Schutz eines Firmennetzwerkes vor DAUs

Ein Freund von mir ist hobbymässiger Admin in der Firma seines Vaters.
Es vergeht kaum ein Monat, in dem sie nicht von Viren geplagt werden. Auslöser sind meines Erachtens die Angestellten, die holladoro jedes Mail Attachment und jegliche Dateien aus dem Internet ausführen.
Da er sich mit der Materie aber weniger auskennt, und ich auch nur begrenzt, zerbrech ich mir den Kopf, wie man deren Netzwerk vor den Aktionen der DAUs etwas schützen kann.
Betriebssysteme sind - nona Windowse. Gewisse Dateien werden auf einem Unix-Server abgelegt, natürlich schön verbunden mit der Netzwerk-Freigabe, d.h. Zugriff durch den Windows-Explorer, d.h. diese Dateien werden zentral infiziert.
Dem Unix-Server ist es natürlich wurscht, nur die Clients werden laufend neu infiziert. Sie haben zwar eine Virensoftware laufen (F-Secure für Netzwerk), nur wird dessen Können von den laufenden Neuinfektionen überfordert.
Darum meine Frage:
Welche Aktionen (sei es Software oder auch erzieherischer Natur kann man setzen, um das Problem zumindest einzudämmen).

Ich hab mir einige Gedanken darüber gemacht:
Outlook Express kicken und durch einen anderen E-Mail-Client ersetzen.
Auf jedem Client (sollte dies nicht schon geschehen sein) ein Antivirus-Proggi.
Maybe auch eine Firewall, die die Ausführung gefährlicher Attachements verhindert, die Attachements in Quarantäne setzt.

Was weiter gehen würde:
Eine Linux-Firewall (anstatt des Hardware-Routers), welcher einkommende E-Mails ausfiltert. Gibt es fertige Linux-Pakete dafür, die wennmöglich gratis bis günstig sind?

Bin auf eure Anregungen neugierig

Thanx

Also ich hätte da ein paar Lösungsvorschläge:
1. Profiadmin anheuern

2. Wir haben auf der Uni einen eigenen (Linux-)Server für die Studenten (Webserver, Mail, ...). Auf diesem Server rennt eine Antivirensoftware, die automatisch jedes Mail checkt und bei einer Infektion eine entsprechende Warnung schickt, statt der ursprünglichen Mail. Welche Software das jetzt genau ist kann ich leider nicht sagen, hab schon länger keinen Virus mehr geschickt bekommen.

3. Trennung von E-Mail/Internet und firmeninternem Netzwerk. Je nach Größe der Firma und Bedarf an Internetzugriff z.B. pro Büroraum ein Compi mit Internetanschluß aber ohne Verbindung zum LAN. Attachments werden dann auf diesen "unsicheren" Computern zuerst gescannt und dann auf ein Speichermedium (Zip, PD, DVD-RAM) gespeichert. Ist zwar etwas komplizierter in der Handhabung, dafür aber relativ sicher (auch gegen Hacker).

1. dausichere und halbwegs sichere fw => http://www.smoothwall.com
2. mailserver aufsetzten (der sollte nicht auf der fw laufen)
3. am mailserver alle mail nach viren scannen und gleich mal alles was ne bestimmte endung hat nach /dev/null kopieren (mp3, mov, mpg, vbs, bat, exe,...)

ich würde es von ner firma machen lassen, da dein bekannter keine ahnung von linux usw hat. kostet zwar was, ist aber weit günstiger als das was jetzt läuft.

Ich benutz auch Smoothwall, vorrangiges Ziel ist aber nicht das Aufsetzen einer Firewall, sondern eines Rechners, der die E-Mails prüft.
Gibt es so ein Linux-Package nicht? Es muss nicht unbedingt eine Virensoftware beinhalten, sondern einfach nur die Möglichkeit, Attachements, die .exe oder .vbs usw. nach /dev/null ins Nirvana schickt.

@xdfk
Als OS wird, der Situation entsprechend, Windows 98 benutzt.

Und wenn ich von DAUs spreche, dann meine ich auch DAUs. Jeder Client im Netzwerk besitzt eine E-Mail-Adresse, und die ist natürlich im WAN.
Und dies umzumodeln ist unmöglich, weniger technisch, sondern es ist nahezu unmöglich, allen Angestellten die Neuerungen beizubringen

Abgesehen davon, welche E-Mail-Server gibt es, die dies ermöglichen, ohne die E-Mail-Adressen im Netzwerk zu verändern (wie gesagt, es sind keine lokalen Accounts, sondern sie liegen im WAN). Über Sinn oder Unsinn zu diskutieren ist zwecklos, ich hätte es natürlich anders gemacht, aber bitte.

Darum hätte ich ja eine Lösung favorisiert, die auf einem Standalone-Rechner realisiert wird. Der sollte einfach die E-Mails checken, die über das Internet ins Netzwerk laufen, und einfach Attachements gen /dev/null befördern, ohne die E-Mail Adressen zu verändern.

Bin für erneute Vorschläge dankbar, aber bitte nicht solche, die das komplette Netzwerk in Frage stellen. Es gibt Sachen, die sind einfach so, auch wenn sie vollkommen kompliziert, unpraktisch und sicherheitstechnisch zweifelhaft sind

Danke trotzdem

@xdfk
Nach meinen Schilderungen sollte es bereits klar sein, dass kein E-Mail-Server benutzt wird. Warum denn auch, wenn es so auch geht

wenns nur offcie worken muessen und ein bissl fileaustauschen or what ever hau linux drauf mit staroffice
dann gibt keine viren probs mehr

na dann hast eh kein problem
holst du dir über deinen eigenen mailserver die mails vom provider. scan sie und stell auf allen clients ein dass sie die emails vom internen server bekommen.
fertig problem gelöst patient tot.

Zitat

Nach meinen Schilderungen sollte es bereits klar sein, dass kein E-Mail-Server benutzt wird. Warum denn auch, wenn es so auch geht

dann ist das aber absoluter blödsinn was du da geschrieben hast. oder waren deswegen die smileys dabei? bist der meister der verwirrung schaut aus.

Zitat von xdfk

dann ist das aber absoluter blödsinn was du da geschrieben hast. oder waren deswegen die smileys dabei? bist der meister der verwirrung schaut aus.

Dass ein Mailserver fürs Mailen nötig ist ist logisch, ich hab nur geglaubt, du meinst immer einen lokalen Mailserver.

Die Accounts liegen beim Provider.

Zitat

Nach meinen Schilderungen sollte es bereits klar sein, dass kein E-Mail-Server benutzt wird. Warum denn auch, wenn es so auch geht

Ich wollte nur zum Ausdruck bringen, dass in diesem Netzwerk nix so ist, wie es sein sollte - deswegen auch die rolleyes.

(Sollte keinesfalls ein Seitenhieb auf dich sein

k?