In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.

Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.

Deze week de Security Tip van Danny Batenburg

'Updates; gratis en net zo belangrijk als antivirus'
Software is nooit klaar. Gelukkig krijgen we als gebruikers altijd de laatste versie gratis, namelijk de update. Door het uitvoeren van updates verzeker je jezelf ook van een veiliger systeem. Updates worden door de softwarefabrikant uitgebracht om bijvoorbeeld nieuwe features te introduceren, maar ook om kwetsbaarheden te patchen omdat er exploits bekend zijn. Wanneer deze exploits bekend zijn, dan zitten ze in elk exploit pakket zoals bijvoorbeeld Metasploit.

Het is dan een wereldwijd bekende kwetsbaarheid geworden en die wordt ingezet bij het grootste deel van de aanvallen op systemen. Het niet updaten van je software maakt je kwetsbaar voor deze exploits, waardoor je een eenvoudig doelwit wordt voor cybercriminelen. Het laten vastlopen van systeembronnen, het verkrijgen van toegang tot jouw persoonlijke bestanden, bestandengegevens infecteren of zelfs het opnieuw formatteren van de harde schijf, zijn een handjevol mogelijkheden voor de cybercrimineel wanneer hij een kwetsbaarheid in jouw systeem heeft gevonden.

Het is ook mogelijk dat er zero-day exploits zijn, waar nog geen update voor is. Dan is beveiligingssoftware natuurlijk een preventie methode.
Met een update krijg je de laatste software gratis en het is net zo belangrijk als antivirus. Regelmatig updaten is dus een belangrijke stap naar veilig computergebruik.

Ben je benieuwd wat er veranderd is na een software update, dan kan dit worden teruggevonden in de changelog van de update. Hoe kun je eenvoudig updates laten uitvoeren? Laten we beginnen met het updaten van Windows.

Windows updates staan bekend om de langdurige installaties en worden daarom vaak uitgesteld of helemaal niet gedaan. Toch is het van wezenlijk belang om je besturingssysteem bij te werken. In Windows 7, Vista en zelfs XP hebben we de keuze uit een aantal manieren van updaten, te vinden in het configuratiescherm onder Windows Update 'instellingen wijzigen'.

• De eerste optie neemt al het werk uit de handen van de gebruiker. Nieuwe updates worden automatisch opgehaald en elke dag op een vast tijdstip geïnstalleerd. Het nadeel is wel dat het systeem bij het afsluiten of de volgende keer opstarten tijd nodig kan hebben om installaties af te ronden.
  
• De tweede optie is prettig voor de wat meer ervaren computergebruiker. Alle updates worden automatisch gedownload en klaargezet, maar de gebruiker bepaald welke updates wanneer geïnstalleerd worden. Dit voorkomt onverwacht lange opstarttijden, maar vereist wel enige discipline van de gebruiker.
  
• Hetzelfde als optie 2, met als verschil dat er niets automatisch word gedownload. Tenzij er een reden is om zuinig met het dataverkeer om te gaan is dit niet aan te raden, simpelweg omdat het update proces langer duurt.
  
• Tot slot kan je kiezen om in het geheel niet naar updates te zoeken, iets wat af te raden is.

Java is minstens zo belangrijk als de Windows systeemupdates omdat het dé grootste aanvalsvector voor drive-by malware is.

Het feit dat Java zo populair is (en dus bijna elk systeem het heeft) maakt het een geliefd doelwit. En dat is waar het allemaal fout gaat. Zo goed als Java is in het overbruggen van platformen, zo slecht is de beveiliging. Keer op keer worden er nieuwe zwakheden in de software gevonden waarmee de veiligheid van systemen ernstig gecompromitteerd wordt: men is in staat via exploits in de JVM systemen direct te infecteren met malware met alle gevolgen van dien: gigantische groepen gebruikers met kwetsbare systemen.

Het is verstandig te kijken of je Java überhaupt nodig hebt. Vaak komt het in de eerste plaats op computers omdat een website of een software er in een grijs verleden ooit om gevraagd heeft. De kans is groot dat je het allang niet meer gebruikt. In dat geval is de veiligste optie Java simpelweg te verwijderen. Als je het toch nodig hebt is het heel verstandig om alle oude versies te verwijderen, de meest recente versie te installeren en twee aanpassingen te maken bij de instellingen. Ga hiervoor naar configuratiescherm > Java.

1. via update > advanced instellen; dat er dagelijks op updates wordt gecontroleerd en deze automatisch worden geïnstalleerd.
   
2. de security settings aan te passen. Als er alleen lokaal geïnstalleerde Java applicaties worden gebruikt, is het niet nodig om Java content in de browser te ondersteunen. Mocht dit toch een vereiste zijn zet dan het veiligheidsniveau op de hoogste stand.

Adobe Flash is een volledig mediaplatform. Talloze sites gebruiken het voor animaties, video, audio en interactie met de gebruiker. Surfen zonder Flash is onhandig, veel acties zelfs onmogelijk. Kortom, van Flash kom je niet af. Een kijkje op de lijst met security fixes van de software laat echter geen ruimte voor twijfel. Ook met dit pakket is het extreem belangrijk dat je de meest recente versie gebruikt.

Als je Internet Explorer of Firefox gebruikt, moet Adobe Flash handmatig worden geïnstalleerd. Kijk op deze pagina (een link naar je eigen systeem) om te zien hoe vaak er bij jou op updates worden gecontroleerd.

Een andere optie is overstappen naar Google Chrome. De Chrome browser biedt geïntegreerde ondersteuning voor Adobe Flash. Dat heeft 2 voordelen: ten eerste hoeft Flash niet meer direct op Windows geïnstalleerd te worden. Dit maakt het lastiger voor malware om bugs in Flash te misbruiken. Maar belangrijker is dat browserupdates updates direct via Google Chrome meekomen en automatisch worden geïnstalleerd.

Danny Batenburg is Security Consultant bij SpicyLemon

Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.

Update: typo in titel aangepast