Verständnisfrage: Virtual PC auf Produktivsystem als Internetrechner nutzen

[Schnacker]

Ein Produktivsystem zur Grafikbearbeitung ist auf einem potenten Rechner installiert und über die Fritzbox vom Zugang ins Internet ausgeschlossen (aus Sicherheitsgründen). Für das Surfen im Netz wird ein Atom NetPC genutzt. Via KVM-Switch werden Tastatur und Monitor gewechselt.
Die Überlegung war es, den NetPC abzuschaffen und für die Internetterei eine VM auf dem "großen" Rechner zu nutzen. Damit sollte das Sicherheitskonzept im Prinzip doch dasselbe bleiben oder? Sprich, die Workstation kann ich per Fritzbox immer noch vom Internet ausschließen und die VM ins Netz hängen?

 

[Devotee]

Kurze Antwort: Ja das geht.

 

[Schnacker]

Danke!

 

[Thomebau]

Bist du dir da sicher ?
Ich kann mir nicht vorstellen wie das gehen soll, für die Fritzbox wirkt das doch wie ein einziger Rechner ?

 

[IronEagle]

Das Sicherheitskonzept bleibt nicht erhalten. Es gibt mittel und wege wie ein Virus/Trojaner feststellen kann ob und in ggf. welcher VM er laeuft, ob es da Sicherheitsluecken gibt wie der den Host beeinflussen kann. Eventuell durch Guest-Utilities, shared folders, oder einfach nur durch den Netzwerktraffic der ja auch durch den Host geht.

Es ist sicherer als alles auf dem Hauptsystem zu machen, aber in der Praxis (der Mensch ist faul) ist es nicht so sicher wie 2 getrennte Systeme.


@thomebau: man kann oft beide Wege waehlen. Man kann es so bauen das die VM als "eigener" Rechner im Netz auftaucht (Stichwort Bridged Networking), oder sich hinter dem Host "versteckt" (Stichwort NAT).

 

[Schnitzel2k8]

Ich denke auch, so ein Trojaner kann es schaffen auszubrechen aus ner VM. 100% sicher wäre der Arbeitsrechner aber sowieso nur wenn er physisch von der Fritzbox getrennt ist. Ihn nur in der Fritzboxeinstellung vom Internetzugang zu trennen dürfte zwar IMHO sehr sicher sein, aber halt nicht 100%.

 

[lyvi]

es gibt ja noch hardware firewalls in form von USB sticks.könnte man so machen das wenn der nicht steckt kein internet verfügbar ist.
allerdings ist das "aufstehen" und zum anderen rechner gehen der sicherere weg weil der nutzer daran "erinnert" wird was er tut.

 

[IronEagle]

Es gibt keine Hardware-Firewalls, hoechstens dedizierte Firewall-Systeme - und das sind die einzigen die anfangen Sinn zu machen. Eine Stueck Firefall-Software auf einem Client ist immer ein Schwachpunkt.
Dazu kommt: eine Firewall alleine hilft wenig bis gar nichts, man braucht ein Sicherheitskonzept, was der TE offenbar (sehr loeblich!) versucht zu implementieren.

Ein Link auf eine "hardware firewall in form eines usb sitcks" wuerde mich aber mal interessieren...

 

[lyvi]

Yoggie gibt Quellcode und Hardware-Plattform seiner Firewall frei
http://www.yoggie.com/New_Yoggie/Welcome.html
grad gesehen/gelesen das die pleite sind, dabei habe ich dem produkt damals grosse chancen eingeräumt.

 

[IronEagle]

"Die Firewall schützt vor gängigen Gefahren wie Hacking oder Angriffsversuchen über offene Ports. Ein »Stealth-Modus« macht den Rechner für Angreifer unsichtbar."

Mehr braucht man nicht lesen. Es gibt keinen Stealth-Modus. Never. Kann es nicht geben. Wer sich anderes einreden laesst sollte sich mit Grundlagen TCP/IP befassen.
Und das Stueckchen Sicherhet was die Kisten boten haengt, wenn ich http://www.linuxfordevices.com/files/misc/yoggie_pico_arch_diag-sm.jpg richtig deute davon ab ob und wie der Treiber umgangen werden kann. Also auch weder Fisch noch Fleisch.

 

[Schnacker]

Naja, es läuft eigentlich immer auf einen Kompromiss zwischen Machbarkeit und Durchsetzbarkeit hinaus - wenn der Nutzer mit der Lösung 2 Rechner und KVM-Switch nicht klarkommt, die VM-Lösung eine höhere Akzeptanz hat UND (100%igen Schutz gibt es nicht) sie auch noch die Latte hoch legt für die bösen Dinge aus dem Internetz? Mit einem laufenden + aktuellen Virenscanner (der in der VM mMn besser läuft als auf dem Atom-Teil) ist doch sicher ein Teil der Probleme erschlagbar. Sind die oben genannten Viren/Trojaner Konzept oder gibt es die in echt in freier Wildbahn?
Der Produktivrechner muss von Zeit zu Zeit auch an das Netz - Magix u.a. sei Dank, ganz getrennt geht es leider nicht. Und jeden Monat ein Offlineupdate fahren, ist ebenfalls nicht so recht praktikabel. Auch wird der Drucker gemeinsam benutzt, genau so wie ein Austauschlaufwerk. Wenn Bspsweise Bilder per Mail kommen, müssen die ja irgendwie auf den PR (Produktivrechner). Deswegen ganz vom lokalen und Internetz trennen, geht wie schon gesagt, nicht. Die Fritzbox hat doch von Hause aus schon eine Firewall drin?