請教公司ERP主機伺服器資安問題和規畫

病毒勒索病毒伺服器備份防火牆

mavintw 2016-06-17 13:52:05 ‧ 9155 瀏覽

問題有點多，請各位資深板友給點建議~感謝。
目前台北和新竹有兩家公司共用一台ERP主機，
主機是放在台北，平常我們用遠端桌面連進去操作ERP，
是請ERP公司規畫的(如下方圖片連結)，
https://goo.gl/fZ3rBA
沒有裝防毒，只有手動備份新竹、台北各2台。

但在最近中勒索病毒2次，把ERP的資料毀損了。
我發現公司的資安問題很大。
後來有請委外的資訊廠商看，對方建議再用一台電腦進行每日自動全機備份，
然後再裝伺服器用的防毒。

不過我覺得這樣的處理還是不夠完善，
而我只是負責資材的聯絡窗口，
很多事情我沒法處理="=
公司預算也沒有很多可以加很多配備
ERP公司立場只處理ERP程式，
其他的要求不是要加錢就是拖。
目前急需處理的是下面的問題:

**1.防火牆：**有請委外資訊看防火牆的設置，但對方不會改，只知道現在設定是門戶洞開，ERP的工程師可改，但不負責看(沒有維護合約)。我感覺現在的委外資訊不擅資安這塊，之後如果要調整，我該另外請別的資安公司評估?還是有更好的處理方式?

**2.防毒軟體：**ERP公司建議我們不要裝，因為有可能會吃資源和檔掉部分程式，我們後來決定還是裝，但萬一被擋會很難處理@@，不裝又怕容易中毒

**3.備份：**我聽起來是另弄一台機器弄一塊硬碟專門自動備，再用一個沒接網路的硬碟備。是說勒索病毒會搜索連接的電腦，萬一中毒不就檔案全被鎖碼了@@。人工備又會有忘記備甚至會備不完全的狀況，我是有想到雲端備份，有比較好的推薦和配置建議嗎?

msnman iT邦研究生 1 級 ‧ 2016-06-17 14:36:18 檢舉

防毒軟體有純防毒還有防毒＋防火牆兩種，如果怕會被擋那就就純防毒的那種，另外，WINDOWS內建的防火牆也可以嘗試作嚴僅一點的管控，而且一定要開。隱藏分享全都刪了C＄D＄之類的都不要。ERP程式通常都會用幾個特殊PORT在運作，可以把用不到的都關起來。剛開始設定會影響到使用者的運作，但設定好了以後整體的安全性才會得到較好的保障。

窮嘶發發發 iT邦高手 1 級 ‧ 2016-06-20 10:42:36 檢舉

公司在中和啊，我也在中和上班啊，有空可以泡泡茶聊聊天啊
1. 有沒有上 AD，有沒有做好權限管理，任何人都不該對所有的資料夾有讀寫的權力
2. 預設分享一定要砍了，但我目前確認，綁架病毒無法找到加了 $ 符號的資料夾或是隱藏分享，但未來就不太確定
3. ERP 要看你們用哪一家的，可以的話把主機虛擬化吧，只要 VHD 開著，不開任何的網路分享，只開服務，綁架病毒也沒輒
4. 備份真的要做也要好好的規劃，權限要設定好，不該給的權限不能給，備份媒體備份完該取出就取出，定時快照
其實網路上有很多的作法，樓主可以找一下，只是這些事情，你們沒有專人負責，只想委外，那麼，要找廠商有能力接的鐵定不容易
就算找到，費用可能會高蠻多的，至於ERP 的維護費用，老實說，可有可無，最主要的還是日常的基本維護與備份
這些應該在導入時顧問都會講，照著做就好，至於程式 BUG 在簽約前就該要求必須無條件處理，不受維護合約影響

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

8 個回答

goodnight

iT邦研究生 2 級 ‧ 2016-06-19 21:28:29

最佳解答

1.防火牆, 並不能防止病毒的入侵, 只能防止主動式的攻擊, 防火牆設定並不難學
2.主機中毒, 是來自於工作站, 而非ERP本身問題, 主機裝不裝防毒, 基本上是沒有必要, 而且ERP主機不可以當作PC去操作, 所以本來就沒有必要裝防毒, 除非你們又拿ERP主機來操作
3.備份是一定要, 每天都要備, 而且一天一個檔, 一般是保留兩週, 我公司是保留18個月

防火牆分為兩種通訊
1.外對內, 也就是外部對內部的主動通訊, 一般是全鎖, 所以你公司的防火牆是好一點的, 就不用擔心, 因為看起來你公司只開於遠端通訊口
2.內對外, 也就是內部對外部的連線, 例如可以禁止個人電腦連上 FB, 這一般來說是全開
你如果可以提供防火牆的型號品牌, 和 ERP 軟體的名稱或公司, 或許比較好建議

綁架軟體大多來自於 E-MAIL 和中國部份的私人網站, 所以你們要加強的是個人工作站的防毒
如果公司沒有預算, 也不想增加預算來解決問題, 這也不關你的事, 你就做好你的資材工作, 電腦的問題, 就由貴公司的主管去處理, 再說遠端並不會讓主機中毒, 除非遠端連結了主機的硬碟

說實在的, 中和也是需要固定ip會更好, 然後兩個地區用 vpn 連結, 就完全不用遠端的方式, 我不知道為何你公司的erp廠商沒有這麼做

另外防火牆是跟誰買的, 就找誰處理, 如果是 erp公司賣的, 他們就有責任處理, 他們沒有幫你們做vpn 就是他們的問題, 要不要再收費, 由你們的主管出面處理, 你必須向有能力負責資訊這方面的主管請他處理, 一般是管理部, 但你公司應該不小, 如果請不起資訊人員, 可以找外包的硬體I廠商, 基本上先把工作責任分清楚比較重要, 你要記得, 你是資材, 不是資訊