"Worm-uitbraak toont noodzaak verplichte Windows updates"
De uitbraak van de Windows worm die zich via het inmiddels bekende Server service lek verspreidt, doet sommigen afvragen of Microsoft belangrijke updates gewoon niet verplicht moet kunnen installeren. Microsoft kondigde de update netjes aan, verspreidde die via de bekende kanalen en waarschuwde de afgelopen weken meer dan tien keer dat gebruikers toch echt MS08-067 moeten installeren. Het advies is aan dovemansoren gericht, want de Downadup worm heeft inmiddels meer dan een half miljoen machines besmet, zoals maandag duidelijk werd.
"Gebeurtenissen zoals dit laten je de vraag stellen of Microsoft niet in staat moet zijn om belangrijke updates automatische te installeren, ongeacht hoe men AutoUpdate heeft ingesteld", zegt Joel Hruska van Arstechnica. Het verplicht updaten zou alleen voor thuisgebruikers moeten gelden, omdat bedrijven updates meestal eerst testen voordat ze die uitrollen.
"Ik weet dat het verplicht updaten niet populair is, maar die instinctieve afkeer is zelf een belangrijk onderdeel van het probleem. Wanneer gaan de echte kosten van het bestrijden en opruimen van botnets en het verlies van productiviteit zwaarder wegen dan het collectieve verlangen om volledige controle te hebben over de manier waarop updates geïnstalleerd worden? Voor Microsoft is dat geen intellectueel vraagstuk, maar een echte zorg, hoe ga je het probleem oplossen dat wordt veroorzaakt door gebruikers die weigeren hun machines te updaten."
Men is wel in staat om met WGA een voor de gemiddelde gebruiker een hinderlijk nag screen te tonen die niet weg te krijgen is. Op dezelfde manier zo'n belangrijke update pushen zou dan ook een optie zijn.
Als de update verkeerd uitpakt op al die verschillend geconfigureerde machines zijn de rapen helemaal gaar en geeft MS support niet thuis.Nog beter had geweest deze bug zeven jaar geleden meteen te patchen daar men er al van wist. De reden zou zijn geweest dat alles helemaal over de kop moest. Ja hoor. Nu het lek bekend geworden was had men wel in een paar weken een patch klaar voor alle versies van Windows.
Vanwege het feit dat e.e.a. zonder login misbruikt kan worden doet mij eerder vermoeden dat er een backdoor gepatched is. Het kan ook zijn dat ik paranoïde ben natuurlijk.
Met de veiligheid in het achterhoofd is het begrijpelijk dat men hier aan denkt. Ook het imago van MS is een moeilijke. Laat je het zo doorgaan of dwing je een installatie af. In beide gevallen is het funest.
Jullie geven voorbeelden van manieren hoe het fout kan gaan. Maar een botnet van dergelijke grote is een gevaar voor het GEHELE internet!
Prioriteiten stellen.
Wellicht gewoon op de windows server machines geen auto update maar op de xp home edities wel.
Ik denk dat zoiets absoluut nodig is, want kijk al eens hoeveel systeembeheerders vergeten deze update te installeren!
Programmeer werk word nou eenmaal door mensen gedaan, en mensen maken fouten.
Als je het zelf zo goed kan, doe het dan ook...
Jullie geven voorbeelden van manieren hoe het fout kan gaan. Maar een botnet van dergelijke grote is een gevaar voor het GEHELE internet!
Prioriteiten stellen.
Wellicht gewoon op de windows server machines geen auto update maar op de xp home edities wel.
Ik denk dat zoiets absoluut nodig is, want kijk al eens hoeveel systeembeheerders vergeten deze update te installeren!
Ik vind het gewoon gevaarlijk. Er kunnen ook bedrijfs computers tussen zitten met custom software die helemaal crashen.
Bovendien, waar leg je de grens met geforceerde updates. MS kan straks op deze manier onder het mom van 'cyberterrorisme' alles wel forceren en systemen slopen, ben je dan gelukkig? Zoals gebleken uit het verleden (en nog steeds) is MS nou niet een bedrijf wat vertrouwen uitstraalt. De verantwoording ligt zowel bij de gebruiker als bij MS. De vrije hand geven is van een heel andere orde.
Systeembeheerders die de updates niet bijhouden moeten de naam systeembeheerder niet hebben, maar amateurs die zich voor systeembeheerder uitgeven en gewoon verwijderd worden uit het bedrijf.
Een onuitwisbaar nagscreen lijkt mij het beste om een installatie af te dwingen, met WGA kan het ook.
Very intrusive, non destructing.
Waarom moeten wij, geldige gebruikers, daar de dupe van worden? Updates pushen is a bad idea...
Als je gewoon op windows STANDAARD zet dat deze alle updates uitvoert, maar de mogelijkheid bied om dit UIT te zetten ben je al een heel eind in de goede richting volgens mij.
Daarmee schoon je het internet volgens mij behoorlijk op!
Als je gewoon op windows STANDAARD zet dat deze alle updates uitvoert, maar de mogelijkheid bied om dit UIT te zetten ben je al een heel eind in de goede richting volgens mij.
Daarmee schoon je het internet volgens mij behoorlijk op!
Standaard worden de updates uitgevoerd. het gaat in dit topic erover om MS dat te laten doen zonder dat de gebruiker vooraf een seintje krijgt. M.a.w. MS krijgt dan volledige controle over de systemen. Kun je niet lezen?
Als je illegaal Windows gebruikt ben je gewoon dom bezig.
En indien een organisatie tienduizenden systemen heeft waarop een update automatisch wordt geinstalleerd, waarop vervolgens blijkt dat er een conflict is met software op de systemen, of waarbij er blijkt dat de update een bug bevat, wie draait dan voor al die kosten op ? Ook het verplicht stellen van updates kan voor echte kosten zorgen, en voor verlies van productiviteit.
Ik vraag mij dan ook af wie Joel Hruska voor dergelijke schadewil laten opdraaien, en ook vraag ik mij af welke praktijk ervaring hij heeft m.b.t. het patchen van grootschalige enterprise omgevingen, gezien zijn kortzichtige reactie. ;)
Jammer dat er hier artikelen worden geplaatst geschreven door mensen die dit simpelweg niet snappen. Ik snap werkelijk niet welke waarde de mening van Joel Hruska heeft op een ICT Security website. Ook mis ik enige uitleg wie Hruska is, en over welke expertise hij zou beschikken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
