Archief
- De topics van lang geleden
Patchen onbegonnen werk zonder auto-update
Gisteren werd er massaal gewaarschuwd voor een ernstig lek in Winamp. Door het lek zou een aanvaller een kwetsbaar systeem kunnen overnemen als de gebruiker een kwaadaardig playlist bestand zou afspelen. Het komt regelmatig voor dat er in "third-party apps" lekken worden gevonden. Of het nu gaat om WinZip, WinRAR of RealPlayer. Veel van dit soort handige programma's zijn niet voorzien van een auto-update functie en waarschuwen niet als er een nieuwe versie of beveiligingslek is gevonden.
Gebruikers moeten dan ook actief advisories en waarschuwingen in de gaten houden om geen risico te lopen. De auto-update functie in Windows zorgt ervoor dat ook minder security bewuste gebruikers hun maandelijkse updates netjes binnenhalen. Rondvraag onder wat meer ervaren computergebruikers leert dat veel niet-Microsoft applicaties massaal vergeten worden, en dat zelfs security bewuste gebruikers vaak met oude en kwetsbare applicaties werken, alleen omdat het niet te doen is om alle aanwezige applicaties up-to-date te houden. Onze stelling luidt derhalve: Patchen onbegonnen werk zonder auto-update
Reacties (22)
Helemaal mee eens, ik denk dat het een goed idee is om
software-updates voor non-Microsoft software ook via Windows
update te doen, die staat toch bij redelijk wat machines aan..
software-updates voor non-Microsoft software ook via Windows
update te doen, die staat toch bij redelijk wat machines aan..
31-01-2006, 16:04 door
Walter
Afhankelijk van het aantal third-party applicaties is het
moeilijk tot onbegonnen werk inderdaad.
Iemand die alleen maar MS-windows programma's gebruikt en
helemaal geen third-party software heeft weinig tot geen
problemen met patchen. Dit zijn meestal alleen de mensen die
de PC gebruiken als veredelde tekstverwerker en www/mail
machine.
Voor mensen die meer power user zijn, en veel third paty
apps hebben geinstalleerd (Firefox, Realplayer, Adobe
software, Winamp, Quicktime, Opera, winzip, winrar, een FTP
client en ga zo maar door) hebben wel wat meer problemen met
alles up-to date te houden. Zeker omdat veelsoftware geen
update-mogelijkheid heeft.
Wel zijn er bijvoorbeeld mogelijkheden die bijvoorbeeld
Adobe heeft, om in de system tray een update-checker te
laten draaien, maar dit kost zowel internet bandbreedte als
recourses (weinig per stuk, maar als je er 10 hebt draaien
loopt het toch snel op).
Dat komt niet voor bij wat completere Linux distributies als
Debian, SuSE, Mandriva, Fedora enz. Daar is de mogelijkheid
om alle pakketten te laten updaten via de ingebouwde package
manager. Je bent wel enigszins afhankelijk van de
ontwikkelaars van de software en de distributie om de
updates te krijgen, maar die afhankelijkheid heb je bijna
altijd wel op een of andere manier.
moeilijk tot onbegonnen werk inderdaad.
Iemand die alleen maar MS-windows programma's gebruikt en
helemaal geen third-party software heeft weinig tot geen
problemen met patchen. Dit zijn meestal alleen de mensen die
de PC gebruiken als veredelde tekstverwerker en www/mail
machine.
Voor mensen die meer power user zijn, en veel third paty
apps hebben geinstalleerd (Firefox, Realplayer, Adobe
software, Winamp, Quicktime, Opera, winzip, winrar, een FTP
client en ga zo maar door) hebben wel wat meer problemen met
alles up-to date te houden. Zeker omdat veelsoftware geen
update-mogelijkheid heeft.
Wel zijn er bijvoorbeeld mogelijkheden die bijvoorbeeld
Adobe heeft, om in de system tray een update-checker te
laten draaien, maar dit kost zowel internet bandbreedte als
recourses (weinig per stuk, maar als je er 10 hebt draaien
loopt het toch snel op).
Dat komt niet voor bij wat completere Linux distributies als
Debian, SuSE, Mandriva, Fedora enz. Daar is de mogelijkheid
om alle pakketten te laten updaten via de ingebouwde package
manager. Je bent wel enigszins afhankelijk van de
ontwikkelaars van de software en de distributie om de
updates te krijgen, maar die afhankelijkheid heb je bijna
altijd wel op een of andere manier.
Ja, en soms is ook de (Windows) autoupdate niet betrouwbaar
genoeg! Ik had mijn laptop opnieuw geinstalleerd met XP, SP2
update erop, en alle andere updates gedaan.
Omdat wij een veiligheidsbedrijf zijn, gebruiken wij ook nog
wat tools van PivX, en hun scanner gaf aan dat niet alle
bekende (=gepubliceerde) gaten ook dicht waren. Heb ik
handmatig ook nog 4 patches moeten uitvoeren.
Blijkbaar is de "autoupdate" van MS niet voldoende specifiek!
genoeg! Ik had mijn laptop opnieuw geinstalleerd met XP, SP2
update erop, en alle andere updates gedaan.
Omdat wij een veiligheidsbedrijf zijn, gebruiken wij ook nog
wat tools van PivX, en hun scanner gaf aan dat niet alle
bekende (=gepubliceerde) gaten ook dicht waren. Heb ik
handmatig ook nog 4 patches moeten uitvoeren.
Blijkbaar is de "autoupdate" van MS niet voldoende specifiek!
Inderdaad gewoon Linux gebruiken. Bijna alle distributies hebben een
centrale package manager. Daar verschijnen de updates
automatisch en heb je het zo geinstalleerd.
Of iemand moet een keer het idee krijgen om een package
manager voor windows tegaan maken...
centrale package manager. Daar verschijnen de updates
automatisch en heb je het zo geinstalleerd.
Of iemand moet een keer het idee krijgen om een package
manager voor windows tegaan maken...
Heh, deels waar.
Waarom ? Nou MS heeft een broertje dood aan 3th party
software. Denk maar terug aan de remote-exploit op
backupexec (draait als SYSTEM of een admin account). MS is
hier niet verantwoordelijk voor. Maar laat wel een dijk van
een gat liggen. (http://www.metasploit.com en
http://www.millw0rm.com)
Zal ik nog wat zeggen over de 82 fixes van oracle deze maand ?
Yup, in dit geval ben je beter af met een linux distro ....
Waarom ? Nou MS heeft een broertje dood aan 3th party
software. Denk maar terug aan de remote-exploit op
backupexec (draait als SYSTEM of een admin account). MS is
hier niet verantwoordelijk voor. Maar laat wel een dijk van
een gat liggen. (http://www.metasploit.com en
http://www.millw0rm.com)
Zal ik nog wat zeggen over de 82 fixes van oracle deze maand ?
Yup, in dit geval ben je beter af met een linux distro ....
Is wel leuk om hier met linux distro's te gaan gooien, maar
zodra je iets custom compiled/installed moet je het ook zelf
gaan bij houden.
Hoevaak mensen met phpbb en dergelijke hier wel niet mee in
de mist gaan.
Ik mag dan ook regelmatig zelf een linux-fanboy zijn, maar
zodra je zelf een los programma installeert moet je er ook
zelf om denken, ongeacht het OS.
zodra je iets custom compiled/installed moet je het ook zelf
gaan bij houden.
Hoevaak mensen met phpbb en dergelijke hier wel niet mee in
de mist gaan.
Ik mag dan ook regelmatig zelf een linux-fanboy zijn, maar
zodra je zelf een los programma installeert moet je er ook
zelf om denken, ongeacht het OS.
01-02-2006, 08:45 door
Niels B.
Door meinonA
Inderdaad gewoon Linux gebruiken. Bijna alle distributies hebben een
centrale package manager. Daar verschijnen de updates
automatisch en heb je het zo geinstalleerd.
Of iemand moet een keer het idee krijgen om een package
manager voor windows tegaan maken...
wat dacht je van SMS van Microsoft (Microsoft System Management Server)Inderdaad gewoon Linux gebruiken. Bijna alle distributies hebben een
centrale package manager. Daar verschijnen de updates
automatisch en heb je het zo geinstalleerd.
Of iemand moet een keer het idee krijgen om een package
manager voor windows tegaan maken...
( http://www.microsoft.com/smserver/evaluation/capabilities/patch.mspx )
Je kan zelf bekijken op welk niveau qua patchlevel een pc zit, je kan zelf je
patches versturen naar welke pc('s) je dan ook wil... (binnen je domain) je kan ook third party patches versturen.. simple as 1,2,3... er is echter maar een probleempje, je gebruikers moeten wel administrator zijn van hun eigen pc.
Maar je kan wel uit de registry lezen welke software waar geïnstalleerd staat, dus je kan, na een query, bij wangedrag mensen op de vingers tikken...
Autoupdate kan alleen gebruikt worden als je zeker weet dat andere
processen niet door de update vastlopen of worden beinvloed. Voor
bedrijven en personen met complexe omgevingen moet je volgens mij
helaas updates blijven "managen" en zijn auto updates uit den boze !!
processen niet door de update vastlopen of worden beinvloed. Voor
bedrijven en personen met complexe omgevingen moet je volgens mij
helaas updates blijven "managen" en zijn auto updates uit den boze !!
Door Niels B.
er is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
hetgeen de hele boel in één klap onbruikbaar maakt.er is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
de jongens op systeembeheer (op een groot bedrijf en ik sta
er boven) staan de hele dag uit hun neus te vreten... ze
hebben een "opleiding" gedaan waar ze geen k*t van op hebben
gestoken, maar het bedrijf heeft ze ingehuurt... ik ontsla
er zo'n 2 per week!!! Ze zijn nog te lui om in hun 8-urige
werkdag even een paar updates te doen!!! Verder hebben ze
geen werk en als ze dat zouden hebben dan zijn ze er te lui
voor!!!
er boven) staan de hele dag uit hun neus te vreten... ze
hebben een "opleiding" gedaan waar ze geen k*t van op hebben
gestoken, maar het bedrijf heeft ze ingehuurt... ik ontsla
er zo'n 2 per week!!! Ze zijn nog te lui om in hun 8-urige
werkdag even een paar updates te doen!!! Verder hebben ze
geen werk en als ze dat zouden hebben dan zijn ze er te lui
voor!!!
Waarom zou zoiets nou weer via Microsoft (windows update) moeten
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
02-02-2006, 14:45 door
Niels B.
Door Anoniem
Waarom zou zoiets nou weer via Microsoft (windows update) moeten
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
http://consumer.installshield.com/about_um.asp werkt opzich ook wel Waarom zou zoiets nou weer via Microsoft (windows update) moeten
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
goed...
03-02-2006, 11:33 door
SirDice
Door Niels B.
er is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
Nu ben ik jaren NT beheerder geweest. Software distributieer is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
hebben we altijd met SMS gedaan en er was geen enkele
gebruiker administrator... Volgens mij doe je iets niet goed?
03-02-2006, 12:42 door
Niels B.
Door SirDice
hebben we altijd met SMS gedaan en er was geen enkele
gebruiker administrator... Volgens mij doe je iets niet goed?
hoe wil jij dan iets installeren zonder installatie rechten?Door Niels B.
er is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
Nu ben ik jaren NT beheerder geweest. Software distributieer is echter maar een probleempje, je gebruikers moeten wel
administrator zijn van hun eigen pc.
hebben we altijd met SMS gedaan en er was geen enkele
gebruiker administrator... Volgens mij doe je iets niet goed?
03-02-2006, 13:02 door
bustersnyvel
Volgens mij is het ook van belang dat in Windows files die
geopend zijn niet overschreven/vervangen kunnen worden. Dat
betekent dat software eerst uitgezet moet worden, voordat er
een update plaats vindt. Op Linux is het mogelijk draaiende
software te updaten. Dan kan je ná het doorvoeren van de
update de software restarten, wat de availability van die
software zeker ten goede komt.
geopend zijn niet overschreven/vervangen kunnen worden. Dat
betekent dat software eerst uitgezet moet worden, voordat er
een update plaats vindt. Op Linux is het mogelijk draaiende
software te updaten. Dan kan je ná het doorvoeren van de
update de software restarten, wat de availability van die
software zeker ten goede komt.
03-02-2006, 13:47 door
SirDice
Die gebruiker installeert zelf niets.. Dat doet een SMS
service op de achtergrond. Die draait wel op een account met
admin rechten..Het is alweer een tijd geleden maar ik zou
even voor je kunnen zoeken hoe het exact ging..
service op de achtergrond. Die draait wel op een account met
admin rechten..Het is alweer een tijd geleden maar ik zou
even voor je kunnen zoeken hoe het exact ging..
03-02-2006, 13:49 door
SirDice
Door bustersnyvel
Op Linux is het mogelijk draaiende software te updaten.
Mogelijk maar zeker niet aan te raden..Op Linux is het mogelijk draaiende software te updaten.
03-02-2006, 14:52 door
SirDice
Niels B: Uit
[url=http://www.microsoft.com/technet/prodtechnol/sms/sms2/depopt/erdepoxp.mspx]Deploying
Microsoft OfficeXP with SMS2.0 to a Locked-Down Computer
Running WindowsNT 4.0 Workstation[/url]:
[url=http://www.microsoft.com/technet/prodtechnol/sms/sms2/depopt/erdepoxp.mspx]Deploying
Microsoft OfficeXP with SMS2.0 to a Locked-Down Computer
Running WindowsNT 4.0 Workstation[/url]:
Discusses how to perform a silent installation of Microsoft Office XP on a locked-down computer that is running Windows NT 4.0 Workstation by using SMS version 2.0.
Locked-down
A computer that is being operated by, or is logged into, by a user account or process that does not have full administrator rights or permissions.
Oud, ik weet 't. Maar ik durf m'n hand in het vuur te steken dat het met de nieuwe SMS ook kan..A computer that is being operated by, or is logged into, by a user account or process that does not have full administrator rights or permissions.
Draaiende software updaten met een nieuwe versie is onder
linux zeerwel mogelijk en word ook door diverse distributies
vol-automatisch mogelijk gemaakt bij het updaten van de
software. Het updaten van een applicatie naar een andere
'major release' word uiteraard afgevangen, maar een simpele
'security fix' die voor de rest geen vreemde nieuwe
config/libs/etc behoeft gaat eigenlijk gewoon probleemloos.
Om dergelijke zaken te kunnen regelen is er een fijnmazig
'dependency' systeem dat bijgehouden word door de
package-management systemen van de div. distro's. Omdat de
_makers_ van de distro de voor hun distro specifieke
packages/updates maken is het redelijk eenvoudig voor hun om
te bepalen 'wat er nodig is'. Een package-management systeem
voor 'third-party' software zou er baat bij hebben om
geschreven/onderhouden te worden door de maker van de
'distro' die je gebruikt; voor windows is dat dus Microsoft
en het zou een verstandige set zijn om het binnen een
Windows-Update-achtige omgeving te integreren; wellicht met
verschil in prioriteit/etc. Maarja, commerciele belangen
zullen dat wellicht in de weg gaan zitten, dus is er nog
geen gecentraliseerde oplossing gemaakt die iedere developer
zou kunnen gebruiken voor het distribueren van hun updates
(onder windows).
Verder wellicht ten overvloede: SMS is handig voor het
uitrollen van updates over een hele set computers in het
beheer van 1 partij; niet handig voor de argeloze
thuisgebruiker die door een fout in een stuk veelgebruikte
software ineens een SPAM-robot word voor een stel koreanen,
of erger.
Nog verder: de opmerking dat 'als je zelf iets compileert je
het zelf zal moeten onderhouden' geldt in dezelfde mate voor
Windows-software, uiteraard. Er is slechts zelden noodzaak
onder linux om iets zelf te gaan compileren; distro's zijn
met hun aanbod van duizenden packages meer dan overcompleet
te noemen. Bieden hun het niet aan dan is er altijd wel
iemand die een pre-compiled binary hebben voor je. Als je
iets compileert onder Windows zul je ook lang moeten zoeken
naar een updater die dat voor je bijhoudt/update ;)
linux zeerwel mogelijk en word ook door diverse distributies
vol-automatisch mogelijk gemaakt bij het updaten van de
software. Het updaten van een applicatie naar een andere
'major release' word uiteraard afgevangen, maar een simpele
'security fix' die voor de rest geen vreemde nieuwe
config/libs/etc behoeft gaat eigenlijk gewoon probleemloos.
Om dergelijke zaken te kunnen regelen is er een fijnmazig
'dependency' systeem dat bijgehouden word door de
package-management systemen van de div. distro's. Omdat de
_makers_ van de distro de voor hun distro specifieke
packages/updates maken is het redelijk eenvoudig voor hun om
te bepalen 'wat er nodig is'. Een package-management systeem
voor 'third-party' software zou er baat bij hebben om
geschreven/onderhouden te worden door de maker van de
'distro' die je gebruikt; voor windows is dat dus Microsoft
en het zou een verstandige set zijn om het binnen een
Windows-Update-achtige omgeving te integreren; wellicht met
verschil in prioriteit/etc. Maarja, commerciele belangen
zullen dat wellicht in de weg gaan zitten, dus is er nog
geen gecentraliseerde oplossing gemaakt die iedere developer
zou kunnen gebruiken voor het distribueren van hun updates
(onder windows).
Verder wellicht ten overvloede: SMS is handig voor het
uitrollen van updates over een hele set computers in het
beheer van 1 partij; niet handig voor de argeloze
thuisgebruiker die door een fout in een stuk veelgebruikte
software ineens een SPAM-robot word voor een stel koreanen,
of erger.
Nog verder: de opmerking dat 'als je zelf iets compileert je
het zelf zal moeten onderhouden' geldt in dezelfde mate voor
Windows-software, uiteraard. Er is slechts zelden noodzaak
onder linux om iets zelf te gaan compileren; distro's zijn
met hun aanbod van duizenden packages meer dan overcompleet
te noemen. Bieden hun het niet aan dan is er altijd wel
iemand die een pre-compiled binary hebben voor je. Als je
iets compileert onder Windows zul je ook lang moeten zoeken
naar een updater die dat voor je bijhoudt/update ;)
Waarom zou zoiets nou weer via Microsoft (windows update) moeten
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
lopen?
Het is toch veel mooier als iemand een programmaatje schijft dat voor een
aantal veelgebruikte applicaties kijkt of ze op een pc geinstalleerd zijn, per
geinstalleerde applicatie kijkt of ie up to date is en zonodig de update
ophaalt en installeert? Een soort Hitman Pro voor updates, zeg maar.
En dan kan je zelf nog beslissen of je hem scheduled of alleen handmatig
opstart...
Door Anoniem
de jongens op systeembeheer (op een groot bedrijf en ik sta
er boven) staan de hele dag uit hun neus te vreten... ze
hebben een "opleiding" gedaan waar ze geen k*t van op hebben
gestoken, maar het bedrijf heeft ze ingehuurt... ik ontsla
er zo'n 2 per week!!! Ze zijn nog te lui om in hun 8-urige
werkdag even een paar updates te doen!!! Verder hebben ze
geen werk en als ze dat zouden hebben dan zijn ze er te lui
voor!!!
he kerel en ik zoek echt werk allen word dit verziekt door zulke eikelsde jongens op systeembeheer (op een groot bedrijf en ik sta
er boven) staan de hele dag uit hun neus te vreten... ze
hebben een "opleiding" gedaan waar ze geen k*t van op hebben
gestoken, maar het bedrijf heeft ze ingehuurt... ik ontsla
er zo'n 2 per week!!! Ze zijn nog te lui om in hun 8-urige
werkdag even een paar updates te doen!!! Verder hebben ze
geen werk en als ze dat zouden hebben dan zijn ze er te lui
voor!!!
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
