Austausch unter IT-Professionals - Erfahrungen, Tipps, Fachsimpelei

[Wochenende]

Da kommen dann teils so Sachen wie: ja das ist ja in einem abgeriegelten Netz mit nur beschränkten Nutzern und auf die eigentlichen Systeme kommen eh nur admin drauf.

"Unsere teure Firewall filtert ja alles schlechte aus dem Internet raus, darum können wir hier im internen Netz gefahrlos auf alles klicken." -- Chef Pharma-Firma
Realität: Deep-Packet Inspection nicht aktiv, notwendige Zertifikate nicht auf den Clients. Firewall blockiert nur ausgehenden SMTP-Verkehr.

 

[nosti]

Ahh....es ist doch überall das gleiche.
Natürlich, weil ich einen Airbag im Auto hab, fahre ich gegen die Wand.

Die Frage ist zumeist nicht mehr "ob mein Unternehmen angegriffen wird". Die Frage lautet mittlerweile eher "Wann wird mein Unternehmen angegriffen."

Deep Packet ist aber auch böse....muss man erstmal mit dem Betriebsrat und Datenschutzverantwortlichen klären...weil, die böse IT möchte die User ausspionieren!

 

[holdes]

Das ist grundsätzlich eines der gefährlichsten Dinge überhaupt, wenn der Nutzer denkt die IT könnte 100% aller Gefahren abwehren und wäre dafür verantwortlich. Auf der anderen Seite kannst du als IT aber auch kein „Victim Blaming“ betreiben denn auch der Mitarbeiter der was einfängt ist letztendlich ein Opfer von Kriminellen.

Der Erfahrung nach kannst du die Leute nur immer wieder regelmäßig darauf aufmerksam machen/Schulen und hoffen das Risiko so zu mindern.

 

[nosti]

Die meisten Benutzer können sich unter dem Aufgabengebiet eines z.B. IT-Admins nicht wirklich viel vorstellen.
Am einfachsten ist da noch das Thema Helpdesk zu erklären, damit kann man was anfangen.

Das ist auch gleichzeitig eins der großen Probleme. Viele ITler sind nicht gut sich selbst zu bewerben, sie sind eher unauffällig im Hintergrund und machen einfach ihren Job. Sie wissen um ihre Aufgabe und Stärken, hängen es aber nicht an die große Glocke. Wenn man also nicht Techniker eine Person dieses Schlags fragt, was sie den ganzen Tag so treibt, ist es gut möglich, dass man keine "zufriedenstellende Antwort" bekommt.

Umso wichtiger sind hier Führungskräfte die immer genau wissen was die Jungs und Mädels so treiben und das Management- und Kollegengerecht aufbereiten können.

 

[holdes]

Durchaus, da sprechen komplett verschiedene Welten miteinander, auch mir fällt es manchmal schwer dem Chef irgendwie weiß zu machen was man da eigentlich so tut und im gleichen Atemzug aber auf Dringlichkeit gewisser Dinge hinzuweisen.

 

[nosti]

Ich hatte das Thema erst vor ein paar Tagen mit einem Kollegen (Maschinenbauingenieur). Wir haben einen Sonderfall vom Sonderfall, in dem wir aktuell noch mit asymmetrischem Routing arbeiten müssen. Ich wollte es ihm anhand der Routingtabellen erklären.... War glaube nicht so prall.
Hab es dann mit einer Autobahnfahrt beschrieben

 

[Skysnake]

Die Frage ist zumeist nicht mehr "ob mein Unternehmen angegriffen wird". Die Frage lautet mittlerweile eher "Wann wird mein Unternehmen angegriffen."

Ja, das ist auch meine Ansicht! Das bekommt man aber nur schwer an die Leute ran, weil es eben erst mal Mehrarbeit bedeutet. Aber auf lange Sicht spart man am Ende Zeit, weil man weniger Prickeln muss und auch zwangsweise mehr automatisiert.

Wenn die Leute aber wie so oft eh schon mehr als genug Arbeit auf dem Tisch haben, dann rennt man damit halt keine offenen Türen ein.

Oft ist das dann noch in Kombination mit Verschieberitis. So ist das leicht für mich und macht keine Arbeit. Kack egal ob das am Ende nutzbar ist vom jeweiligen Anwender, bei uns andere Admins...

Geil finde ich dann auch immer so Aussagen wie: "Aber in der VM tut es, also ist es eine Fehler der Hardwarehersteller!" ..also nicht mein Problem Wenn's nicht tut..

Teils überhaupt nicht Lösungsorientiert und vernagelt. Aber hey, so hat man weniger Arbeit auf dem Tisch....

 

[Towatai]

Hat einer von Euch zufällig nen eigenen Gitlab-Server inkl. NICHT Lets Encrypt Zertifikat am laufen?! Ich bekomme die Kiste hier einfach nicht dazu überredet mit unserem Zertifikat zusammen zu laufen. Ich habe schon alles mögliche an Versucht und tagelang Foren gewälzt... Er akzeptiert es einfach nicht (nginx startet damit noch nicht einmal...)

 

[konkretor]

Also das ist relativ einfach, hier mal ein Snippet aus meiner Konfig. GitlabPages war blöder einzurichten.

Wichtig ist halt das du die gesamten Zertifikate in einer Datei hast und dann auch in der richtigen Reihenfolge.

nginx['enable'] = true
nginx['redirect_http_to_https'] = true
nginx['redirect_http_to_https_port'] = 80
nginx['ssl_ciphers'] = "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256"
nginx['ssl_prefer_server_ciphers'] = "on"
nginx['ssl_certificate'] = "/etc/ssl/private/ssl.chain.crt"
nginx['ssl_certificate_key'] = "/etc/ssl/private/privkey.key"
nginx['ssl_protocols'] = "TLSv1.2"

 

[SPB]

Vielleicht könnt ihr hiermit (Stichwort Kubernetes) etwas anfangen.
Eine Anleitung (59 Seiten PDF) von der NSA: Cybersecurity Technical Report - Kubernetes Hardening Guidance

 

[Towatai]

Hat jemand von Euch ne gute Alternative zu Teamviewer? Mir fällt spontan noch Anydesk ein, es darf aber auch gerne OpenSource sein. Wir haben momentan noch Teamviewer mit nem kleinen DesktopSupport-Client auf den Rechnern der User, auf die wir uns dann verbinden. Da TV mittlerweile echt nervt, wollen wir davon weg. Wichtig wäre möglichst wenig Interaktion seitens der Benutzer um das ganze zu starten. "Doppelklick aufs Icon und das wars" wäre traumhaft und den Rest erledigen wir Mit VNC habe ich gefühlt das letzte mal vor 15 Jahren zu tun gehabt...

 

[konkretor]

Ammy admin oder splashtop fallen mir spontan ein

 

[holdes]

Wir nutzen PCVisit weil das im Gegensatz zu Teamviewer pro gleichzeitiger Admin Verbindung 100€/Jahr kostet. Remotehosts (Client Festinstallation) sind unendlich viele enthalten und dort kann man einstellen ob der User eine Abfrage bekommt oder nicht.

 

[Towatai]

PCVisit scheint recht Interessant zu sein. Deutsche Firma, angeblich sogar DSGVO-Konform, werde ich mir mal anschauen. DANKE!

 

[holdes]

EDIT:

Den großen Enterprise Plan bei dem man den Connection Server selbst betreiben kann hab ich auf der Seite Adhoc jetzt nicht gefunden, ich bin mir nicht sicher obs den noch gibt und der erste Admin Account kostet 175€/Jahr aber die weiteren nur 100€. Ist aber trotzdem deutlich günstiger als TeamViewer .

 

[dominic.e]

Ich glaube unsere Jungs in der Firma nutzen AnyDesk, mehr kann ich aber auch nicht sagen 😄

 

[Towatai]

Wir haben gerade ein Worst Case Problem... Fahren eine Hybrid Exchange-Umgebung und eher zufällig haben wir bemerkt, dass seit kurzem alle neu angelegten User nicht nur ihr OnPrem-Postfach bekommen sondern, warum auch immer, eins bei MS direkt unter der gleichen E-Mail Adresse... nachdem vermehrt mehrere User Probleme mit dem Mailempfang hatten, ging die Suche los und gestern dann BAAAAAAAAMM! Wir steuern ziemlich viel mit Powershell-Scripten aus. Momentan sind "nur" über 700 PF betroffen

 

[holdes]

Ohwei… und ich vermute der Exchange Server weiß nicht so richtig wohin damit weil die LegacyDN bzw. X500 Adresse falsch zugeordnet ist?

 

[evilhunter]

Wenn in der Hybridumgebung die Exchange Online Lizenz mitgegeben wird und dann gesynct wird, wird Online direkt das entsprechende Postfach generiert. Das kann auch dazu führen, dass man ein Postfach Online und eins On Prem hat.

 

[Towatai]

So, alles wieder geradegebogen... Es lebe die Powershell und der vereinte Hirnschmalz eines sehr gut funktionierenden Teams Das heute war der Punkt an dem allen klar wurde, dass wir wohl oder übel unsere Scripte von Grund auf neu aufbauen müssen.. Die sind teilweise schon ~12 Jahre im Einsatz, Historisch gewachsen und nachträglich an die Hybridumgebung angepasst... Wir steuern damit die gesamte Zuordnung ob Student, Verwaltungsmitarbeiter, Lehrbeauftragter usw. Inkl. Gruppenzuweisungen, M365 Lizenzzuweisungen, Teams-Erstellungen für die einzelnen Lehrveranstaltungen, ob Postfächer OnPrem oder Online sind usw. Ich bin nach 15 Jahren Berufspause vor 1,5 Jahren wieder eingestiegen und die Lernkurve ist extremst steil