"Vanwege de infectie hebben de ziekenhuizen besloten om allerlei systemen uit te schakelen, waaronder het telefoonsysteem, en afdelingen te sluiten. Daardoor is het niet mogelijk om nieuwe afspraken te maken en moet het personeel met pen en papier werken. Ook kunnen ziekenhuizen niet meer worden gebeld. Andere ziekenhuizen vroegen patiënten om alleen nog in noodgevallen langs te komen."

De straffen op computermisdrijven tegen zorginstellingen zouden wat mij betreft een factor 4 maal hoger moeten liggen dan voor misdrijven in het algemeen. Totaal onscrupuleus is het zieke tuig dat misdrijven pleegt die de voortgang van zorg lamlegt of bedreigt, net als het schorem dat spoedeisende diensten zoals ambulancepersoneel, brandweer en politie dwarsboomd/bedreigd.

Beter leren quoten en minder selectief lezen

Vergeten

Daar komt nog bij dat de ziekenhuizen kunnen weten dat deze rotzooi er is (voorbeelden genoeg) en het beveiligen van hun systemen de allerhoogste prioriteit zou moeten hebben.
Is het budget daarvoor ontoereikend dan zou de eigen regering wellicht geen geld moeten verspillen aan populistisch gekakel en totaal doorgeschoten massasurveillance van de eigen burgers maar echte en noodzakelijke prioriteit geven aan de veiligheid van haar burgers.

Dat gebeurt niet echt is de indruk.
De indruk is dat er vooral heel veel wordt gepraat over cyberwar en cybersecurity en gelobbyt voor meer budget, helaas wordt het alleen met bakken verspild en tegen de eigen burgers ingezet in plaats van ten behoeve van de eigen burgers.
Hier vermoedelijk hetzelfde verhaal.

Je weet dat het misbruik er is en je weet dat je eigen technische rattentools uiteindelijk op straat komen te liggen en tegen je gebruikt worden.
Als dat moment gekomen is moet je niet meer klagen.

Helaas is de burger uiteindelijk altijd de pineut.
Daarom moeten budgetten voor geheime diensten sterk omlaag en niet omhoog.

Oh zeker maar de ziekenhuizen moeten dan ook zorgen dat hun beveiliging in de basis op orde is. Daar lijkt mij het nodige aan te schorten gezien de impact die een reeds bekend exploit heeft.

Schoolmeester, 18:25 uur: kletst over lekken, beveiligingen, NSA, eternal blue exploits, SMB's, Cyberwars, Cybersecurity, etc. en mist tot in het zenith de kern van mijn betoog!
Aan de totaal zinloze opmerking 'beter leren quoten' ga ik al totaal geen relevante aandacht besteden.
Slechts: Hoe zou ik beter gequote moeten hebben dan cmd-copy/paste uit het redactionele onderwerp?

Speciaal voor de schoolmeester van 18:25 uur zal ik het nog een keer herhalen (cmd-copy/paste)
noot: andere lezers met een sociaal/emotief breder bevattingsvermogen kunnen de volgende alinea overslaan.

De straffen op computermisdrijven tegen zorginstellingen zouden wat mij betreft een factor 4 maal hoger moeten liggen dan voor misdrijven in het algemeen. Totaal onscrupuleus is het zieke tuig dat misdrijven pleegt die de voortgang van zorg lamlegt of bedreigt, net als het schorem dat spoedeisende diensten zoals ambulancepersoneel, brandweer en politie dwarsboomd/bedreigd.

Al het andere wat de schoolmeester 18:25 uur eromheen fantaseert raakt mijn betoog geen zier, geen komma, geen punt. (period)

Als ze Linux als client hadden (en geen Windows) was dit inderdaad niet gebeurd.

En wat blijkt weer eens:

A patch for the vulnerability was released by Microsoft in March, but many systems may not have had the update installed.

Dus wederom nemen mensen het niet zo nauw met updates totdat ze getroffen worden en dan is het huilen.
Dus laten we hopen dat iedereen de patch geinstalleerd heeft anders komt dit scherm tevoorschijn.

Inmiddels wordt er wereldwijd gewaarschuwd voor deze aanval.

Dit is een massale aanval die wereldwijd plaatsvindt:
https://www.rtlnieuws.nl/technieuws/gigantische-ransomware-aanval-gijzelt-computers-wereldwijd
Een gigantische ransomware-aanval gijzelt in een rap tempo Windows-computers wereldwijd. De infectie verspreidt zich automatisch en er lijkt vooralsnog geen einde aan te komen. Ook in Nederland worden computers gegijzeld.

De criminelen achter de WanaCrypt0r-ransomware vragen 300 dollar losgeld in bitcoin. Als het slachtoffer niet binnen drie dagen betaalt worden alle bestanden op de computer gewist

http://www.bbc.com/news/technology-39901382
A massive ransomware campaign appears to have infected a number of organisations around the world.

Computers in thousands of locations have apparently been locked by a program that demands $300 (£230) in Bitcoin.
There have been reports of infections in as many as 74 countries, including the UK, US, China, Russia, Spain, Italy and Taiwan.

Many security researchers are linking the incidents together.

Het is juist de NSA die zich wat verantwoordelijker zou moeten gedragen: https://www.forbes.com/sites/thomasbrewster/2017/05/12/nsa-exploit-used-by-wannacry-ransomware-in-global-explosion/#2c96704de599

Er schijnen vandaag inmiddels al in 74 landen aanvallennwaargenomen te zijn: http://www.bbc.com/news/technology-39901382

Net snel nog even mcafee ePO geconfigureerd, dat de file extensie niet gemaakt kan en mag worden. De MS patch zou overal actief moeten zijn, maar neem geen risico.

Waarom wordt de grote gelegenheidsverschaffer Microsoft niet aangepakt? Waarom wordt er niet gecommuniceerd dat het om Windows computers gaat. Is namelijk zeer relevant voor toekomstige aankopen.

Mij best geen probleem die hogere straffen.
Gaarne ook doortrekken naar de bestuurders van die zorginstellingen die wel uitstekend hun eigen zakken vullen maar niets over hebben dan wel iets snappen van een gef eed gen ict inrichting.. Het verhaal is al een maand bekend en Patches zijn ef maar er is geen actie op ondernomen. Hoe zouden ze reageren als een mrsa stam ontdekt wordt.

Kun je aangeven hoe je dat doet ThaCleaner?

Volg hier de infecties:

https://intel.malwaretech.com/botnet/wcrypt

Sommige systemen kan men niet updaten omdat deze gekoppeld zijn aan apparatuur beheerd door de leverancier. Deze worden meestal in speciale vlans geplaatst zodat ze internet loos zijn. Echter verspreid dit viri over het lan dus ook dat is een bedreiging.

Daar is zeker ook iets voor te zeggen, maar als oud-werknemer van de gezondheidszorg kan ik me niet voorstellen omdat ik de mentaliteit 'in-crowd' ken dat er - hoe loederig zulke potentiële zakkenvullers ook zouden kunnen zijn - mensen in de gezondheidszorg werkzaam zijn die over lijken willen gaan om hun criminele doel; zelfverijking letterlijk ten koste van mensenlevens, te bewerkstelligen. Natuurlijk, doe een zoekopdracht op een willekeurige zoekmachine en je vindt wel een exces (abces...) maar hoeveel hiervan is 'een broodje van de aap'?

Waar ik dus ziedend van word is ontmenselijkt, dus gewetenloos tuig dat er geen been in zien omwille van zelfverijking, bijvoorbeeld de zorg van ziekenhuis patienten, te saboteren in de volle wetenschap van het feit dat dit mensenlevens kan kosten. Als schoften op dit delict én aanwijsbare dodelijk gevolg(en) bewezen voor veroordeling worden gesteld, mogen zij van mij zonder uitzondering - dus geen zeurpraatjes over strafvermindering vanwege een moeilijke jeugd, zoals kreeg voor zijn 14 verjaardag geen computer, waardoor jeugdtrauma en/of meer van dergelijk gezwam - voor 20 jaar achter de tralies.

Met betrekking tot het inderdaad ook ernstige feit dat een ziekenhuis zijn digitale security niet op orde/actueel heeft, daar ga ik ook wel in mee, maar vooral secundair. Ter vergelijking:
Als het slot van mijn voordeur niet goed functioneert, is en blijf ik van mening, dat dat niet een vrijbrief is voor criminelen om bij mij binnen te komen met bijbehorende intenties. Juist doordat wij veel te vaak in onze maatschappij het voordeel van de twijfel geven aan criminelen staat de glijdende schaal van het door de een niet meer respecteren van de ander zijn belangen/bezit, onder een alsmaar steilere hoek omlaag.

Mores: Je blijft met je tengels van een ander zijn bezit af, en je repecteert de belangen van de ander, óók als hij/zij zijn/haar computer niet helemaal secure gebruikt; zijn voordeur niet voorziet van het nieuwste drie *** slot en beslag.

Ik vind het nog steeds onbegrijpelijk dat bestands extenties in Windows standaard UIT staan. Onwetenden zien dan "vakantiefoto.jpg" terwijl het "vakantiefoto.jpg.exe" kan zijn. Ook het icoontje is simpel te spoofen.

Windows heeft al op 14 maart een patch uitgebracht. Niet Microsoft moet worden aangepakt, maar mensen en organisaties die niet updaten. En leveranciers van apparatuur die verbieden te updaten, daar zal ook iets mee moeten gebeuren. Het kan zo niet doorgaan dat op grote schaal patches niet worden doorgevoerd.

Britse ziekenhuizen massaal getroffen door ransomware? Het is veel erger omdat het een wereldwijde cyberaanval betreft. 74 landen zijn getroffen waaronder telecom bedrijven en de besmetting groeit snel.

Bron: http://www.hln.be/hln/nl/960/Buitenland/article/detail/3156461/2017/05/12/Wereldwijde-cyberaanval-legt-telecombedrijven-en-Britse-ziekenhuizen-lam.dhtml

Ik ben benieuwd hoeveel scholen hiervan de dupe worden, nu met de examen periode.
Ziekenhuizen halen vaak het nieuws maar volgens mij wordt er veel meer schade aangericht dat geen aandacht krijgt.

Ik ben het eens met levenslang voor diegenen die ziekenhuizen aanvallen overigens. Het zijn moordenaars.

Belachelijk hoge straffen worden er hier weer uitgedeeld zeg en niemand die over Microsoft klaagt omdat ze in februari geen patch hebben uitgebracht om het gat te dichten.

Deze exploit is door de NSA ontwikkeld, en vast ook veilig gehouden, maar door de Wikileaks Intelligence Agency verspreid... je ziet dat er binnen 2 maanden door criminelen een professioneel stuk ransomware van gemaakt wordt.. en gecoordineerd verspreid in tientallen landen. Op het bitcoin adres komt aardig wat geld binnen. Nou, Agent Assange heeft het internet weer een stuk veiliger gemaakt.. not

NSA exploit... en de Dutch mainstream media promoot Kaspersky voor de opsporing. Ook Ronald Prins, hmm

Of ben ik de enige die dat opmerkt. Zo rolt Nederland

Nu de vraag over de rol van Wikileaks in het verspreiden van weaponized software of de awareness ervan. Je houdt boeven niet tegen maar je kunt ze wel dwarsbomen.

Walgelijk dat ze ziekenhuizen aanvallen, lijkt ze wel om de media aandacht te doen.

Alle sockpuppet mainstream media pushen dit verhaal.
Ze vallen landen en grote instellingen aan.
Weinig van particulieren zoals met crypto locker enz.
Dit is werk van een georganiseerde groep of statesponsored actors gone rogue... hoe kom je er anders bij juist deze targets te kiezen. Polletiek...

Just my 2 cents
R.

Voorkomen is beter dan genezen.
Windows Bestandsmanager gebruikte ik al nooit, vooral met kopiëren van bestanden: kopie, paste, CTR sleep.
Arghhh, dan hou ik mijn hart vast. Gebruik al sinds tig jaar het 2 venstertjes tooltje Windows Commander:
https://www.ghisler.com/download.htm (+.ext=on)

SMB uitschakelen: https://www.google.nl/?gws_rd=ssl#num=100&newwindow=1&q=windows+10+smb+disable
RDP uitschakelen: https://www.google.nl/search?num=100&newwindow=1&q=Windows+10+disable+RDP&oq=Windows+10+disable+RDP&gs_l=serp.3..0.9782.18581.0.21252.11.11.0.0.0.0.95.784.11.11.0....0...1.1.64.serp..0.10.700...0i7i30k1j0i8i7i30k1j0i13k1.bkfp-wgGHW8

:)

Een mimetype is net als een extensie metadata. Er zijn geen headers in bestanden onder Windows, wel een aantal attributen en permissies.

Microsoft had de standaardinstelling meer dan 15 jaar geleden moeten aanpassen ten tijde van de ophef rondom virussen zoals iloveyou en anna kournikova. De overweging gezichtsverlies zal een grote rol hebben gespeeld bij de beslissing het niet te doen. Microsoft die vooral aan zichzelf denkt, dat is anno nu nog steeds van toepassing.

Alleen lijkt dit geen misdrijf specifiek tegen zorginstellingen te zijn maar een misdrijf in het algemeen. In Rusland is het ministerie van binnenlandse zaken hard getroffen (1000 computers). In Spanje is een telecomaanbieder met honderden computers getroffen.

En wat je wilt is in wezen al geregeld. Er wordt in het strafrecht namelijk niet alleen gekeken naar welk regeltje zijn overtreden maar ook naar de intentie (als men erop uit was om kwetsbare groepen te raken dan heeft dat effect op de strafmaat) en naar de ernst van het resultaat (als er mensen ernstige gezondheidsschade oplopen of doodgaan kan je verwachten dat mishandeling, dood door schuld, doodslag en/of moord onderdeel worden van de aanklacht). En financiële aansprakelijkheid voor de aangerichte schade is ook nog eens onderdeel van de nasleep van zo'n zaak. In dit geval heeft het zich ook nog eens in meerdere landen afgespeeld. Als de daders hiervan gepakt worden dan zou het me niets verbazen als die zaak ze langdurig en hardnekkig blijft achtervolgen.

Aha 4amrak foxonsafari Victor en alle anderen.
Het lijkt me dat we eens een keer op dezelfde lijn zitten Het is gewoon slecht dat het gebeurt zeer slecht met alle schade en niet goed dat het mogelijk is omdat het voorkomen had kunnen worden.

Gezien de grote wijdverbreide impact kunnen we samenwerking verwachten om degenen die er achter zitten te pakken. Schrale troost het succes van de aanval kan wat in gang zetten om te verbeteren. Als het kalf .....
Het richt zich op het bedrijfsleven onbekend is of dat bewuste lijstjes zijn of een gevolg van de techniek. Ik hoop het laatste, bewust sociale infrastructuur aanvallen is wel heel onmenselijk.

Dan de vraag wat er allemaal beter zou moeten in ict infra de tools en het gebruik. Het gaat mij om structurele concepten.
Goede isolatie van informatieklassen in telkens opnieuw in die driedeling. Een service balie voortgang weer is en aan de beurt is wat dat betreft anders dan gevoelige informatie zoals het dossier met de arts (sen) en dat is weer anders dan het dagelijkse werk met de voortgang.
Het heeft veel onderlinge relaties en afhankelijkheden maar daarom hoeft niet alles op een grote hoop gegooid te worden.

Het ncsc heef daar ook wat tegenstrijdig in de adviezen staan. Hoe (techniek ict) geïnstalleerd wordt dient op aangeven van de ict leverancier te gebeuren. Er zijn geen richtlijnen en geen keuringen waar de ict van leveranciers aan moet voldoen.
Als die zegt draai alles met admin:admin open op internet heb je geen weerwoord als de manager product owner zegt doe maar wat ze zeggen.

Als de IT-organisatie én de leveranciers professioneel genoeg zijn laat dat zich goed beheersen. Je hoeft updates niet automatisch te laten plaatsvinden, maar je hoeft ze ook niet uit te stellen tot het te laat is. De draaiboeken voor hoe je met dergelijke situaties omgaat horen al gemaakt én getest te zijn voordat die situaties in het echt optreden.

Bij medische apparatuur zijn er helaas heel wat berichten geweest over leveranciers die alleen zwaar verouderde besturingssystemen ondersteunen, de klant niet toestaan iets te installeren (de certificering van het geheel vervalt als je antiirussoftware installeert), en van ziekenhuisdirecties die totaal geen kaas hebben gegeten van IT en goed beheer frustreren. En dan krijg je de situatie dat belangrijke lessen door schade en schande geleerd moeten worden.

Gezien het losgeld van $ 300,- denk ik niet dat grote organisaties het primaire doel van de aanval waren. Tenzij men het bedrag voor hen zo laag gekozen heeft dat betalen veel goedkoper is dan het terug zetten uit een backup.

Ik lees elders op dit forum al iets van over de 100.000 besmettingen. Als daarvan slechts 1% die $ 300.- betaalt, praten we nog steeds over 3 ton aan inkomsten voor de daders. Dat maakt dat het ontwikkelen van dit soort ransomware lucratief blijft voor de daders. Die paar procent slachtoffers die betalen, verpesten het dus voor de grote massa.

Wetgeving tegen de daders is er al lang, maar het betalen van losgeld zou ook strafbaar gesteld moeten worden. Ik snap b.v. niet waarom dit in de VS niet al lang strafbaar is. Losgeld betalen voor ontvoerde mensen is in de VS al lang strafbaar om toekomstige ontvoeringen te voorkomen.

Volgens het laatste artikel hierover op security.nl hebben ze iets meer dan 3 bitcoin binnen. Dat zegt vast iets over de 'betaal niet' campagne na de vorige grootschalige ransomware infectie (cryptolocker en varianten). Of mensen zijn tegenwoordig toch niet zo dom meer. Andere factoren? De (technische) drempel bitcoin aan te schaffen voor digibeten, en het gegeven dat ze organisaties aanvallen ipv consumenten (tot zover bekend).

Natuurlijk https://kc.mcafee.com/corporate/index?page=content&id=KB89335&actp=null&viewlocale=en_US&showDraft=false&platinum_status=false&locale=en_US
Dit vind ik persoonlijk een mooie feature. Zelfs als herkend de AV het virus niets, het virus kan ook niets meer.

Al diverse virus uitbraken met dit soort technologie gestopt in zeer korte tijd.

Ik vind de ransomware lui best misdadig, maar dat je de boel niet goed beschermt is net zo misdadig. Maar ja, ziekenhuizen, waar je als patient op zaal ligt terwijl iedereen van buiten gewoon binnen kan komen lopen en naasst je bed gaan staan terwijl jij slaapt. Neem geen kostbaarheden mee, zeggen ze dus altijd. Alsof je lijf en leven niet kostbaar zijn. In een hotel lig je een stuk veiliger.

In ziekenhuizen komt patientbelang niet op de eerste plaats, en veiligheid al helemaal niet. Daar wordt ook niet op gestuurd. In het mooie Rijnlandse model doe je wat het fatsoen en maatschappelijk belang vereisen,
in het Angelsaksische model stuur je alleen op winstmaximalisatie met een kleine factor wetgeving (want boetes dus geld). Dat het om mensen gaat is dan pas relevant als er hoge claims aan hangen.
Angelsaksiche economie is voor sufferds, want het is overzichtelijk en simpel en geeft snel bevrediging. Rijnlands is voor volwassenen.

Nee dat ben je niet. Het is ook heel opvallend dat de grote gelegenheidsverschaffer door geen enkele NOS journalist werd genoemd. In de heartbleed tijd werden Linux en Apple expliciet met console in beld genoemd. Dit kan niet anders dan een afspraak met Microsoft zijn. Je kan er vergif op innemen als er zo een IoT probleem ontstaat dat LInux hier wordt genoemd.

@karma4,

Maar er vallen al slachtoffers bij transplantaties als de ziekenhuis infrastructuur is bedreigd. Deze berichten komen tot ons uit Nieuw Zeeland nu. Elk potentieel slachtoffer is er te veel. Onkunde kent vele slachtoffers.

Inmiddels is duidelijk dat die Britse ziekenhuizen zo kwetsbaar zijn omdat ze nog XP gebruiken. MS heeft zelfs een noodpatch voor het eigenlijk niet meer ondersteunde XP beschikbaar gesteld. Ja, die ziekenhuizen hebben echt iets te leren door schade en schande. Het is schandalig dat ze nog met een besturingssysteem werken waarvan de ondersteuning allang is gestopt, en mocht je dat gemist hebben, Microsoft heeft al jaren van tevoren duidelijk gemaakt dat daar een eind aan kwam, dat mag geen verrassing zijn geweest.

En dat ik wijs op berichten dat bij medische apparatuur het nodige niet deugt wil niet zeggen dat ik de verantwoordelijkheid uitsluitend daar leg. Natuurlijk zijn de criminelen volledig verantwoordelijk voor wat zij gedaan hebben. Maar wat die ziekenhuizen hebben gedaan is in mijn ogen zoiets als een boedelopslagbedrijf runnen en zelfs nadat al jaren op de risico's is gewezen toch dat defecte slot en die defecte alarminstallatie niet vervangen. Die hebben wel degelijk hun verantwoordelijkheid laten liggen.

Ja belangenverstrengeling en dan berichtgeving met opzet uit het nieuws houden tot dat het niet langer kan, als de shit the fan voluit gaat raken. Geen verandering voorlopig in zicht en dat is nog het ergste.

Wars ben ik van OS bashing, wars ben ik van ondeugdelijk security bewustzijn. Maar...er gebeurt nog steeds wezenlijk niets.

De graaiende bovenlaag kan ongestoord verder gaan, al het verdere wat we zien, is een lange propaganda litanie en al het andere nieuws wat er iets toe kan doen, komt niet eens als nieuws door of aan bod.

We zijn Orwell's 1984 al lang gepasseerd, we leven ons leven nu op een nog lager niveau. Tot blijkt waar het allemaal toe gaat leiden, dan ineens is het alom "geween en knersing der tanden"...maar dan helpt er geen lieve moedertje meer aan. Zijn we nu met z'n allen zo dom of zijn we zo...

Wat doet men dan tegen die beslissingnemers, die te dom zijn om te poepen, maar waardoor dit allemaal wel gebeurt of gebeuren kan.

Waarom worden ze nog langer beschermd en niet publiekelijk te schande gezet als die historische figuur van Poorter's Toeback? Rotte eieren en tomaten zal hun loon moeten zijn, met pek en veren overladen en met de eeuwige IT schande
nagewezen. Zijn ze nog wel te helpen of redden?.

Je zal maar in Stirling in het ziekenhuis liggen en je krijgt niet je zo broodnodige scan, want ja niet langer ondersteund XP.
Je zou ze toch Scotch Broth voeren tot het hun de neus en darmen uitkomt of ze wegjorissen als by "tossing the caber" tijdens de Hieland Games.

Inderdaad, zelfs als je de exes gaat crypten. Com is de enige uitzondering, geen headers en direct code. Maar dan zit je enorm beperkt met maximaal 64kb beginnend op codesegment:100

Je kunt wel een multistage loader maken, dat de com een exe download. Lekker omslachtig ook. Ik kan me er geen voordeel bij bedenken behalve dat je als aaanvaller zeker weet dat je systemen treft met een volle internet link, zonder het risico een exe met (onbruikbare) malware code achter te laten.

Je hoopt zo dat ze overstappen naar jouw geloof in een ander os. Het punt is dat een os in dat verhaal er niet toe doet.
De beslissers gaan voor snel goedkoop en zelf overleven in een functie. Informatieveiligheid is iets wat ze te technisch vinden.
Dat beeld van te technisch wordt versterkt door te blijven hangen in de: "mijn os lost alles op" verhalen. Die verhalen horen ze ook van externe dienstverleners "hun dienst" lost alles op. Mooi dan neem je een extern bedrijf want altijd veilig omdat niemand intern aansprakelijk is. Ja ja.

Maar karma4, we moesten toch allemaal NT4 uitrollen destijds en al die linux mannetjes van ziekenhuizen en de logistiek moesten aan de Microsoft Education Opleidingen van NT4 en de kernel. En wat heeft het opgeleverd?

De mensen die geen verstand van IT hebben en toch de beslissingen doorduwen vanuit hun beschermde kleine managment cirkeltje zijn de levensgevaarlijke elementen, een bedreiging voor de wel competente en goed opgeleide medemens. Lui, zonder kennis van zaken, moeten zulke lieden worden afgezet en weggestuurd, de politiek verantwoordelijken en de lobbyisten voorop als zijnde compleet iIncompetent en eigenlijk te beschouwen als vijanden van de mensheid/ c.q. menselijkheid.

Je zegt het wat cru...
De his systemen worden tegenwoordig ingekocht. Je hebt in Nederland geloof ik nog 3 spelers die meedoen. Dan wordt het dat de eigen Itc enkel nog dient als verlengstuk van die externe partij om dat naar die instructies te draaien. Het speelt overal in elke branche.

Ooit had elke vliegmaatschappij zijn eigen ict en leerde men hoe zoiets te bouwen. Vsp (volmac structured programming) Nu zijn voor reserveringssystemen maar enkele spelers in de markt. Onlangs nog gereisd vanaf schiphol?
Ooit probeerde elke organisatie zijn eigen communicatie stack conform de osi 7 lagen te bouwen. Dat was voordat tcpip Internet doorbrak.

Wat heeft het opgeleverd: weinig als eindproduct. Op zijn best wat mensen die geleerd hebben hoe je zoiets ontwerpt en opbouwt. Dat kun je voor een nieuw innovatief iets hergebruiken.

De kennis die bestaat uit knopjes drukken lijstjes afwerken is niet waardevast, levert niets op.

Klopt het is heel gangbaar in ds linux adepten wereld. Ik heb het teruggelezen en ervaren. Niet iets wat bijdraagt voor een betere informatiesecurity.

OS leveranciers doen gewoonlijk waar vraag naar is. Inkomsten en het vergroten van de eigen markt. Dat zij zo je moet dan als afnemers aangeven wat nodig is.
De afnemers zijn niet de bedrijven en organisaties die het uiteindelijk gebruiken maar die his softleveranciers dbms boers erp erm systemen en meer van dat soort en daarbij de on premise zaken.
Wat daarbij vrijwel of volledig mist is het conformeren aan beveiligingsrichtlijnen er is geen keuringen of validatie voor.
De gebruikers afnemers van die systemen krijgen wel die richtlijnen aangeboden als eis maar ook daar mist de feitelijke controle en validatie. Vervolgens gaan die wijzen naar de softleveranciers (niet het os) als degenen die het allemaal wel goed zouden weten. Iedereen doet dat toch zo dus wat kan daar mis aan zijn.
Dan heb je daarbij nog de stoorzenders die gaan zitten roepen dat het allemaal aan het os zit. Reactie van de beslissers, had zal wel met al dat gekijf wijzen ze in ieder geval niet naar ons.

@4amrak,

Maar overal werkt dat, kennelijk zo.. Ga je met een auto met gladde banden de weg op, kun je wachten tot je van de weg gehaald wordt. Heb je ondeugdelijke verlichting idem dito. De koolmonoxide prutser krijgt ook zijn trekken thuis, alleen NSA, de Internet toezichthouders en uitbaters hebben overal dik en dik maling aan. Wie gaat ze uiteindelijk de das omdoen in het belang van de hele digitale gemeenschap? Verhaaltje van de sherif komt niet (meer) terug, in het Wilde Westen blijft de onveiligheid regeren!

Alleen in deze online digitale wereld, die we nu bespreken, gaat dus die gewone vlieger niet op. Daar kan onveiligheid eindeloos via dezelfde patronen worden herhaald, zonder dat er ene zier aan gedaan wordt, alleen wat pleistertjes p[lakken en een l*lverhaaltje eroverheen gooien en de goegemeente en de verantwoordelijken slikken het voor de duidend-en-zoveelste keer.

Hier kunnen mensen die alleen een toko willen uitbaten en verder nergens een boodschap aan hebben niets in de weg worden gelegd. Erger nog ze worden gesteund als de moderne heiligen. Verder kunnen ze competente mensen, waaraan ze zich ergeren, de laan uitsturen en worden ze door het grote bedrijfsleven en commercie gewaardeerd als G*d's gift voor de mensheid en de globale 1% verrijkers.

Niemand die praat over wie deze rotzooi ontwierp en geheim hield. Wie het allemaal uit het nieuws hield en mensen op het verkeerde been zette. Nooit worden deze gasten verantwoordelijk gehouden, ze staan boven de wet, zowel in de States als in de EU.

Aleen wij, de slachtoffers staan weer eens met lege handen en er verandert niets aan de onveilige infrastructuur.
Wachten op het volgende nog grotere incident. Worden we dan nooit wijzer? Kennelijk hebben we last van een gemeenscahppelijke dissociatieve anamnese en willen we niet echt over deze werkelijkheid erachter nadenken.
We slaan op "tilt" en gaan verder als de lemmingen, die we zijn.

Als je iets als voorbeeld wil geven doe het dan goed.
Als eeen loodgieter een goedgekeurd prima apparaat verkeerd instaleerd krijgt hij van de inspectie op zijn lazer. Als de fabrikant van apparatuur speciale aanbevelingen voor hem had is hij die mogelijk kwijt. Heeft hij dat in specifieke opdracht gedaan van bijvoorbeeld die vastgoedeigenaar dan leeft die ook een probleem. Waar is de cyber inspectie? Er zijn regulerende instanties voor zorg en financials, die doen .... niets.

Maar daarom is men ook in Mainland China gaan produceren. Wat daar gebeurt, daar kraait geen haan naar en dissidenten worden niet getolereerd. Wil men dat hier ook naar toe gaan halen, dan zijn de rapen gaar.

Kunnen ze rotzooien wat ze willen en niemand die ze ter verantwoording roept of tegen dezulken zullen dan maatregelen worden genomen. Zitten we als eindgebruikers goed onder de knoet van de globale machthebbers. Veiligheid maar niet voor jou en mij.

Dit wordt dan een soort van digitale global Gulag Archipel op zo'n manier. Zijn we het laatste station daar op weg naar toe al gepasseerd? Ik zie dit niet goed aflopen zo.

Als je de boel zit te verdraaien moet je accepteren dat er een reactie komt. Voor de installatiewereld is er veel geregeld en wordt veel gecontroleerd. Bij software installaties niet.
Het smb gebeuren was bekend er is voor gewaarschuwd. Mitigerende acties waren genoemd.
Gevaarlijk gebruikersgedrag is een fabrikant niet aan te rekenen. Niets van opgevangen bij ontploffen woningen en plofkraken.
Alsof je de Ford en Volkswagen verantwoordelijk maakt voor verkeersregels en de handhaving. Veiligheidsgordel airbags en meer zijn niet door ze ontworpen nog geëist.

Dan krijg je een gewetensvraag als je de fabrikant van een os aansprakelijk wilt stellen. Dan moet dat voor alle software kunnen.Hoe moet die aansprakelijkheid bij linux en oss? Ze zijn er trots op geen fabrikant te zijn maar iemand zal toch de rekening moeten krijgen. Het is mijn argument dat de grote commerciëlen het ieder voor zich bundelen en zich gezamenlijk er achter verbergen.

In het nieuwe voorbeeld van je die pacemaker. Er is dikke kans dat er oss linux gebruikt is en je hebt natruurlijk die smartphone smartphone. Daar begin je niet over ondeugdelijk linux oss en fouten in de Smartphone ga ja naar de dienstverlener ofwel de pacemaker samensteller. Als we die zelfde houding doortrekken voor ict komen we bij de his software leveranciers erp producten etc. Het is dat deel wat tegenwoordig de belangstelling heeft als Cloud oplossing want dan doet iemand anders het wel voor je.

Otp: Die NHS welk his van welke dienstverlener draaien ze eigenlijk? Welk structuur van de ict infra als onderdelen tot een compleet service product draaien ze?
In eerdere zoektocht naar aanleiding van eerdere massale uitva, kwam ik tegen dat ze veel zelf gebouwd hebben, alle code zelf gemaakt hebben, niet afhankelijk zijn van externe partijen en dat het veel goedkoper is dan wat elders gebeurd.
Het past in het liberale verhaal. De organisaties zijn officieel verzelfstandigd maar de taak niet, de geldstroom is gereguleerd ds invulling gedecentraliseerd.

@4amrak, karma4

Als ik jullie uiteenzetting lees, is het al wat ik vrees, namelijk iedere gebruiker is op zichzelf teruggeworpen. De globale machthebbers willen geen enkele verantwoordelijk nemen voor hun agenda en het liefst buiten beeld en dus buiten schot blijven. Daarom gebeurt er dus bijna niets. Geen verbetering van infrastructuur, niet het ter verantwoording roepen van falende beleidsmakers. Niet het de laan uitsturen van beleidmakers en managers, die developers opdrachten geven, die de boel verder ontregelen en onveilig maken. A. omdat ze er geen verstand van willen hebben en B. omdat ze dan niemand iets uit te leggen hebben.

Ik vindt wat karma4 vertelrt over een zelfregulerende zelfvoorzienende omnipotente markt een gevaarlijke werkelijkheid, waar we met zijn allen als we nog even Internet of digitale diensten willen houden, als de wiedeweerga vanaf zullen moeten.

Alles wat niet goed functioneert de laan uitsturen. Wie niet leren wil, moet maar voelen. Wie zijn k*ntje brandt, moet ook op de blaren willen zitten.

Ik ga even terug naar wat ik eerder schreef:
Waarop jij reageerde met:
Ik heb al aangegeven dat ik met het benoemen van de verantwoordelijkheid van de een helemaal niet heb gezegd dat de ander geen verantwoordelijkheid heeft. Kennelijk moet ik nog iets uitleggen. Ik gebruikte het woord "moeten" niet om een norm te stellen, ik gebruikte het omdat lessen door schade en schande leren overblijft als men op andere, betere manieren die lessen niet blijkt te leren.

Als jij zelf stelt dat zorgbestuurders hebben gefaald maar kwaad wordt als je leest dat gebruikers (dat woord gebruikte jij, niet ik) door schade en schande moeten leren, dan denk je kennelijk dat ik het over twee verschillende groepen heb. Ik bedoelde dat die zorgbestuurders degenen zijn die door schade en schande iets te leren hebben omdat ze het er niet op lijkt dat de ernst van de risico's van het inzetten van verouderde IT al op een andere manier tot ze was doorgedrongen.

@4amrak,

En als men dat uiteindelijk niet wil, krijgt men voor elkaar dat het Internet, zoals we dat hebben gekend, down gehaald wordt.

Juist met dit excuus, dat er niemand echt bereid was om de bezem eens goed er doorheen te halen en maar gedwongen aan bleef rommelen. Wie hebben dan uiteindelijk hun zin gekregen, de voorstanders van een online Story-achtige dienst met heel veel reclame en weinig nieuws dat er nog toe doet.

Steeds pappen en nathouden geweest, geen overhaul van zaken, die nooit zo aan het Internet gehangen hadden moeten worden (denk aan javascript, denk aan PHP gebaseerde onveiligheid, cgi etc. etc.). En niet te vergeten het voor een dubbeltje op de eerste rang willen zitten en outsourcen met beveiliging tot de knop van de rackdeur.

Wil je niet echt een overhaul, wordt het nooit meer iets. Geef dat dan met zijn allen toe, ga vervolgens mensen goed opleiden met security als first priority en neem je verantwoordelijkheid, security gemeenschap. Doe iets drastisch.

luntrus

Voor NHS kijk naar de voorgeschiedenis: https://www.theguardian.com/society/2013/sep/18/nhs-records-system-10bn

Hoeveel His leveranciers?
wat denk je hoe die de boel bundelen en met requirements eisen aan OS en infra opleggen.
Commercie ten top. Het verbergen achter OSS als iets wat feilloos is en waar zij niets aan hoeven te doen.
Die zelfde houding bij elke grote commerciële partij, het is niet onderscheidende generieke software.

thanks (as usual)

Maar je ziet zelf, dat de community en toezichthouders het niet in essentie aan willen pakken. Zo het gaat is het beter voor hen en niet voor degenen die door deze a priori onveiligheid allemaal worden bedreigd (privacy, informatievrijheid en nog een heel scala aan kritische zaken meer).

Als je dan niet goed wil gaan mitigeren, geen goede security headers wil installeren, geen safe inline scripting wil handhaven, geen sri hash codes genereren, geen e2e encryptie wil voor kritische data, dan wil je dus de brakke zooi zo als er nu is in stand houden en ben je hartstikke schuldig aan de toestand die we online hebben.

Je wilv ervolgens je half opgeleide developers niet eens veilig gaan opleiden, je gaat monocultures kweken van api extensies voor alle browsers, om nog beter de boel te kunnen pn3wen en script trackable te maken voor guv en com.

Dan wil je je gemeesnschap niet veilig hebben, dan beschouw je de gebruikers als liability voor je agenda en dan weten we precies waar we aan toe zijn. Als er geen handhaving komt, omdat men de boel niet wenst aan te pakken, weten we hoe laat het is. Vertel dan ook geen sprookjes meer. Dit ransomeware bubbeltje is een symptoom van een zieke toestand en
doen we er niets aan wordt het van kwaad erger. We krijgen steeds minder online adem.

luntrus

De verwarring gaat dus over het begrip "gebruiker". De gebruikers van computers met Windows zijn in dit geval de ziekenhuizen, niet de patiënten. Die gebruiken de diensten van ziekenhuizen maar zijn niet zelf de gebruikers van de computers met Windows, net zo min als ze gebruikers zijn van de ontsmettingsapparatuur voor medische instrumenten of van de stoel waarop de internist zit.

Dat patiénten last hebben van deze ellende is evident, maar de last die ze hebben is niet van niet werkende computers maar van niet werkende ziekenhuizen. Indirect gebruiken patiënten wel Windows, wel die ontsmettingsapparatuur en wel de stoel van de internist. Maar dat is indirect, niet de keuze van de patiënt, niet iets waar die patiënt invloed op heeft. Het zijn implementatiedetails. Hoe die ziekenhuizen regelen dat ze functioneren is aan die ziekenhuizen zelf.

Je hebt het er telkens over dat als het maar oss zou zijn er geen problemen zouden zijn. Ik ze dat het niets uitmaakt je moet bij de dienstverlener zijn. Net zoals je als consument naar de winkel stapt en niet naar de fabrikant.
Het gaat om smb v1 wat ooit door ibm is neergezet en waar ms al tijden vanaf wil met smbv2. Pas sinds 2007 is die versie in oss opgepakt. Dat maakt ook weinig uit.
Neem NHS in 2011 een groot debacle om alles centraal neer te zetten en uit te rollen. Na die tijd is het ieder voor zich met eigen verantwoordelijkheid per instelling. Dat wordt per instelling voor elke functie apart uitbesteed of zelf gedaan.
De controlerende instanties laten het op ict gebied afweten de instellingen zelf zijn geheel zoekend op ict gebied (het mag niets kosten).
Dan ga jij zeuren dat wat er op de markt is en niet goed ingezet wordt dan wel genegeerd wordt een probleem is voor de makers van de deelprojecten?
In jouw voorbeeld van dealers, alsof je een fabrikant van landbouwerktuigen verantwoordelijk vind voor het kunnen verbouwen van speciale narcotica planten.
Je zoekt het veel te ver.

De verantwoordelijkheden liggen jij
- degelijke controle en handhaving richtlijnen (overheid)
- aansturen om alles op orde te hebben (bestuurders managers)
- leveren deelprojecten dan wel complete diensten in lijn met bovenstaande (richtlijnen normen en klantvraag)

Grote doorslaggevende vraag. Waarom gebeurt dit dan niet? Waarom moet ik gisteren kijken naar een Engels bewindspersoon met de ballen verstand van wat er gebeurd is bij 45 NHS instellingen? Het mens l*lt uit haar nek. Ze raaskalt.

Ik zie niets veranderen en de hamvraag is derhalve: "Waarom??? (3 x)". Geeft iemand hier eens een eerlijk antwoord op. Ik denk dat ik het wel weet aan onveiligheid valt meer te verdienen dan aan verantwoordelijk IT beleid en de mensen, die het kunnen weten zijn ze liever kwijt dan rijk, dan kan er meer financieel gerotzooid worden. Nemand beweegt, ik hoor nog geen "piep".

En niemand gaat zich ook nog zitten schamen. Neen, arrogant volhouden, dat je het zo goed doet. De dommerds kunnen je wanbeleid toch niet goed inschatten.

De situatie lijkt het schilderij van Breughel wel met die omvallende blinden die allemaal in de sleup vallen.

Ach... een troll... vooruit, ik hap: beste Linux-fan, ga eens op bezoek in een ziekenhuis en kijk eens hoe de Linux-systemen er bij staan. Inderdaad, zoals je zult zien, die worden zo mogelijk nog slechter beheerd dan de Windows-systemen.

Heel begrijpelijk, omdat daar nog minder kennis van beschikbaar is.

Meteen je eerste post in deze draad.
Je bent bezig op een OS en hardware niveau en blijft daarin hangen. Zeer gericht op een enkele naam. (pak andere alinea's).
Als je de NHS historie had nagelopen dan had je de dienstverleners en overheid als fabrikant van de ICT omgeving neergezet (debacle 2011 doorlopend naar nu) . En de huidige NHS instituten als fabrikant van hun huidige eigen ICT.
Ik heb het vaak genoeg gezegd informatie security kan pas echt loskomen bij het loslaten van elke hardware os leverancier binding/haat.

Als je die eerste link gelezen had staat daar de vraag waarom een fabrikant iets van 16 jaar oud moet blijven zien te onderhouden omdat afnemers weigeren op een nieuwe versie over te stappen. -> Zo gek ben ik dus niet.

In de tweede link: "During this latest ransomware crisis, it became clear there were many institutions that could have patched or upgraded their systems, but they had not." Bedenk in de luchtvaart kom je dan echt niet van de grond af.-> Zo gek ben ik dus niet.

Voor die laatste van nu.nl ik kan niet controleren wat de echte bron van dat artikel is. De verwijzing naar Avivah Litan geeft ook https://www.ft.com/content/348d4f7a-3808-11e7-821a-6027b8a20f23 “If you want to drive around in an unsafe car, that’s your decision,” said Avivah Litan, an analyst at Gartner." .-> Zo gek ben ik dus niet.

Jij krijgt je zin niet, sorry het is niet anders.
Humor: Je geeft in laatste post nu net weer een onderbouwing van wat je eerder ontkende.