesta", hehkuttaisi MS:n tuotteet parhaimmiksi. Sitä en käsitä, että joku pitää tätä objektiivisena tietoähteenä.

phanatic, 8.4.2008 12:11:
Sitä en käsitä, että joku pitää tätä objektiivisena tietoähteenä.

Otin vain esimerkiksi kahden konsultin höpinöitä, todella naiivi pitää olla jos kuvittelet et Mikkisoftan tietoturvaa ja sen kehityksestä päättää pari höyrypäätä

hege, 8.4.2008 11:00:
ISA on vain yksi vaihtoehto lukuisten ratkaisujen joukossa.

...ja missä vaiheessa mä olin tarjoamassa ISA:a kaikenhöylän vehkeeksi?