Archief - Research beveiliging ICT van scholen

SithCloud zei:

Yup. Maar de "meeste lekken" zijn nog altijd door leerkrachten die:

- niet uitloggen
- leerlingen laten inloggen onder hun naam
- Gewoon social engineering.


Niets is waterdicht. Maar dat wil niet zeggen dat de deur moet opengesmeten worden.

Klik om te vergroten...

Dat bedoel ik net, je moet zelf je job goed doen en zorgen dat het probleem zich beperkt tot leerkrachten die vanalles fout doen.
Zoals mijn edit aangaf, PEBKAC, en daar kunt ge veel aan doen, maar bijlange niet alles.

Wij hebben een redelijke grote middelbare school als klant. Ik ben er zelf 1x geweest om een installatie te doen. De rest remote.
De ICT verantwoordelijke is een ouwe vent die een non-IT praktijkvak geeft. Elke meeting, telefoongesprek of mail begint hij met te zeggen dat ge geen moeilijke taal moogt gebruiken want al die IT-termen zeggen hem niets.
Dan zijn er nog 2 of 3 andere IT'ers. Waaronder nog een ouwe vent die ook les geeft en vooral denkt dat hij er iets van af kent maar na 2 zinnen al door de mand viel. En 2 andere fulltime IT'ers die ergens een cursus gedaan hebben dus geen bachelor niveau.

Ze stoeften met hun beveiliging en opstelling van hun netwerk. Maar tegen dat mijn installatie er op zat waren ze al half in paniek. Want het studentennetwerk heeft full access tot het lerarennetwerk al dachten zij van niet. Overal default paswoorden of zelfs geen paswoorden laten staan. Netwerkshares zonder paswoorden ect. Ik heb dat puur toevallig ontdekt in functie van mijn installatie. Zonder echt te zoeken of verder te kijken.
Ze gaven remote access tot onze server. Werkte niet en hun antwoord was het paswoord van de fw dat ik het zelf maar moest instellen. Hun fw is volgepropt met rules die niet getest zijn. En dan staat er zo'n allow-all rule bij... tja.

Er is nog niets geweten van misbruik maar dat ligt eerder aan de studenten die niet beter weten of niet zoeken.
En het ergste van al is dat ze nu 2 maand later nog altijd geen actie ondernomen hebben en er ook niet meer aan denken.

Meer details wil ik er nu ook niet over geven


En lang geleden in mijn middelbareschooltijd, midden jaren '90 was er ene IT verantwoordelijke. De wiskunde leerkracht die er echt geen fluit van af kende. En dan kwam hij mij en mijne maat maar uit de les halen als er een probleem was.
Maar die tijd kunt ge ook niet meer echt vergelijken met nu. Toen was er zelfs nog ne leraar die een handeltje had in illegale software. Voor 2000fr kopieerde hij u ne Twilight cd (benieuwd of iemand ze nog kent ). En er was via floppy's ook eens porno op de pc's geraakt. Heel ons klas is toen nog bij de directeur moeten komen om een verklaring af te leggen. Maar uiteindelijk niks van gekomen omdat gewoon iedereen wel ne kopie had.

Lord Kveldulv zei:

Wij hebben een redelijke grote middelbare school als klant. Ik ben er zelf 1x geweest om een installatie te doen. De rest remote.
De ICT verantwoordelijke is een ouwe vent die een non-IT praktijkvak geeft. Elke meeting, telefoongesprek of mail begint hij met te zeggen dat ge geen moeilijke taal moogt gebruiken want al die IT-termen zeggen hem niets.
Dan zijn er nog 2 of 3 andere IT'ers. Waaronder nog een ouwe vent die ook les geeft en vooral denkt dat hij er iets van af kent maar na 2 zinnen al door de mand viel. En 2 andere fulltime IT'ers die ergens een cursus gedaan hebben dus geen bachelor niveau.

Ze stoeften met hun beveiliging en opstelling van hun netwerk. Maar tegen dat mijn installatie er op zat waren ze al half in paniek. Want het studentennetwerk heeft full access tot het lerarennetwerk al dachten zij van niet. Overal default paswoorden of zelfs geen paswoorden laten staan. Netwerkshares zonder paswoorden ect. Ik heb dat puur toevallig ontdekt in functie van mijn installatie. Zonder echt te zoeken of verder te kijken.
Ze gaven remote access tot onze server. Werkte niet en hun antwoord was het paswoord van de fw dat ik het zelf maar moest instellen. Hun fw is volgepropt met rules die niet getest zijn. En dan staat er zo'n allow-all rule bij... tja.

Er is nog niets geweten van misbruik maar dat ligt eerder aan de studenten die niet beter weten of niet zoeken.
En het ergste van al is dat ze nu 2 maand later nog altijd geen actie ondernomen hebben en er ook niet meer aan denken.

Meer details wil ik er nu ook niet over geven


En lang geleden in mijn middelbareschooltijd, midden jaren '90 was er ene IT verantwoordelijke. De wiskunde leerkracht die er echt geen fluit van af kende. En dan kwam hij mij en mijne maat maar uit de les halen als er een probleem was.
Maar die tijd kunt ge ook niet meer echt vergelijken met nu. Toen was er zelfs nog ne leraar die een handeltje had in illegale software. Voor 2000fr kopieerde hij u ne Twilight cd (benieuwd of iemand ze nog kent ). En er was via floppy's ook eens porno op de pc's geraakt. Heel ons klas is toen nog bij de directeur moeten komen om een verklaring af te leggen. Maar uiteindelijk niks van gekomen omdat gewoon iedereen wel ne kopie had.

Klik om te vergroten...

Leerkrachten die er niks van kennen, sounds familiar.
Wij hadden een leerkracht voor "hardware", jezus christus, die wist nog niet hoe een moederbord er uit zag denk ik.

Lord Kveldulv zei:

En lang geleden in mijn middelbareschooltijd, midden jaren '90 was er ene IT verantwoordelijke. De wiskunde leerkracht die er echt geen fluit van af kende. En dan kwam hij mij en mijne maat maar uit de les halen als er een probleem was.
Maar die tijd kunt ge ook niet meer echt vergelijken met nu. Toen was er zelfs nog ne leraar die een handeltje had in illegale software. Voor 2000fr kopieerde hij u ne Twilight cd (benieuwd of iemand ze nog kent ). En er was via floppy's ook eens porno op de pc's geraakt. Heel ons klas is toen nog bij de directeur moeten komen om een verklaring af te leggen. Maar uiteindelijk niks van gekomen omdat gewoon iedereen wel ne kopie had.

Klik om te vergroten...

Bij ons was het nog beter, ik verkocht twilight cds aan de leraren. En CDs van de beatles aan de directeur. En nadien dan verwonderd zijn dat ik ook af en toe rondneusde op het schoolnetwerk. Wat een verrassing... Zou die snaak gedacht hebben dat hij een cd kon kopen voor 150 frank die ik zelf in de winkel gekocht had??

Ik ben een pro hacker , we zitten met een hele community op IRC & soms lachen we met iedereen op 4chan.
Ik kopieer gewoon scripts van het internet en kan zo iedereen hacken. Ik heb ook 12 laptops thuis & haal
al van toen ik 3 jaar was alle elektronica uit elkaar. Ik kan ook facebook hacken.
Omdat ik veel slimmer ben als iedereen op school heb ik dus besloten om school te hacken , ik heb nooit
moeten studeren maar altijd 10/10 gehaald.
kthxbai

publiceer gewoon zo iets en iedereen is content - (en wij kunnen nog eens lachen)

Grootste probleem van beveiliging is steeds de beveiliging van binnen uw netwerk.
Ge kunt u redelijk snel en gemakkelijk beveiligen van buitenaf (alles blokkeren buiten wat je zelf openzet).

Het probleem ligt echter intern.
Want daar moet je nu éénmaal een trade-off maken: meer veiligheid of gebruiksvriendelijkheid.
Ge kunt nog overal wachtwoorden opzetten, rechten afnemen, poorten dichtzetten, ip ranges blokkeren,...
Uiteindelijk draait er op uw bedrijf of school niets meer efficiënt, vergeten mensen wachtwoorden (want per toegang een ander wachtwoord, veel te lang,...)

Daarom dat er binnen het corporate netwerk eigenlijk niets wordt geblokkeerd op netwerkniveau (ik spreek niet van user-security niveau), buiten het management van het netwerk zelf. Want anders ben je dagdagelijks bezig met dingen open te zetten voor elke applicatie die er intern ontwikkeld wordt, uitgerold,...

Meer security changes die op lange termijn onoverzichtelijk worden.
Laat staan de human & hardware resources die je daar tegenaan moet knallen.
Je investeert op dat ogenblik enorm veel in beveiliging dat het teveel kost voor wat het waard is.

Theoretisch gezien mag je niemand vertrouwen, maar in de praktijk kan je gewoonweg niet anders.
Ja leerlingen blijven het 'uitdagend' vinden, maar het blijft ook inbreken, waar op effectieve straffen staan.
Als grote corporate bedrijven nog geen budget hebben (of er niet aan willen geven) om zoiets op te zetten... laat staan dat een school deze middelen heeft.

[B]Rocketeer;18051298 zei:

Grootste probleem van beveiliging is steeds de beveiliging van binnen uw netwerk.
Ge kunt u redelijk snel en gemakkelijk beveiligen van buitenaf (alles blokkeren buiten wat je zelf openzet).

Het probleem ligt echter intern.
Want daar moet je nu éénmaal een trade-off maken: meer veiligheid of gebruiksvriendelijkheid.
Ge kunt nog overal wachtwoorden opzetten, rechten afnemen, poorten dichtzetten, ip ranges blokkeren,...
Uiteindelijk draait er op uw bedrijf of school niets meer efficiënt, vergeten mensen wachtwoorden (want per toegang een ander wachtwoord, veel te lang,...)

Daarom dat er binnen het corporate netwerk eigenlijk niets wordt geblokkeerd op netwerkniveau (ik spreek niet van user-security niveau), buiten het management van het netwerk zelf. Want anders ben je dagdagelijks bezig met dingen open te zetten voor elke applicatie die er intern ontwikkeld wordt, uitgerold,...

Meer security changes die op lange termijn onoverzichtelijk worden.
Laat staan de human & hardware resources die je daar tegenaan moet knallen.
Je investeert op dat ogenblik enorm veel in beveiliging dat het teveel kost voor wat het waard is.

Theoretisch gezien mag je niemand vertrouwen, maar in de praktijk kan je gewoonweg niet anders.
Ja leerlingen blijven het 'uitdagend' vinden, maar het blijft ook inbreken, waar op effectieve straffen staan.
Als grote corporate bedrijven nog geen budget hebben (of er niet aan willen geven) om zoiets op te zetten... laat staan dat een school deze middelen heeft.

Klik om te vergroten...

Daar ehhhh moet ik u ongelijk geven.

En tuurlijk ge kunt niet alles blokkeren. Maar er is een verschil tussen een student die echt zo ver moet gaan dat hij malafide software moet planten op de pc van een leerkracht of de leerkracht die hem alle info aanreikt op een blaadje.


Het verbaast me gewoon dat in schoolreglementen zoiets niet omschreven staat, zodat er dingen kunnen bestraft worden. Tenzij men dat in de laatste 3 jaar overal heeft gedaan.

@sithcloud:
Wat wordt er bij jullie dan op netwerkniveau geblokkeerd binnen corporate netwerk?
Ben er wel benieuwd naar (ik bedoel niet corporate richting dmz of internet, maar binnen corporate)

-------------------------------

Uiteraard is er een groot verschil. Maar dat is nu éénmaal het probleem zoals ik ook zei: je kan nog beveiligen wat je wil... als vb de leerkracht zijn/haar pc niet locked, heb je ook niets aan je beveiliging

Denk wel dat dit in het schoolregelement staat hoor. Hogescholen en universiteiten toch alvast. Lager of middelbaar geen idee

Vanaf welke schaal zie je het als corporate? Bij kleine bedrijven waar het vooral administratie is zien we idd binnenin geen enkele restrictie. Meestal zelfs naar Internet ook niet tenzij een blacklist of zo. De rest zou ook gewoon onzin zijn.
Bij grotere bedrijven of bedrijven met productie is dat toch heel anders. Alles wordt toch gescheiden en enkel het noodzakelijke wordt open gezet. We hebben zelfs een klant waar elk personeelslid 2 pc's heeft. Eentje zit op het productie netwerk waarop ze niks rechten hebben behalve wat voor hun functie nodig is in het ERP systeem. En een andere pc die Internet toegang heeft waar ze mails op binnen krijgen en mogen surfen zo veel ze willen. Zelfs de bekabeling en switches zijn fysiek gescheiden. En om de serverroom binnen te gaan krijgen we een escorte.
Ongeveer alle andere klanten van ons met een beetje omvang of een productie omgeving hebben wel maatregelen genomen. Maar dat is dan op aanraden van ons geweest, of op aanraden van de consultants waar wij mee samen werken. Ge zult nog wel genoeg anders tegen komen. Ik heb vooral vroeger ook anders gezien. Maar nu is vooral mijne baas nogal streng daar op.

hogescholen mogen ook wat aandacht krijgen, verbind je laptop met een utp poortje op je school, back track opengooien en ge wilt nie weten wa ge tegenkomt

Gekke_Koerd zei:

hogescholen mogen ook wat aandacht krijgen, verbind je laptop met een utp poortje op je school, back track opengooien en ge wilt nie weten wa ge tegenkomt

Klik om te vergroten...

This

Gekke_Koerd zei:

hogescholen mogen ook wat aandacht krijgen, verbind je laptop met een utp poortje op je school, back track opengooien en ge wilt nie weten wa ge tegenkomt

Klik om te vergroten...

Gaan we het eens testen?

Ik heb zelf geen kennis van wat er allemaal vereist is op middelbare scholen qua netwerk/IT en de gemiddelde budgetten. Maar mij lijkt het toch best eenvoudig om leerkrachten volledig via Office365 of Google Apps te laten (samen) werken en niet meer lokaal te zitten prutsen. Dit samen met 2FA voor elke leerkracht moet toch al serieus helpen.

[B]Rocketeer;18053177 zei:

@sithcloud:
Wat wordt er bij jullie dan op netwerkniveau geblokkeerd binnen corporate netwerk?
Ben er wel benieuwd naar (ik bedoel niet corporate richting dmz of internet, maar binnen corporate)

-------------------------------

Uiteraard is er een groot verschil. Maar dat is nu éénmaal het probleem zoals ik ook zei: je kan nog beveiligen wat je wil... als vb de leerkracht zijn/haar pc niet locked, heb je ook niets aan je beveiliging

Denk wel dat dit in het schoolregelement staat hoor. Hogescholen en universiteiten toch alvast. Lager of middelbaar geen idee

Klik om te vergroten...

Wel op mijn vorig werk zat elke afdeling netjes in een aparte Vlan, alles van elkaar gescheiden behalve 1 common share waar al de data op gewatermerkt werd.

De testomgeving zat fysiek apart.

Mantis zei:

Ik heb zelf geen kennis van wat er allemaal vereist is op middelbare scholen qua netwerk/IT en de gemiddelde budgetten. Maar mij lijkt het toch best eenvoudig om leerkrachten volledig via Office365 of Google Apps te laten (samen) werken en niet meer lokaal te zitten prutsen. Dit samen met 2FA voor elke leerkracht moet toch al serieus helpen.

Klik om te vergroten...

het grote probleem daar op mijn job was ook dan de dinosaurussen op den algemene dienst van de scholengroep die dat zoveel mogelijk blokkeerden. helaas.

en te bedenken dat google apps voor educatieve instellingen eigenlijk heel goedkoop is. zelfs gratis (toen toch)

SithCloud zei:

Wel op mijn vorig werk zat elke afdeling netjes in een aparte Vlan, alles van elkaar gescheiden behalve 1 common share waar al de data op gewatermerkt werd.

De testomgeving zat fysiek apart.

Klik om te vergroten...

Stond inter-vlan routing aan?
Gezien je spreekt over 1 common share, dient elke afdeling daar toch een routering naartoe te hebben.
Maar zou perfect kunnen indien private vlans zouden uitgerold zijn

Testomgeving kan ik begrijpen dat deze fysiek apart is.


@Lord Kveldulv:
Corporate:
Verkeer dat dus binnen & tussen de vestigingen (via WAN) blijft

I.vm. uw ene klant die fysisch volledig gescheiden netwerken productie heeft:
Is het zo kritisch of beveiliging nodig dat dit met gescheiden switches moet zijn? (kan steeds staatsveiligheid zijn uiteraard).

Gezien ze ERP pakket draaien, vermoed ik dat deze server ook op dit aparte productie netwerk zat? Of was hier wel fysische link naar het 'corporate' netwerk en afgeschermd dmv access lists of firewall?

I.v.m. rechten... dit beschouw ik natuurlijk niet netwerkgewijs. Dit is op user security niveau met AD of dergelijke andere authenticatie.


Wel interessant om wat praktijkvoorbeelden te krijgen want ze doen zo iets op aanraden van consultants of jullie. Dus wel benieuwd waarom de design consideration van fysisch gescheiden i.p.v. een geheel netwerk waar productie en office geïntegreerd zijn.

[B]Rocketeer;18056387 zei:

Stond inter-vlan routing aan?
Gezien je spreekt over 1 common share, dient elke afdeling daar toch een routering naartoe te hebben.
Maar zou perfect kunnen indien private vlans zouden uitgerold zijn

Testomgeving kan ik begrijpen dat deze fysiek apart is.


@Lord Kveldulv:
Corporate:
Verkeer dat dus binnen & tussen de vestigingen (via WAN) blijft

I.vm. uw ene klant die fysisch volledig gescheiden netwerken productie heeft:
Is het zo kritisch of beveiliging nodig dat dit met gescheiden switches moet zijn? (kan steeds staatsveiligheid zijn uiteraard).

Gezien ze ERP pakket draaien, vermoed ik dat deze server ook op dit aparte productie netwerk zat? Of was hier wel fysische link naar het 'corporate' netwerk en afgeschermd dmv access lists of firewall?

I.v.m. rechten... dit beschouw ik natuurlijk niet netwerkgewijs. Dit is op user security niveau met AD of dergelijke andere authenticatie.


Wel interessant om wat praktijkvoorbeelden te krijgen want ze doen zo iets op aanraden van consultants of jullie. Dus wel benieuwd waarom de design consideration van fysisch gescheiden i.p.v. een geheel netwerk waar productie en office geïntegreerd zijn.

Klik om te vergroten...

Tuurlijk staat intervlan routing aan. maar de common share stond wel in nog een aparte vlan en daartussen de nodige acl's he. Zodat mensen wel naar die common share konden maar niet rechtstreeks aan elkaar.

[B]Rocketeer;18056387 zei:

I.vm. uw ene klant die fysisch volledig gescheiden netwerken productie heeft:
Is het zo kritisch of beveiliging nodig dat dit met gescheiden switches moet zijn? (kan steeds staatsveiligheid zijn uiteraard).

Klik om te vergroten...

Het is een bedrijf die maar een heel banaal product maken. Productie loopt wel volledig volautomatisch, tot zelfs de heftrucks die computergestuurd rondrijden (zonder chauffeur). Er zit gewoon ene ambetante mens die denkt dat de wereld rond het bedrijf draait. Op zich geen slechte strategie. Maar we doen ook opdrachten bij de Nationale Bank. Eens binnen loop je daar in de serverzalen ook zomaar rond en kan je saboteren wat je wil. Het zal niet onopgemerkt zijn en ze zullen u misschien vast hebben eer je buiten bent Maar je loopt alleen rond terwijl bij deze klant er iemand op 50cm van u blijft staan ook al heeft die geen flauw benul van wat je aan het doen bent.
Grootste probleem bij die klant momenteel zijn muizen die aan de bekabeling knagen

Het is misschien wel dé uitzondering die we daar gevonden hebben. We halen die situatie wel meestal aan naar andere klanten toe. Want je hebt er altijd die vinden dat hun paswoord abcd of 1234 moet zijn.
Servers doe ik niet zelf, ons bedrijf eigenlijk ook niet. Wel ons zusterbedrijf. Maar als zij het doen is het wel in orde. Wij komen dan in omgevingen waar de interne/externe IT (niet wij) het zou moeten doen.
Wij zorgen dat het in orde is op netwerkniveau. De rest is maar advies dat we kunnen geven.
We zien wel dat bij grotere bedrijven er meer opvolging is. Vorige week nog een meeting gehad met de plaatselijke IT'er van een vestiging in Gent. Van een bedrijf met 200 vestigingen over heel de wereld. Gewoon om over de security te babbelen. Enerzijds hoor je dan wel ze zelf niet echt op de hoogte zijn van hoe of wat. Anderzijds weten ze wel dat er iets moet gedaan worden.

En ja scholen zijn zo'n geval apart. Wij zitten nu met die ene school in de miserie omdat hun fw niet deftig geconfigureerd is. Onze installatie werkt. Hun fw niet. We kunnen het zelfs bewijzen. Maar er komt langs hun kant geen actie behalve lijk deze morgen een mailtje 'nog eens getest en het werkt niet'. Dat wijt ik aan gebrek aan kennis. Van al de rest dat zomaar open stond wordt er niet meer gesproken...

Ah leuk om dit alles te horen

WOW boeiend, maar algemeen gezien niet veel zeggend voor mij.
Al verschillende jaren werk ik samen met scholen, en inderdaad dit is niet gemakkelijk, een te klein budget, afgedankt materiaal van bedrijven, geen fatsoenlijke software, enz....
Maar ik neem de leerkracht niks kwalijk, het is niet zijn/haar taak, de leerkracht moet lesgeven en moet er (volgens mijn ervaring) niet voor zorgen dat zijn computer geüpdatet is. Dit is de taak van de ICT-verantwoordelijke, maar als deze brave man/vrouw de kennis niet heeft krijg je gegarandeerd problemen. En geloof me, zo zijn er veel.
Toch wil ik beginnen waar het fout loopt, het draadloze netwerk…een stuk of 10 routers van verschillende merken, ingesteld met dezelfde IP-adressen, dat kan gewoon niet werken. Wij zijn computer eerst op zet heeft internet, de andere niet….komt geregeld voor.
De server (niet ingesteld als server) is opgezet als een home computer, iedere leerkracht kan de map van de andere zien….dus de kinderen ook……het gevolg is dat er af en toe mappen verdwijnen….komt geregeld voor.
Paswoorden, dikwijls de naam van de klas, of de leerkracht, of gewoon de naam van de school……geregeld gehackt, hoe zou dat komen.
De ene leerkracht werkt met Open Office, de andere met MS Office ( meestal zelf aangekocht door de leerkracht)…ook een probleem.
Digi-borden werken alleen als er een degelijke internet verbinding is, misschien eerst daar in investeren!!! Een goede Tip denk ik!
Maar het echte probleem zijn de verkopers, soms zie je in een school een server staan die voor een bedrijf met 100 medewerkers perfect geschikt is…maar veel te zwaar is voor een school, goede verkoper, hij zal gelukkig zijn, maar het budget van een jaar of twee is hier mee weg. Schandalig als je weet dat er nog zoveel andere noden zijn….maar business is business…dus verkopen maar!!
Volgens mij moet een ICT-Coördinator de leerkrachten ondersteunen, de nieuwste apps voorstellen, ondersteuning bieden qua software, enz….Hij kan niet beide taken uitvoeren, daar zal onvoldoende tijd voor zijn.
Dus zorg voor een goed ICT-team in uw school, lees veel op forums, laat u niks wijsmaken, vraag verschillende meningen. Koop in groep aan. Luister bij collega’s hoe zij he aanpakken, vergelijk prijzen, scholen kunnen elkaar op deze manier steunen…..
Zorg voor een budget, want jaarlijks zullen de ICT uitgaven stijgen…
Ik wil niemand kwetsen, maar het mag gezegd zijn, er moet nog veel gebeuren.