Categorie op Algemeen

De corona pandemie zorgt er voor dat er veel meer mensen dan ooit tevoren vanaf thuis werken. Dat roept allerlei vragen op, hier gaan we in op de technische kant van de zaak. Hoe biedt je als werkgever thuiswerken aan en hoe zorg je ervoor dat je medewerkers hier mee overweg kunnen en vooral, hoe hou je het veilig.

Aanbieden van thuiswerken

Als je als werkgever kiest om je werknemers thuis te laten werken sta je voor een leuke uitdaging. Wat wil je aanbieden, in hoeverre zijn de programma’s waarvan je werknemers gebruik moeten gaan maken geschikt hiervoor, zijn ze bijv. web-based of zijn het zgn. client programma’s en zijn er consequenties voor eventuele licenties?

Web-based programma’s zijn het makkelijkst, hiervoor moet alleen de werknemer toegang krijgen tot het bedrijfsnetwerk en kan zo met een browser het programma gebruiken.

Client programma’s zijn programma’s die op de thuiswerk pc of notebook genstalleerd moeten zijn. Als die er niet op staan moeten deze geinstalleerd en geconfigureerd worden en dat vereist meer technische kennis en kan vaak niet vanaf thuis door de werknemer zelf worden uitgevoerd. Er zijn voor Windows wel mogelijkheden om als de werknemer ingelogd is op het bedrijfsnetwerk de installatie vanaf het netwerk automatisch uit te laten voeren maar daar kleven wel haken en ogen aan. Van de pc op kantoor zijn alle spec’s bekend, van de thuiswerk pc van de werknemer niet.Een ander mogelijk probleem is dat op de thuiswerk pc al bepaalde software gebruikt wordt die kan conflicteren met bedrijfssoftware.

Veiligheid

Een niet uit te oog verliezen aspect van thuiswerken betreft de veiligheid. Hoe zorg je ervoor dat je bedrijfsnetwerk alleen door geautoriseerde medewerkers gebruikt wordt en dat kwaadwillenden geen toegang krijgen. Een goede oplossing hiervoor is het gebruik maken van een zgn. VPN. Hiermee wordt een beveiligde ‘tunnel’ opgezet tussen het bedrijfsnetwerk en de thuiswerk pc van de werknemer. Een goedkope en veilige oplossing is de open-source software van OpenVPN. Hiermee kan een veilige verbinding worden opgezet naar het bedrijfsnetwerk vanaf een thuiswerk pc. De software is redelijk eenvoudig te installeren en voor de werknemer is het na een nmalige installatie eenvoudig te starten en te stoppen. Als werkgever kan je allerlei zaken configureren zoals bijv. de vraag of ‘gewoon’ internetverkeer via het bedrijfsnetwerk moet lopen of juist niet.

Als werkgever heb je uiteraard een goede internetverbinding nodig, een server die als OpenVPN server dienst doet en omdat OpenVPN onder linux kan draaien kan zonder problemen een wat oudere server gebruikt worden. Geen noodzaak om een of andere nieuwe dure supersnelle server in het rack te hangen. Het grootste deel wat gebeuren moet is afhankelijk van netwerkverkeer. Daar is geen bijzondere server voor nodig tenzij je 100-en verbindingen tegelijk verwacht. Maar de ervaring leert dat als een bedrijf die grootte heeft er vaak al een thuiswerk-oplossing beschikbaar is.

USB stick

Om allerlei risico’s uit te sluiten en oa. een browser ter beschikking te stellen aan de werknemer kan ook gekozen worden voor een nog veiligere oplossing. De werknemer krijgt een USB stick waar hij zijn thuiswerk pc mee opstart. Groot voordeel is dat er geen gevaar is van besmetting van het bedrijfsnetwerk door de werknemer achter zijn thuiswerk pc. De software op zijn pc wordt immers niet gebruikt. Alles wat hij nodig heeft, incl. de OpenVPN software en configuratie staat op de USB stick. Als de USB stick in partities wordt verdeeld kunnen persoonlijke instellingen op een klein schrijfbaar deel van de USB stick worden opgeslagen maar andere delen van de USB stick kunnen op alleen-lezen (read-only) worden gezet. Hierdoor wordt manipulatie of besmetting door bijv. malware tegengegaan.

Help

Mocht je als werkgever over dit onderwerp nog vragen hebben, een concreet idee willen uitwerken of z.s.m. veilig thuiswerken aan willen bieden, schroom niet en neem geheel vrijblijvend contact op.

Je kan niet altijd je omgeving beschermen tegen ransomware en de gevolgen van op slot gezette bestanden door kwaadwillenden is nu nmaal iets wat helaas (te vaak) gebeurd. Gelukkig stelt elk zichzelf respecterend anti-virus bedrijf tegenwoordig gratis unlock ofwel decryptie-tools online maar er is n aardig initiatief van alweer een tijdje geleden wat de aandacht mag hebben: https://www.nomoreransom.org/nl/index.html

No more ransom is een samenwerking van oa. Europol, de Politie Nederland en Europol zo is te lezen op partnerpagina.

Je treft op die pagina een overzicht aan van ransomware en de beschikbare tools om weer bij je bestanden te kunnen. Let wel op de ‘handleiding’ want het decrypten moet vaak wel in een bepaalde volgorde gebeuren.

De franse overheid heeft speciaal voor PyLocky ransomware (ook in het engels), te vinden op https://www.cybermalveillance.gouv.fr/nos-articles/outil-dechiffrement-rancongiciel-ransomware-pylocky-v1-2/

Het is eenvoudiger geworden om je email-programma zoals Thunderbird in te stellen voor je email-account. Door een aanpassing in de DNS (naamserver) zal oa. Thunderbird automatisch de juiste servers voor je vinden en invullen. Je hoeft alleen nog je gebruikersnaam en wachtwoord aan te vullen en je kan van email gebruik maken.

Om er voor te zorgen dat jouw email ook jouw email is en blijft slaat LinuxPro je email ge-encrypt op en is dus niet leesbaar voor ons of anderen. Dit in tegenstelling tot wat bij veel andere email-aanbieders het geval is.

Dat het werk als systeembeheerder veranderd is niet iets echt nieuws, alhoewel… Was het voorheen voldoende om je certificeringen bij te houden en de nieuwe technieken onder de knie te krijgen is er nu een geheel nieuwe verandering. Een inhoudelijke, waar voor een deel nog steeds systemen worden ge-update en keurig netjes met grote regelmaat worden gepatched zie je een niet meer te stoppen ontwikkeling.

In de huidige omgeving vind je vaak een gevirtualiseerde servers op een VMware ESX cluster. Op die servers draaien de applicaties. Voor die applicaties wordt de server zo ingericht dat deze kan draaien. Denk aan minimale hoeveelheid RAM, aanwezigheid van genoeg netwerkinterfaces, storage en dat soort dingen. De applicatie is dus eigenlijk de laatste schakel die niet gevirtualiseerd is.

Docker

Met de komt van Docker en dergelijke technieken worden applicaties in een zgn. container gedraaid. Een groot voordeel hiervan is dat zodra je Docker omgeving hebt draaien (en dat kan op bijv. Linux maar ook op Windows) de container er op los kan laten en je applicatie draait. Een update v/d applicatie is niet meer een proces om per server deze te updaten. Op de, tadaaa, magic-word: DevOps omgeving wordt een nieuwe image gemaakt van de applicatie en vervolgens kan deze, uiteraard geautomatiseerd, over alle Docker omgevingen worden geupdate. Het risico dat de update op de ene omgeving wel draait en op de andere niet is nagenoeg nul. Je draait de applicatie container tenslotte op een generieke Docker omgeving.

Ook die Docker omgeving zal niet met hand worden genstalleerd per server. Ook dat kan aan de hand van een template middels bijvoorbeeld VMware’s VRA. In deze omgeving maak je een template met alle eigenschappen die je wilt en middels de geautomatiseerde omgeving rol je servers uit. Of dat nou op een VMWare ESX cluster is of in de cloud, dat is om het even. Ook de schaalbaarheid wordt door de komst van Docker een stuk eenvoudiger. Trekt een website voor een bepaalde tijd veel meer bezoekers? Er kan geheel geautomatiseerd een handvol virtuele servers met Docker worden opgebracht. Hiervoor moet natuurlijk wel de benodigde infra aanwezig zijn maar… capaciteitsmanagement en schaalbaarheid krijgen nieuwe dimensies.

Templates

Waar je als systeembeheerder veel bezig was met uitrollen, updaten, patchen en het oplossen van verstoringen verschuift dat naar een soort van technisch template manager. Met templates maak en onderhoud je je serverpark. Een update? Dat is geen kwestie meer van server per server als dan niet geautomatiseerd patchen. Je update je template, test deze met de applicatie image op Docker en als dat werkt vervang je eigenlijk de verouderde of de te pachen servers door servers aan de hand van de geupdate template en middels Docker worden de applicaties uitgerold. Je vervangt dus een server door een nieuwere met de bestaande (of ook geupdate) applicatie-container. Dat is wezenlijk anders dan het traditionele systeembeheer. Deze methode wordt al jaren door grote internetgiganten zoals Google, Facebook en Netfix gebruikt.

Veranderingen

Al dit bovenstaande houdt in dat je naast de kennis van het besturingssysteem nu ook kennis moet vergaren van het werken met bijv. Docker of gelijksoortige technieken. Managers moeten daar ook kennis van op doen want traditionele methodes met maandelijkse patch-rondes, OTAP omgevingen (Ontwikkel, Test, Acceptatie en Productie) gaan allemaal op de schop. De veel gebruikte kreet DevOps een agile manier van werken in plaats van de traditionele manier wordt hiervoor vaak gebruikt. DevOps is niet we doen het hetzelfde op een andere manier, het is een andere manier van denken en een geheel andere manier van inrichten van processen gericht op samenwerking tussen de verschillende afdelingen i.p.v. eilandjes (afdeling netwerk, systeembeheer, storage, infra e.d.) en moet, wil het succesvol zijn door alle lagen van de organisatie worden gedragen. Het simpel wijzigen van de benaming werkoverleg naar stand-up is dat dus niet. Tijdens het traditionele werkoverleg zit een afdeling bij elkaar, bij een standup verdwijnt de afdelingsgrens en komen mensen kort bij elkaar, meestal dagelijks, om kort te bespreken hoever met staat met een bepaalde taak, of er issues zijn en wat de komende dag gaat gebeuren. Het kan dus heel goed zijn dat zo’n standup een wisselende samenstelling heeft om een bepaalde taak (in Scrum een sprint genoemd) te volbrengen. Zo kan er iemand van infra bij komen staan als er bijv. issues zijn met het netwerk of firewall en iemand van finance als het gaat om of een bepaalde taak wel rendabel is voor het bedrijf.

Conclusie

Het systeembeheer is aan het veranderen, in het ene bedrijf gaat dat sneller dan het andere en ook bij de overheden zie je deze ontwikkeling. Door mijn werk als consultant zie je wisselende resultaten. Deze veranderingen, deze nieuwe manier van kijken naar hoe je je werk zo efficient en goed mogelijk kan doen is voor mij in ieder geval een grote motivator en reden dat ik mijn werk zo leuk vind.

Extra veiligheid

Het opslaan van email op een mailserver kan op een aantal manier gebeuren. LinuxPro slaat met ingang van vandaag email op middels encryptie.

Waarom

Mocht de backup van de email of de email-server gecompromitteerd worden (gehackt in populaire woorden) dan kan men niet zonder meer je email-berichten lezen.

Wat merk je er van

Voor de gebruiker gebeurd dit geheel transparant, je merkt er dus niets van. Bestaande email wordt niet automatisch ge-encrypt, alle binnenkomende email wel. Als je email verplaatst van map van bijvoorbeeld de Inbox naar de map Bewaren (als je die hebt aangemaakt) wordt bestaande email tijdens deze verplaats actie meteen ge-encrypt.

Wat kan je zelf doen

Je blijft als gebruiker van email zelf verantwoordelijk wat er met je email op je notebook, tablet of phone gebeurd. Ook hier van manier voor om je email te beveiligen. Daarnaast maak je zelf regelmatig een backup van je email en zorg je er voor dat niemand behalve je zelf toegang hebt tot je notebook, tablet of phone. Gebruik bij voorkeur geen gezichtsherkenning (face-id) maar een lange PINcode, wachtwoordzin (passphrase) in plaats van een wachtwoord en/of een vingerafdruk. Verder update je regelmatig je app’s en uiteraard het besturingssysteem (iOS, Android, Linux of Windows)