Melhores soluções para restringir acesso a sites

[RodrigoMandrik]

Boa tarde a todos, alguém de TI Empresarial com sugestão de um software ou aparelho para bloquear sites, já utilizo o Mikrotik porém ainda estão conseguindo burlar o sistema do mesmo, já tive alguns problemas com Ransonware na empresa umas 3 vezes, já que não dá pra conscientizar os "colaboradores" então o jeito é partir pra métodos mais drásticos infelizmente. Se alguém souber um método eficaz e difícil de burlar pelo menos pode ser até software pago por favor me ajudem aí.

[Visitante]

@RodrigoMandrik eu já tive excelentes resultados com as soluções da ti software https://www.tisoftware.com.br/

Tem o modulo monitor, o bloqueador e outro que esqueci o nome, todo dia eu tirava um extrato dos sites que cada colaborador acessou e ia passando o facão, chegou um momento em que eles trabalhavam para passar o tempo.

Extremamente simples de usar,  não precisa de dominio ou servidor dedicado, instala os clientes nos terminais e o servidor em qualquer maquina, pode ser até na sua, muito leve, instalar configurar as senhas e começar a usar.

[dwatashi]

Se deseja filtrar rede mesmo, um dos melhores meios é utilizar proxy transparente usando Pfsense por exemplo.

 

Você configura os filtros e como todo acesso passa por ele, você consegue fazer ajustes finos.

 

Em escolas onde pessoal usa pendrive e acessa de tudo, um dos melhores meios que conheço é usar programas como deepfreeze. Você congela a instalação da estação e reiniciou, retorna ao estado "congelado". No Windows 10 é mais chato de manter, porque ele obriga algumas atualizações, então tem que ficar monitorando os estados para sempre manter o sistema mais atualizado.

 

[RodrigoMandrik]

1 hora atrás, dwatashi disse:

Se deseja filtrar rede mesmo, um dos melhores meios é utilizar proxy transparente usando Pfsense por exemplo.

 

Você configura os filtros e como todo acesso passa por ele, você consegue fazer ajustes finos.

 

Em escolas onde pessoal usa pendrive e acessa de tudo, um dos melhores meios que conheço é usar programas como deepfreeze. Você congela a instalação da estação e reiniciou, retorna ao estado "congelado". No Windows 10 é mais chato de manter, porque ele obriga algumas atualizações, então tem que ficar monitorando os estados para sempre manter o sistema mais atualizado.

 

Já usei Pfsense também, não sei como mas conseguiram burlar também e acessaram normal, deepfreeze até que seria interessante, mas é clinica e o pessoal salva coisa nas estações também, mesmo com uma pasta publica compartilhada, não tem jeito, se tivesse um jeito de bloquear tudo e colocar apenas os sites necessários pra utilizar seria otimo, ja utilizei o mikrotik tambem desse jeito, mas conseguiram burlar.

[dwatashi]

Pfsense com proxy transparente ativo?

 

O que o pessoal faz é usar sites ou programas de proxy, mas se você deixar o proxy transparente só acessa por essa via, você monitora e depois vai cortando os acessos.

 

O proxy transparente não é padrão do Pfsense, fora que tem sites que redireciona ou utilizam portas específicas se você bloquear, não acessa ele pode dar trabalho pra configurar, mas não conheço solução de firewall bom que não use regime deste tipo.

 

Já que utiliza o MK, porque não faz o contrário, cria usa whitelist (sites que podem ser acessados).

[tiagopraz]

@RodrigoMandrik cara, tenta usar o PfSense com squid mas não transparente, de forma configurada nas estações e com instalação de certificado para bloqueio de https. Porém, vai ter que usar AD também como controlador para impedir acesso as configurações e impedir instalação de programas. Se conseguir integrar o PfSense com autenticação no AD melhor ainda. Lugar onde isso funciona muito bem é em call center, as máquinas são bloqueadas até pra mexer o mouse kkkkk

Outra forma, não sei se é possível, mas já usei o Pi-hole e AdGuard home para bloquear anúncios a nível de rede, pode ser que se você especificar os domínios que queira bloquear na lista de bloqueio ele funcione; particularmente acho o AdGuard melhor e também bloqueia domínios de Ransonware conhecidos. Porém para usar eles, as estações precisarão estar configuradas para usar o endereço DNS do servidor onde está instalado o AdGuard, pode ser que precise mexer no servidor dhcp ou no roteador para fornecer de forma automática o endereço do DNS do AdGuard. Em todo caso, usar AD é uma boa para impedir alterações nas configurações de rede.

 

#EDIT:
Sobre não conseguir conscientizar os colaboradores, como está a o plano da politica de segurança da informação?
É algo que parece fútil mas quando bem elaborado e bem distribuído pode funcionar. As normas devem ficar claras o tempo todo na cara dos sujeitos.
Se não funcionar, ameaça mexer no bolso kkkkkkkkk