Microsoft stopt met vooraankondiging beveiligingsupdates
Microsoft gaat na jaren stoppen met de vooraankondiging van beveiligingsupdates die op patchdinsdag zullen verschijnen. Al jaren lang publiceert Microsoft via de Advance Notification Service (ANS) en het eigen blog een overzicht van de updates die tijdens de patchdinsdag van de betreffende maand zullen verschijnen. Zo werd het aantal updates vermeld en de software waarvoor ze zouden verschijnen.
Zodoende konden systeembeheerders alvast rekening houden, hoewel specifieke details over de te patchen kwetsbaarheden niet werden vermeld. Deze vooraankondiging vond altijd plaats op de vrijdag voor de tweede dinsdag van elke maand. De softwaregigant laat weten dat het de ANS-informatie niet meer via het eigen blog en website beschikbaar maken. De informatie zal voortaan alleen voor "Premier" klanten beschikbaar zijn en organisaties die bij de securityprogramma's van Microsoft betrokken zijn.
Reden
Als reden geeft Microsoft dat veel grote organisaties ANS vanwege verbeterde test- en uitrolmogelijkheden niet meer gebruiken op de manier zoals ze dat vroeger deden. Daarnaast zouden de meeste klanten gewoon op patchdinsdag wachten of helemaal geen voorbereidende actie ondernemen en de updates gewoon volautomatisch laten installeren.
"Meer en meer klanten zoeken naar op maat gemaakte informatie voor hun organisaties. In plaats van ANS te gebruiken voor het plannen van de uitrol van beveiligingsupdates, kijken klanten steeds vaker naar tools als Microsoft Update en updatemanagementtools zoals Windows Server Update Service om de uitrol te organiseren", zegt Microsofts Chris Betz.
Consumenten en organisaties die toch nog informatie willen ontvangen worden doorverwezen naar MyBulletins, een gepersonaliseerde patchdienst waarbij gebruikers over een Microsoft-account moeten beschikken en kunnen aangeven welke Microsoft-software ze gebruiken. Vervolgens kan men een overzicht van beschikbare Security Bulletins bekijken. Het gaat hier echter om informatie die pas verschijnt als de beveiligingsupdates verschijnen. Er wordt geen informatie vooraf verstrekt.
[...]
Als reden geeft Microsoft dat veel grote organisaties ANS vanwege verbeterde test- en uitrolmogelijkheden niet meer gebruiken op de manier zoals ze dat vroeger deden. Daarnaast zouden de meeste klanten gewoon op patchdinsdag wachten of helemaal geen voorbereidende actie ondernemen en de updates gewoon volautomatisch laten installeren.
[...]
Consumenten en organisaties die toch nog informatie willen ontvangen worden doorverwezen naar MyBulletins, [...] Het gaat hier echter om informatie die pas verschijnt als de beveiligingsupdates verschijnen. Er wordt geen informatie vooraf verstrekt.
Argh..
Omdat 'veel' of 'de meeste' klanten de vooraankondigingen niet benutten, doekt Microsoft dat maar voor iedereen op? Wat een achterlijke motivatie van de besluitvorming.
En de MyBulletins zijn nauwelijks een alternatief voor de vooraankondigingen, gezien het feit dat die MyBulletins geen informatie bieden vóór het uitbrengen van de updates. Je moet dan wachten tot het moment van het uitbrengen van de updates, en dan de MyBulletins raadplegen, voordat je kennis kunt nemen van de updates.
Ik zie alvast één omstandigheid waarbij de nieuwe situatie hoogst vervelend is: de situatie waarin gebruikers een Microsoft Fix it oplossing hebben geïnstalleerd waarbij geadviseerd wordt die ongedaan te maken voor het installeren van de definitieve update. Nogal lastig wanneer je van te voren niet weet welke updates worden aangeboden. Dat zou het dan noodzakelijk maken bij het aanbieden van de updates eerst de MyBulletins te raadplegen om te zien welke updates worden aangeboden, en of wel of niet een toegepaste een Microsoft Fix it oplossing ongedaan gemaakt moet worden, voordat Windows Update uitgevoerd kan worden.
Wat een waanzin!
Nu weet je echter nog minder op voorhand en is het autoupdaten helemaal een gok.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
