Как нормально защитить 2008 сервер???

Господа, доброе время суток.
У меня возникла серьёзная проблема. Поставил на свою голову Windows Server 2008. Переустанавливать сейчас нету времени, конец года, сами понимаете. Как антивирь на нём используется Симантек 11. Всё было бы хорошо, если бы он время от времени не начинал блочить все доступы к расшаренным папкам на сервере. Все необходимые разрешения для этого у меня установлены. Доступ прерывается периодически. Не помогает даже полное отключения антивиря. Спасает только перезагрузка сервера. Но это ни разу не выход. Прошу совета у более опытных товарищей, или если такие темы уже поднимались--ссылочку если можно, потому как я возможно эту тему пропустил.
Заранее благодарю.

А от чего его защищать то ? Как я понимаю, W2K8 работает в роли файлсервера ? Если это так, ну положит скажем юзер X в доступную ему папку на сервере злобный вирус, и что из того ? Он там и будет лежать ... можно для надежности позапрещать политиками на самом сервере запуск чего-либо из расшаренных папок. Если на ПК юзеров стоит антивирус, то антивирус на файл сервере штука хорошая, но не очень актуальная. Плюс можно поставить на сам сервер специальный серверный вариант антивируса другого вендора.

Рекомендации от самого Симантека:
[url]http://service1.symantec.com/SUPPORT/ent-security.nsf/docid/2007102613484948[/url]

потдерживаю пост №2, ну нафига на сервере установленный антивирус, особо такой как симантек... (хотя на фкус и цвет...) но на сервере...:huh:глупость.
серверу плевать что у него хранится, для защиты сервера достаточно правильно настроеного забора (файрвола) и своевременного аудита (ну логи настроить, и читать их своевременно это наперво)

ЗЫ у мну дрвэб сканер по ночам пробегает папочки на сервере и все подозрительное сливает в карантин, потом прихожу и разбираюсь., а установка самого антивиря на сервер это зло.
ЗЫЗЫ да и вообще использование нетбиос (расшареные папки) это дыра в безопасности! факт и неоспоримый (фтп уже давно изобрели), хотя каюсь сам пользую, ну влом ограниченный круг пользователей переучивать на другие принципы пользования информации.

Спасибо за совет. Но вот объяснять 23 летним девочкам с гумунитарным образованием как работать с фтп--это действительно гиблое дело... Если приходиться объяснять каждый раз заново каждой как на принтере по сети печатать, если тот который рядом занят.
А по поводу стенок--какая к 2008 дружелюбная в принципе?

2008 пока не пробовал, (но боюсь придется на днях), а в 2003 у меня [URL="http://wipfw.sourceforge.net/doc-ru.html"]WIPFW[/URL] на ура справляется, а контроль компонентов, и слежение за приложениями в топку, на сервере нафиг не нужны, по той же причине по какой и антивирусы, в режиме монитора (т.к. на сервере по определению, не должно быть левого софта, и активных залогиненых локально пользователей!)

[quote=Fantom-Alex;323398]
А по поводу стенок--какая к 2008 дружелюбная в принципе?[/quote]
Нужно понимать, что "сервере - это сервер". Т.е. там никто не должен работать как юзер (тем более ползать по Инет), ничего не должно инсталлиться и удаляться ... там раз в 1-3 месяца должен появляться админ или техник с пылевыдувалкой - выдуть пыль и помотреть, вертятся ли вентиляторы. Плюс удаленный контроль админа в плане просмотра системных логов. И будет такой сервер работать долго и счастливо ... а если начать превращать его в персоналку, ставить на него Firewall и антивирусы и т.п., будет ему кирдык :)
Вот поэтому в идеале никакого Firewall там быть не должно. Берем циску, ставим ее на границе сети, пишем правила - кого надо выпускать, никого не пускать, адреса натить. И готово ... если нет денег на циску - не беда, берем дохлую машинку, поднимаем на ней что-то из UNIX (как правило Linux или FreeBSD), настраиваем IPTables (что само по себе тривиально - простейший конфиг размером меньше листа), плюс поднимаем там-же проксика. В случае с проксиком конфиг IPTables прост - никого из ЛВС в Инет не пускать (и соответственно наоборот), все юзеры ходят через прокси. И все - проблемы снимаются до тех пор, пока эта машинка не сгорит... Промежуточный вариант - купить готовый офисный аппаратный firewall/роутер. На самом деле это будет дохлый одноплатный ПК с несколькими сетевыми интерфейсами и тем-же Linux на борту, отягощенный созданной его разработчиком WEB оболочкой для конфигурирования.

Уважаемый Зайцев Олег, я всё понимаю. Но беда в том, что в *nix системах пока не совсем силён. Да фряха у меня сейчас в процессе изучения как раз для этих целей, но пока фряху вменяемо не освою на отдельной машинке--на сервер я её ставить ни в коем случае не буду сами знаете почему. Циска--вариант хороший, работать с ними умею, но как объяснить начальству, особенно сейчас в период кризиса, что нам надо покупать какую-то шайтан-машинку за большие деньги, "если с нета можно накачать всяких защит, оттуда вообще всё что угодно можно скачать" по его словам. На циску я его уже пытался уговорить. Результат беседы приведён.
Ещё раз благодарю за оказанную помощь.

[QUOTE=Fantom-Alex;323540]... Но беда в том, что в *nix системах пока не совсем силён. Да фряха у меня сейчас в процессе изучения как раз для этих целей, но пока фряху вменяемо не освою на отдельной машинке--на сервер я её ставить ни в коем случае не буду сами знаете почему. ...оттуда вообще всё что угодно можно скачать" по его словам. .[/QUOTE]

ну и ставь "виртуалку" типа VMware, подымай на ней сервак, и тести хоть тот же wipfw (кстати как раз подготовишся к изменению
"в *nix системах пока не совсем силён." он как раз оттудова.
),а как отладиш все алгоритмы и способы защиты и настройки, так и применяй их на живом сервере.
(зы у мну на 2 компах в виртуалке целая инфраструктура из около 12 станций поднята, с разными операционками и т.д. очень удобно отлаживать те же файрволы, да впн. сервер:wink_3:)

Winroute, wingate по поводу стенок.