Keep it simple:
Gevoelige data zo afschermen dat ze of in een zandbak staan of op machines die niet met de boze buitenwereld praten.
Verder goede backups, zodat je bij infectie kan recoveren.
En personeel goed instrueren / africhten: Dus PC op slot als je er niet voor zit, geen vreemde voorwerpen (USB-sticks of CDs) aansluiten op die PC, en niet browsen op het boze wereldwijde web.


Oh wacht... LPD, etc.
Was het niet deze minister die zo graag wilde dat patienten-data gedeeld werd met jan en alleman?
Dit zijn daar nu de gevolgen van, mw. Schippers.

Een netwerk scheiding van de Zorg en KA lijkt mij een goed begin. Geen publieke e-mail naast je ziekenhuis informatie systemen, geen internet toegang etc. Kost nauwelijks wat en het kan bijzonder effectief zijn (in de bestrijding tegen malware, voor het werkproces zal dit wel wat gevolgen hebben).

Dit staat hier helemaal los van. Verdiep je eens in architectuur..... Dan je zie hoe je zult soort applicaties aan elkaar knoopt.

Eigen standaard architectuur. Medische apparaten moeten afgeschermd zijn en alleen maar kunnen communiceren met devices waarmee het moet communiceren. Echter databases zoals het EPD moet zowel toegankelijk zijn voor KA als het zorg netwerk.

Gaat was lastig... Aangezien veel informatie tegenwoordig via Email of internet geraadpleegd wordt.

Het is inderdaad bijzonder efectief in niet effectief zijn. Aangezien men in eens niet meer kan werken. Zonder Email / Internet kan een dokter tegenwoordig niet meer werken of informatie vergaren.

Even en heel gemakkelijk is dit dus even niet te implementeren.

Beginnen met onderscheid, een intern netwerk, en een extern netwerk (internet).
Nu is het vaak: Het kan op internet, dus we hangen het aan internet, zonder dat er een goede beveiliging (mogelijk) is.

Schippers is zelf verantwoordelijk voor de controle instanties die daarop (oa ict security) toezien.
Het is zorgelijk dat Schippers faalt in het zien van haar verantwoordelijkheden. Het is zorgelijk dat Schippers als veroorzaker van de problemen nu pas ziet dat het zorgelijk is.

Dus medici mailen en raadplegen patientgegevens (of anderer gevoelige gevens) via email en internet.
Of bedoel je dat personeel (medici, verpleging) hun zorg-informatie via onbeveiligde verbindingen van het wereldwijde internet afhalen, ipv via beveiligde verbindingen zoals diginetwerk oid van beveiligde zorg-netwerken.
Dan gaat daar dus al iets fout.

Als zorgpersoneel al zo nodig het wereld wijde internet onbeveiligd op moet, dan doe je dat met apparatuur (bv een PC) waarop geen toegang is tot gevoelige patientinformatie. (Al zet je twee apparaten naast elkaar, als dat nodig). En het liefst een zandbak die alleen met het internet praat en met een printer, en met een herstart alle infecties gewist heeft.

het is zorgelijk dat men na bijna 20 jaar nog altijd niet gezien heeft dat Windows een zeer kwetsbaar systeem is dat makkelijk aan te vallen is !!!

Zorgelijk is niet het juiste woord Ernstig des te meer.

"Naar aanleiding van de wereldwijde ransomware aanval van 12 mei heb ik 19 mei een brief gestuurd naar de leden van het Informatieberaad Zorg waarin ik verzoek om adequate maatregelen te treffen en aandacht heb gevraagd voor informatiebeveiliging. Ik ga er vanuit dat zorginstellingen de noodzakelijke prioriteit geven aan dit onderwerp"

mooi hoor die stoere management taal. kijken hoe het over een half jaar is in de praktijk. ik hou mijn adem niet in!

Het is zorgelijk dat ict doosjes fanaten nog steeds met OS flamings bezig willen zijn. Gan nu eens met security bezig van een ander OS heb ik de meeste last dat men het niet goed krijgt.

I love to cook cats and little children.

Beste Karma, wanneer ga je je teksten eens van leestekens voorzien zodat die leesbaar worden? Je hebt af en toe best wel goede inbreng hier, maar het is 99% van de tijd zo goed als onleesbaar. Het is gewoonweg vermoeiend om uit te zoeken wat je meestal bedoelt.

OT: Net als in het onderwijs is het meeste personeel niet geïnteresseerd in IT of beveiliging. Het moet gewoon zo eenvoudig en gebruikersvriendelijk werken. Die desinteresse resulteert in een zorgwekkend hoog aantal phishing mails die niet als zodanig herkend worden en voor problemen zorgen.
Een fatsoenlijke awareness training helpt al veel maar dat kost geld en is "teveel moeite"

Moet zijn:
"het is zorgelijk dat men na bijna 20 jaar nog altijd niet gezien heeft dat Computers een zeer kwetsbaar systeem is dat makkelijk aan te vallen is !!!"

We zijn binnen onze organisatie (een van de grootste middelbare scholen clusters in Nederand) begonnen met een centraal team, anderhalf jaar geleden. Ik beschouw het nog steeds een opstart fase, maar gelukkig hebben wij een manager die zeer op security hamert en een apart team heeft gevormd om alles in kaart te brengen én te organiseren. Daar zit natuurlijk ook de nodige wettelijke druk achter én de bijkomende "zolang het maar voldoet aan de norm" maar dat zijn gelukkig uitzonderingen.
Eerlijk gezegd, met goede medewerkers in een team, kun je uiteindelijk ook als team voldoende druk uitoefenen om de "zwaardere" items aan te pakken.
Een van die dingen is bijvoorbeeld 2fa voor álles dat met leerling-registraties te maken heeft. Heel interessant (omdat nieuw/onbekend/veel werk/ik wil mijn werk gewoon doen zonder extra k*tzooi) maar als je een fijne methode implementeert is iedereen toch best wel gauw "om".
Ook een awareness test zit er aan te komen (in samenwerking met de teamleider en Communicatie). Heel benieuwd hoe dat uit gaat pakken.

Ik denk dat we uiteindelijk zó groot zijn dat we dit ook kunnen doen; ons team bestaat uit zo'n 24 mensen die de hele ICT omvatten en dan kunnen we ook dingen voor elkaar krijgen.
Heel anders dan een streekziekenhuis die het meeste ICT zelfs gewoon heeft uitbesteedt, want geen kerntaak !! En dáár zit 'm vaak de kneep; er is geen "connectie" tussen ICT(medewerkers) en het lesgevende / medische personeel als je dat doet. Geen collega's die je wijzen op bepaalde zaken etc etc.

Dat is een prachtige upswing. 24 man lijkt me inderdaad groot genoeg. Dat moet nog klikken. Die upswing moet je proberen vast te houden en te continueren. Dat continueren is niet vanzelfsprekend meestal gaat hetgeen bereikt is ten gronde.
Zoiets heb ik vaak genoeg meegemaakt. De horizon is zo'n 3 jaar maar je blijkt echt 5 jaar nodig te hebben. Fusies reorganisaties split-ups en dan heet het kantelen Lena-six sigma 1+1=3 de hele management promo's komen langs met vervolgens elke half jaar een andere baas. Je kan van voren af aan op zoek naar een nieuwe andere upswing.

Ik denk dat Windows het consumentenniveau wel ontstegen is. Je moet natuurlijk niet de Home-versie of gekraakte versies voor je bedrijf toepassen!

Flauwekul, of beter gezegd : gelul. Elk OS heeft z'n server-varianten. En die zijn echt niet voor "consumenten" bedoeld. En de kritieke systemen als storage draaien daar op.

Zoals gezegd, het is bijna altijd de consumenten kant (pc-tje van de chirurg die IMGUR zit te browsen tijdens de pauze) die kwetsbaar is én de connecties nodig heeft naar die kritieke systemen zoals foto's, medische dossiers etc. Het gaat om ICT bekwaamheid van het personeel, NIET om een OS.
Elke flapdrol die op een werkstation werkt (OS onafhankelijk) met een brakke java client of flash client en klakkeloos klikt op elke link in elke mail die hij/zij krijgt is de culprit.

Tevens : financiele systemen zijn hoofdzakelijk gebouwd op mini's. De front-ends niet maar dat doet er niet toe. Front-ends zijn "consumenten" systemen zoals jij zegt. Of wil je dat elke werknemer met terminals gaat werken? Laat me niet lachen.

In "Het nieuwe goud", een dubbelaflevering van Zembla over big data, lieten ze een opname zien waarin Edith Schippers medische apps voor smartphones aanprees. Ze zag er alleen maar voordelen in voor de gezondheidszorg en ze kwam op mij over alsof ze in een reclamespotje figureerde. Toen ze gevraagd werd naar privacyrisico's van die apps wimpelde ze die weg door te stellen dat het CBP (AP) daarover ging.

Toen na de onthullingen van Snowden over het LSP in de kamer gevraagd werd of het geen risico was dat dat systeem door een Amerikaans bedrijf (of dochter daarvan) beheerd werd heeft Edith Schippers het uitgezocht en kwam ze terug met de mededeling dat het contractueel goed was geregeld, totaal over het niet onbelangrijke detail heen stappend dat de Amerikaans overheid geen partij in dat contract zijn maar wel gegevens kan vorderen.

Dat waren allebei uitspraken die mijn nekharen overeind deden staan, omdat ze bij mij de indruk wekten dat Schippers, hoe kundig ze verder ook is, meer bezig is met de vraag wie je aansprakelijk kan stellen als er iets misgaat dan met voorkomen dat het misgaat. Natuurlijk hebben ministers en bestuurders een positie waarin onvermijdelijk een hoop taken en verantwoordelijkheden worden gedelegeerd aan anderen, maar als je dingen zo inricht dat de verantwoordelijkheid op papier geregeld is maar in werkelijkheid ongelukken niet worden voorkomen dan sla je iets essentieels over.

Het is terecht dat ze ransomware bij ziekenhuizen zorgelijk vindt, maar dat soort kwetsbaarheden komen vaak voort uit precies de manier van omgaan met verantwoordelijkheid die zij in deze twee voorbeelden demonstreerde. Dat maakt in dit concrete geval misschien nog niet eens zoveel uit, het echte werk om dit te verbeteren moet niet door haar zelf gedaan worden, maar als die twee voorbeelden representief zijn voor haar manier van opereren dan zou ze zelf wel eens een exponent kunnen zijn van een managementcultuur die dit soort kwetsbaarheden in de hand werkt.

Helaas is de kwaliteit en inrichting op desktops beter op orde (want zichtbaar) dan al die servervarianten. De backend is een kostenpost outsourcen en het moet goedkoper. De kwaliteit is te vaak bedroevend, dan kan je naar die doosjes kijken maar die zijn voor het grotere plaatje in informatiebeveiliging nu net niet van belang.
Als je wilt bijdragen aan security verbetering moet je kappen met die OS strijd. Ga eens aan het werk om security op de backends nu eens naar een acceptabel niveau te brengen.

je kunt de security van een gehele keten niet los zien van schakels in die keten: de OSen op clients en servers. doe een goede achtergrond (security) studie en kies die OSen op die plaatsen die het best matchen met je doel. kies je dan voor gemak, dan heb je een risico post. afschatten en afdekken dan. zo eenvoudig is het.

wel is het zo dat de verschillende OSen verschillende track records en kosten met zich mee brengen. blijven volhouden dat dat niet zo is is net zo stupide en insecure voor de gehele keten. daarbij moet je vooral ook eens verder dan de eigen horizon kijken!

Hoe ga je dan data uitwisselen? Je bekijkt het iets te simpel.

Begin nu eens niet met zulke ***** opmerkingen want ze slaan helemaal nergens op. Het besturingsssyteem is helemaal niet bedoelt voor conusmenten, want er bestaan ook professionele versies van. En die kunnen gewoon heel goed gebruikt worden in bedrijf kritische omgevingen. Je moet alleen wel je beheer er op afstemmen. En daar zit hem nu meestal het probleem. Men voert geen Applicatie Lifecycle Management (ALM) uit, waardoor je allemaal oude versie moet blijven draaien. En tja.... Als je dat niet onder de knie hebt, dan blijf je gewoon met een ander besturingsssyteem exact de zelfde issues houden.

Kwaliteit van beheer en onderhoud blijven alleen exact het zelfde. Daar gaat het meestal fout. backend applicatie wil/kan men niet upgraden want dat kost te veel, is te complex, te veel risico, of verzin het.... Het aan de cliënt mag je het gaan oplossen..... Zo hebben we hier nog steeds afhankelijkheden van java 1.6.1x versies. En je mag raden waarop de backend precies draait.

Je kan je ook afvragen waarom er dan gebruikt moet worden met een mainstream keuze. Blijkbaar is er geen alternatief na tientallen jaren? Waarom niet?

En zolang je niet je update processen in orde (ALM) hebt maakt het niet uit. Dan kan je wel heel mooi zeggen, dat je een Linux OS draait. Maar als die sinds 2014 niet geupdate is.... Maakt het qua security helemaal niet uit.

Blijkbaar geen ervaring op de desktops of servers? Flash wordt gelukkig steeds minder. Maar java wordt toch echt nog een heel hoop gebruikt. Zowel op de cliënt als in een server. Het mag misschien old school zijn of niet hip, maar het wordt gewoon nog heel veel gebruikt.

Agaaa de stop op de horizon verkoop praatjes.
Klinkt leuk, maar heeft nog jaren ontwikkelingen nodig, waarbij je nog altijd je legacy zal behouden. En native apps zijn gewoon meestal een stuk krachtiger.
Maar het is eigenlijk volgens het Jericho architectuur een goede gedachte. SBC kan je hieronder ook voor een groot gedeelte hangen.

Zeker ook nooit met computers gewerkt voor Microsoft bestond ?

Data uitwisselen kan nog steeds. Alleen niet via het wereldwijde internet of onbeveiligde email.
Zelfs binnen de zorg werkt met al met beveiligde netwerken, waar zorg-organisaties onderling data kunnen uitwisselen.

Patientendata ga je niet uitwisselen via een browser die op het inetrnet kan komen, of via publieke email.
Daar zijn zorg-netwerken voor die extra beveiligd zijn.

En deze zorg-netwerken moeten los staan van machines die geinfecteerd kunnen worden omdat iemand zijn webmail of fut op het internet aan het bekijken is. Prive zaken doe je maar op een eigen telefoon of tablet als dat zo nodig tijdens werktijd moet. Maar gescheiden van het netwerk van de zorg-organsiatie waar je werkt en waar gevoelige patienten-data op staat.

De horizon is verder dan doosjes.
Een desktop, so what. Daar hoort geen gevoelige data op te staan. Ok even voor caching etc, Vervang je vanuit een magazijn met vaste procedures. Gebruikers data profiles en alles wat verder nog nodig is in back-ends.

Als iets wat buitenwereld communiceert een keer kapot gaat jammer dan. Wat dan niet mag gebeuren is dat het zihc overal naar toe verspreid en de boel platlegt. Dat laatste is geen faal aan de buitenkant maar toont ernstig falen van de backend omgeving.
Die denkfout van de endpoints als enige verdediging maakte men niet voordat een MS omgeving bestond. Het moest goedkoper als het maar werkt werd het nieuwe dogma. Het: "foutje bedankt" ontbreekt net.

Netwerk segregatie, data impact analyse en dan de maatregelen. Inderdaad blijven volhouden dat een OS alles is op een backend is een veel te beperkte horizon. Je moet van alles doen met processen DR BCM de beroemde high privileged met service accounts. Het is nu net daar waar gewoonlijk het nodige rammelt.
Dat is wat verder dan een code-klopper (cobol java phyton C) en helaas dan begrijpt ineens niemand het meer.

Zorgelijk!? Het is schandalig! Het is schandalig dat de meeste zo niet alle ziekenhuizen nog met xp danwel met vista werken! Het is schandalig dat de meeste ziekenhuizen geen goede internetsecurity hebben en nee windows firewall,wimdows essentials/defender en ook mcafee is GEEN goede beveiliging! Kaspersky en Bitdefender dat is goede beveiliging. Maar ja het mag niet teveel kosten he? Moet allemaal op een koopje he!? Als er maar geld is voor riante salarissen en bonussen voor de ziekenhuis en andere zorg-bobo's he!? Als er maar geld is voor dure kunstwerken bij de hoofdingang,in de centrale hal en schilderijen in Want de de gangen he? Want dat is toch zo belangrijk he!? Dat die patient (bijna) overlijd op de hartbewaking of dat de patienten hun privacy op straat ligt kan jullie politici en ziekenhuisbobo's en zorgbobo's niks schelen! Jullie zouden aangeklaagd moeten worden,de regering en de ziekenhuizen/zorginstellingen. Want het is misdadige nalatigheid en zuunigheid! Want wij betalen ons al blauw aan zorgpremie en eigen risico! Dus daar ligt t niet aan! Jullie de bobo's zijn de grootste kostenpost met jullie riante inkomens en prestige-projecten zoals dure nieuwbouw, dure kunstwerken in en om het ziekenhuis. Wij willen betaalbare en goede zorg en veiligheid en privacy in het ziekenhuis!

Prachtig dat jij daar mee aan het ontwikkelen bent. Maar 95% van de wereld werkt nog gewoon met executable files en met redenen. En ook veel van de applicates zijn er eigenlijk helemaal niet voor geschikt. Rabobank heeft ook een keer zo'n keuze gemaakt, is ze niet helemaal goed bevallen.....

Dus nee, voor sommige en best veel, is het een goed alternatief. Maar de markt ik nog lang niet zover. Dat gaat echt nog jaren en jaren duren. Voor standaard user impact kan het nog wel redelijk.

Is het toekomst....... Het zal vast wel. Net zoals we al jaren horen dat Linux de desktop zal veroveren. Beide zie ik toch echt niet snel beuren.
Maar beide bieden wel mogelijkheden.......

Jongens, meestal word ik hier doodmoe van karma4, maar nu word ik doodmoe van jullie.

Ik heb mijn portie frustraties met Windows en Microsoft meegemaakt. Als privégebruiker was ik zo doodziek van de krakkemikkigheid van 9x-serie en de borstklopperij erover door Microsoft dat ik op Debian ben overgestapt nog voor ME door XP was opgevolgd en ik vind dat nog steeds een verademing. Als softwareontwikkelaar heb ik bij een werkgever meegemaakt dat mensen van Microsoft over de vloer kwamen om een conversie te begeleiden en die heb ik toen leren kennen als een bijna sektarisch clubje dat alle IT buiten het Microsoft-platform als marginaal en inferieur behandelde. Ik ben niet bepaald een Microsoft-fanboi, dus.

Maar ik heb wel meegemaakt dat een professionele IT-afdeling prima in staat bleek te zijn om een netwerk van zo'n 1000 werkstations uit te rusten met het veel verguisde Vista (dat was toen de actuele versie), en ondanks de bloatware-reputatie van Vista bleek dat daar zeer stabiel en flitsend van response te zijn. Van de serverversies heb ik met NT4, 2000 en 2003 te maken gehad (daar draaide de software die ik maakte op, qua werkstations was ik vooral een gebruiker). Met NT4 heb ik nog de nodige ellende meegemaakt, 2000 en 2003 waren degelijk.

Als een systeem met degelijk beheer zo goed degelijk te maken is dan is de basis in orde. Als het drijfzand was geweest dan had dat niet gekund. Dat wil niet zeggen dat er met consumentenversies geen rare dingen worden uitgespookt, het wil ook niet zeggen dat alle organisaties die het gebruiken hun beheer goed op orde hebben, het is echt niet allemaal rozegeur en maneschijn. Maar het is onzin om te beweren dat Windows tegenwoordig geen serieus te nemen besturingssysteem is. Je hoeft er geen fan van te zijn om te onderkennen dat er ook wel het een en ander goed wordt gedaan.

"De horizon is verder dan doosjes.
Een desktop, so what. Daar hoort geen gevoelige data op te staan. Ok even voor caching etc, Vervang je vanuit een magazijn met vaste procedures. Gebruikers data profiles en alles wat verder nog nodig is in back-ends."

uiteindelijk is er een doos nodig en wees niet zo naief in het blijven geloven van procedures. de praktijk is weerbastiger blijkt keer op keer.

Heimwee naar CP/M, of meer richting Unix/BSD?

Of de computers die zo groot waren als een klas lokaal en nog met buizen werkten (ENIAC) of de telmachines die daarvoor gebruikt werden (Babbage, Hollerith, Zuse)?

https://it.slashdot.org/story/17/07/15/0233211/eternalblue-vulnerability-scanner-finds-exposed-hosts-worldwide
https://www.helpnetsecurity.com/2017/07/12/eternalblue-vulnerability-scanner-statistics/

jammer dat smbv1 default aan stond bij dat OS dat op een doos in de keten de zwakste schakel blijkt te zijn

de praktijk is weerbastiger, procedures en afspraken zijn niet genoeg: dat is spreadsheet management.

Bestonden er toen al computers???

Zien we aan IOT backends servers en al die andere zwaktes. Als je niet wat je moet beveiligen en wat de impact is zullen je gedoemd blijven om in het wilde weg wat te doen/ Daarmme blijft het een grote onbeheersbare zooi wat het nu al ljkt te zijn. Dan heb ik het niet over de desktops maar backends IOt Netwerken etc.

Ik spreek nog wel eens iemand van vroeger, weet je? Tot het moment dat dat bedrijf besloot de hele IT te outsourcen draaiden de werkstations op Windows, maar al lang geen Vista meer, als een trein en zonder noemenswaardige problemen met malware. De beheerders hielden na de installatie van Vista niet opeens op professioneel te zijn, ook de ervaring van Windows-systeembeheerders blijft hardnekkig toenemen met de jaren. Ik heb een fragmentarischer zicht op hoe het beheer sinds het outsourcen is, maar wat ik erover hoor klinkt vrij chaotisch. Ik sluit niet helemaal niet uit dat ze daardoor kwetsbaar worden. Maar dat verandert mijn punt niet dat dat aan de kwaliteit van het beheer ligt. Als je met goed beheer iets goeds neer kan zetten impliceert dat dat de technische basis geen totale ellende kan zijn.

Ik zag wel degelijk vendor lock-in. Het ASP.NET-platform bijvoorbeeld, dat volgens de marketingpraatjes alle browsers ondersteunde, bleek onderscheid te maken tussen IE en de rest, en terwijl in die tijd de rest (waaronder Firefox) duidelijk voor liep op IE qua ondersteuning van standaards en prima in staat was om geavanceerde webpagina's te ondersteunen, was wat je met ASP.NET maakte op de door MS aangegeven manier in IE gelikt en in andere browsers een bedroevend zooitje, en dat wekte bij veel mensen de onterechte indruk dat dat aan beperkingen van die andere browsers lag. Ik spreek dat soort dingen niet tegen, die kan ik bevestigen en ik erger me dood aan dat soort tactieken. Maar dat doet niets af aan de constatering dat Windows als besturingssysteem kennelijk in technisch opzicht degelijk genoeg is om een degelijke infrastructuur op te zetten op basis daarvan.

Is het duur? Ja, dat vind ik evident. En het is verdomd jammer dat er een netwerkeffect bestaat dat inhoudt dat zowel makers als afnemers van software zich op het dominantste platform richten en daarmee dat platform nog dominanter maken. Dat heeft tot gevolg dat deskundigen voor dat platform makkelijker te vinden zijn dan voor andere platforms, en dat drijft de prijs voor beheer van die andere platforms vermoedelijk weer op. En dat versterkt het netwerkeffect weer.

Bedenk dat Microsoft met Windows in bepaalde toepassingsgebieden nu weliswaar die positie inneemt, maar dat dat hoogstwaarschijnlijk net zo goed was gebeurd als het een ander dan Microsoft was geweest die er begin jaren '90 het best in was geslaagd marktaandeel op te bouwen. Dan had je nu op een andere leverancier en een ander produkt lopen kankeren. Ooit heeft IBM in die positie gezeten (en bij het UWV nog). Oracle kan er ook wat van. In de jaren '80 en '90 was CA in de markt voor mainframepakketten een lockin-parasiet van jewelste. Dit beperkt zich niet tot Microsoft, ik vrees dat deze dynamiek een eigenschap van de mensheid is.

Het is volkomen legitiem om daar nadelen aan te zien en om te proberen om het piepkleine beetje invloed dat je er in het grote geheel op hebt aan te wenden om dat tegen te werken. Daar hoor je me niet over. Maar wil je daarbij effectief zijn dan moeten je argumenten geloofwaardig zijn. Als ik zie dat er mensen rondlopen die in staat zijn om op basis van Windows-machines een netwerk op te zetten waarop malware niet tot problemen leidt dan vind ik het evident dat het malware-verhaal wat ingewikkelder in elkaar zit dan dat de ongenuanceerde positie dat Windows inherent bagger is op dat vlak. Als ik zie hoe godsgruwelijk veel pogingen dagelijks gedaan worden om op Linux-machines binnen te komen via poorten die voor het internet open staan (web, mail, ssh etc.) dan durf ik te stellen dat ook daar goed beheer nodig is om geen puinhoop te krijgen.

En bedenk ook dat je het over verscheidene aspecten van systemen hebt. Het distributiemodel voor de software is wat anders dan de dynamiek van vendor lock-in en beiden zijn wat anders dan de technische kwaliteit van de kernel en subsystemen daarvan. En bedenk ook dat wat je als consument of klein-zakelijke gebruiker ziet heel anders ingericht kan zijn op professioneel beheerde netwerken (bijvoorbeeld distributie van software-updates en beheer van instellingen).

Dat maakt dat valide argumenten heel wat genuanceerder en complexer zijn dan een simpel windows=slecht en linux=goed. Door te doen alsof alles aan Windows niet deugt maak je jezelf ongeloofwaardig tegenover iedereen die in levende lijve gezien heeft dat dingen een stuk beter blijken te kunnen dan jij beweert. Als je er een karikatuur van maakt dan komen je argumenten niet aan, inclusief argumenten die wél kloppen. En helemaal als je de indruk wekt dat je koste wat het koste naar een bepaalde conclusie toe aan het redeneren bent. En die indruk maak je net zo sterk als karma4 die bij zijn stokpaardjes maakt.

Al voor de Tweede Wereld oorlog bestonden er computers, Toen was Bill Gates nog niet geboren.
Dus het antwoord op je vraag is ja.
Je kunt nog verder terug in de tijd gaan als je de eerste mechanische tel- en sorteermachines ook nog mee telt. Dan kom je in de 19e eeuw uit.

ClosedSource is niet het grote probleem, maar de vendor-lock-in is een heel erg groot probleem.
Daarom hebben OpenStandaarden heel veel voordelen.

Dank je voor het onderbouwen van mijn stokpaardje waar jij het mee eens bent.
En niet bedankt voor het zo weinig van je laten horen waarbij het chaotische verhaal op kan voortleven.

Ik hoop dat ze daar ondertussen de EOL versies gemigreerd hebben naar momenteel ondersteunde versies.

Waarschijnlijk minder, dan iedere x maanden migreren naar een nieuwe versie. Upgrades / migraties zijn pas de kosten post in bedrijven. Immers dan moet je alles weer opnieuw gaan testen.


Valt wel mee. Voordeel is meestal dat hierop je applicaties tenminste draaien. Iedereen het kent. Iedereen weet hoe die er mee om moet gaan.
Dat zijn grote kosten besparingen voor het bedrijfsleven.

Je kiest een OS vanwege de applicaties die je wilt draaien om je bedrijf te laten draaien. Daar draait het uit eindelijk om in het bedrijfsleven.

" Als ik zie hoe godsgruwelijk veel pogingen dagelijks gedaan worden om op Linux-machines binnen te komen via poorten die voor het internet open staan (web, mail, ssh etc.) dan durf ik te stellen dat ook daar goed beheer nodig is om geen puinhoop te krijgen. "

deze logica is incorrect. het zichtbaar hebben van veel mislukte inbreuk pogingen is geen enkele indicatie voor een al dan niet niet zichtbare gelukte poging. om 'puinhoop' te krijgen is echter die gelukte inbraak poging nodig. welke conclusie dan ook gebaseerd op deze foute logica is daarom in zijn gunstigste geval toevallig correct en in zijn meest waarschijnlijke geval net zo onjuist. er is zeker geen bewijs geleverd. dit behoeft toch geen verdere uitleg toch?

Ik heb vaak genoeg van me laten horen als jij de grootst mogelijke onzin over Linux aan het uitkramen was. Ik ben het roerend met je eens als wat je schrijft erop neerkomt dat geen enkel platform inherent veilig is en goed beheer altijd noodzakelijk is, maar je "onderbouwt" dat vaak door Linux af te kraken met voorbeelden van slecht beheer die niet aan Linux zelf liggen of met voorbeelden die zo zwaar verouderd zijn dat het vergelijkbaar is met veronderstellen dat de instabiliteit van Windows ME op hedendaagse versies geprojecteerd kan worden. Dáárin geef je blijk van stokpaardjes die ik net zo hard van weerwoord voorzie als ik nu deze twee mensen van weerwoord heb voorzien.

Kennelijk heb je wel verdere uitleg nodig ;-).

Bij een goed geconfigureerd en up-to-date systeem zijn die meldingen inderdaad niet ernstig. Als een systeem niet up-to-date of slecht geconfigureerd is is het heel goed mogelijk dat zo'n poging blijkt te slagen. En dus is er daar ook goed beheer nodig om er geen puinhoop van te maken. Dat goede beheer hoeft helemaal niet omslachtig en moeilijk te zijn, maar het moet wel gebeuren.

"Bij een goed geconfigureerd en up-to-date systeem zijn die meldingen inderdaad niet ernstig. Als een systeem niet up-to-date of slecht geconfigureerd is is het heel goed mogelijk dat zo'n poging blijkt te slagen. En dus is er daar ook goed beheer nodig om er geen puinhoop van te maken. Dat goede beheer hoeft helemaal niet omslachtig en moeilijk te zijn, maar het moet wel gebeuren."

het hebben van veel pogingen is ook geen indicator van een juist of onjuist geconfigureerd systeem. het zegt dus gewoon niets en ook deze redenering is weer eerder emotioneel dan rationeel. het is immers zo dat goed beheer los staat van het aantal pogingen dat gedaan wordt en de originele redenering was dat het aantal pogingen een teken van success tot aanval zou zijn en mede daarmee een teken voor slecht beheer. dat is allemaal cowboy taal die ik niet associeer met fatsoenlijk geschoolde professionele security mensen.

"Valt wel mee. Voordeel is meestal dat hierop je applicaties tenminste draaien. Iedereen het kent. Iedereen weet hoe die er mee om moet gaan. Dat zijn grote kosten besparingen voor het bedrijfsleven. "

ik durf vrijwel zeker te stellen dat niet alle kosten zichtbaar zijn voor de beslissers in het bedrijfsleven.

hier een basis les https://en.wikipedia.org/wiki/Constrained_optimization

als in besluitvorming (het vinden van een optimale oplossing/strategie voor een doel) niet alle randvoowaarden bekkend zijn, dan is de gevonden oplossing incorrect. het is namelijk mathematisch zo dat de randvoorwaarden (en zo ook in de natuur op de micro canonische schaal, met allerlij fascinerende consequenties voor hen die het kunnen volgen: https://arxiv.org/abs/quant-ph/0302184) bepalend zijn voor de oplossingen. de eerder gevonde oplossing voldoet immers nog niet aan alle randvoorwaarde, en is daarom niet realiseerbaar. men verbijlft in het whishfull thinking domein en we kennen dat allemaal als spreadsheet managers die geen oog meer voor de werkelijke wereld blijken te hebben.

dus, na deze kleine opbouw, je redenering is pas juist indien alle randvoorwaarden bekend zijn en dat is veelal niet zo (blijkt vanzelf als je doorleest). sterker nog, ik durf zelfs te stellen dat vele beslissers van te voren noooooit hadden zien aankomen dat er een wannacry of een eternalblue aan zat te komen. de eenvoudige constatering dat deze dingen een 'ramp' lijken voor sommige bedrijven geeft dat al aan. een flinke onvoorziene kostenpost die niet tijdens het beslissen meegenomen is. niet alle randvoorwaarden waren bekend.

kort samengevat, zonder totaal overzicht geen totale optimilizatie mogelijk. beperkt overzicht, oplossing beprekingen en er komt een moment dat die niet meer van toepassing zijn. beveilging is daraom ook een continue process met steeds opnieuw evalueren en aanpassen. de zwakke schakels monitoren en ingrijpen op die lagen. update doorvoeren, OS wisselen, allerlij praktisch technische dingen die je kunt doen om de zwakste schakel te beschermen. afsrapekn en procedures kunnen daarbij katalyseren, maar los staand zijn het geen oplossingen ansich: er is iets realistisch nodig en niet een besluitje of papiertje waarmee niets in de praktijk veranderd is.

Q.E.D.

Iets om in de gaten te houden ;-).
Alleen kan alles van tegenvoorbeelden voorzien worden:
- Er bestaan open source-projecten met code die echt van abominabele kwaliteit is (dcraw, een programma om raw images van fotocamera's te converteren, was lange tijd de enige optie die daarvoor beschikbaar was en de sourcecode behoort tot de meest ondoorgrondelijke die ik van mijn leven onder ogen heb gehad, het is een grote brei van neveneffecten waarvan ondudielijk is waar ze ontstaan).
- Er bestaan open source-projecten waarvan de makers opeens besluiten dat ze hun energie liever in iets anders steken zonder dat iemand het balletje overneemt (een programma waarmee gelijkende afbeeldingen gezocht konden worden, zelfs op basis van schetsjes die je maakte van wat je je herinnerde, en zonder meteen je fotoverzameling op te willen slokken in een eigen opslagstructuur, is domweg niet meer beschikbaar en ik heb er nooit een goed alternatief voor gevonden).
- Er bestaan closed source besturingssystemen die qua stabiliteit en beveiliging tot de top behoren (Z/OS voor mainframes bijvoorbeeld, ondanks de archaische benadering van gegevensverwerking vind ik de kwaliteit daarvan ronduit indrukwekkend).

Die voorbeelden bewijzen niet het tegendeel van wat je beweert, ze illustreren dat wat je stelt niet gegarandeerd is, dat het beeld diverser is. Je hebt in grote lijnen zeker een punt, maar maak er alsjeblieft niet zo'n karikatuur van.

Je hebt gelijk dat de meldingen geen relatie hoeven te hebben met al dan niet geslaagde pogingen een systeem binnen te komen.

Dat ik erover begon in mijn antwoord op Neb was als illustratie bedoeld: je hoeft maar een blik op je logs te werpen en het is overduidelijk dat er van alles geprobeerd wordt. Mijn taalgebruik was met "je hoeft maar te zien hoe godsgruwelijk veel..." indedaad wat aangedikt van stijl. Ik bedoelde daarmee echter beslist niet te zeggen dat je zonder die meldingen veilig bent, en ook niet dat als je negen keer een afwezige kwetsbaarheid niet hebt kunnen exploiteren dat het de tiende keer dan opeens wel zou lukken. Het was een reactie op een wel heel eenzijdige nadruk op het besturingssysteem als risicofactor, ik wilde aangeven dat je goed beheer ook bij een goed besturingssysteem niet over kan slaan.

In mijn antwoord aan jou bedoelde ik "zo'n poging" als referentie aan jouw "al dan niet niet zichtbare gelukte poging", niet alleen aan de zichtbare. Ik heb in het geheel niet beweerd dat het aantal pogingen een teken van succes van de aanvaller zou zijn.

(helemaal off-topic)
Dank voor de links. Dat is inderdaad het soort dingen dat ik bedoelde. De eerste twee draaien op platforms die ik niet gebruik.

DigiKam gaat het voor mij ook niet worden, denk ik. Ik knap af op de manier waarop KDE-programma's zo vaak half KDE proberen mee te slepen en te activeren. Met digiKam komen nog 41 andere pakketten mee die ik nog niet heb geïnstalleerd, waaronde akonadi, de PIM-server van KDE. Dat is het programma waarvan ik, als ik me niet vergis, in het verleden ondervonden heb dat het, zodra die via een KDE-toepassing op de achtergrond gestart wordt, mijn hele omvangrijke (want veel raw images) home-directory ging indexeren. Mijn systeem bevroor destijds nagenoeg door de intensieve en eindeloos voortdurende disk-activiteit en ik kon nergens ook maar enige informatie vinden over hoe je dat voorkomt.

Ook ben ik niet kapot van de mate waarin digiKam een totaaloplossing voor fotobeheer probeert te zijn en daarbij een recht-toe-recht-aan directorystructuur, die ik al naar volle tevredenheid heb ingericht, door een eigen albums-view vervangt (software voor fotografen lijkt er trouwens opvallend vaak van uit te gaan dat fotografen niets van computers en directorystructuren snappen maar het opeens wel aankunnen als er een abstractielaag overheen ligt die net zo goed een hiërarchische indeling oplevert). Ik zie dat je directory's kan importeren maar niet wat er dan precies gebeurt. Worden er dingen verplaatst? Gekopieerd en dus dubbel opgeslagen? Blijft het staan? Wordt er van alles aan toegevoegd? Ik wil dat weten omdat ik voornamelijk buiten die software om met mijn foto's zal blijven werken. Ik heb vergelijkbare software (als het niet digiKam was) van mijn systeem afgegooid vanwege ongewenst gedrag in dat opzicht. Het lijkt erop dat men dit soort vragen in de handleiding en FAQ's niet beantwoordt, daar beschrijft men alleen hoe je door een digiKam-bril naar je foto's kijkt en niet naar hoe dat van buiten digiKam eruit ziet. Jammer, zoiets dwingt tot een hoop geëxperimenteer met (voor zover ik nu zie) ongedocumenteerde eigenschappen van de software.

Ik heb al een toolset (deels zelf geschreven) en een voor mij goed ingeregelde workflow bij het bewerken van foto's, en heb geen behoefte aan totaaloplossingen die wezenlijk andere benaderingen, indelingen en bedieningswijzen opdringen. Het is vanuit dat perspectief jammer dat zo'n zoek-met-voorbeeld-functie niet als afzonderlijke component maar als deel van een veel groter geheel wordt aangeboden. De unix-filosofie zou zijn om afzonderlijke componenten te maken die goed met elkaar kunnen samenwerken maar die ook zonder elkaar kunnen functioneren. Sinds KDE4 uitkwam volgt KDE een heel andere benadering.

Ik zie wel dat digiKam iets gebruikt dat het Haar-algoritme (een wavelet-transformatie) heet om plaatjes te karakteriseren, en ik zie dat er library's zijn die die transformatie ondersteunen, onder meer voor Python. Misschien geeft dat aanknopingspunten om zelf iets te bouwen (en ja, ik ken het perl-programma findimagedupes en vind het niet goed genoeg).

Mindfinder is trouwens tot indrukwekkende patroonherkenning in staat, zo te zien.

;-)

¨Dat ik erover begon in mijn antwoord op Neb was als illustratie bedoeld: je hoeft maar een blik op je logs te werpen en het is overduidelijk dat er van alles geprobeerd wordt. Mijn taalgebruik was met "je hoeft maar te zien hoe godsgruwelijk veel..." indedaad wat aangedikt van stijl. Ik bedoelde daarmee echter beslist niet te zeggen dat je zonder die meldingen veilig bent, en ook niet dat als je negen keer een afwezige kwetsbaarheid niet hebt kunnen exploiteren dat het de tiende keer dan opeens wel zou lukken. Het was een reactie op een wel heel eenzijdige nadruk op het besturingssysteem als risicofactor, ik wilde aangeven dat je goed beheer ook bij een goed besturingssysteem niet over kan slaan.¨

dan hierbij het vriendelijke verzoek dat voortaan met inhoudelijk steekhoudende argumenten te doen en niet met duidelijk onjuiste en aangedikte beweringen.

Ik heb vaak genoeg aangegeven dat het beheer in de hoek en dan zeker in de big data hoek (bi dwh etc) rammelt omdat betreffende beheerders zich aan verouderde zaken blijven vastklampen (eg die 16 groepen limiet). Dat gaat gecombineerd met een weigering om zich voor een vernieuwing in te zetten. deze vernieuwing zouden de gangbare richtlijnen moeten ondersteunen i.p.v. ze te frustreren.
De voorbeelden mogen je verouderd overkomen, niets is ouder dan een jaar of 8. Het meeste speelt nog heden ten dage.
Gaarne een voorbeeld van waar jij het in die hoek niet mee eens bent.

Je reikt het op een dienblaadje aan, op die 16-groepenlimiet heb ik je eerder met deze link geantwoord:
http://nfsworld.blogspot.nl/2005/03/whats-deal-on-16-group-id-limitation.html
Daarin wordt beschreven dat NFSv4 én die limiet niet meer heeft én met ACL's een alternatief ondersteunt. En die tekst is geschreven in 2005, ruim 12 jaar geleden, da's meer dan de 8 jaar die je noemt.

Het is best mogelijk dat je met beheerders te maken hebt die aan verouderde zaken blijven vastklampen, maar dat als argument tegen Linux gebruiken is hetzelfde als verouderde Windows-versies als maatstaf voor de huidige staat van Windows hanteren. Met ME overdreef ik, maar 8 jaar geleden waren Vista/2008 actueel en 12 jaar geleden XP/2003. Als in een organisatie dingen niet verholpen zijn die in een produkt wél verholpen zijn dan kan die organisatie het probleem oplossen door te besluiten een actuele versie van dat produkt uit te rollen. Doen ze dat niet dan gaat je klacht over de organisatie en niet over het produkt. Jij gebruikt dat soort klachten regelmatig tegen een produkt als dat produkt Linux heet of op Linux draait, en als mensen je op je attributiefout wijzen doe je alsof de blinde vlek bij hun zit. Niet fraai, karma4.

Zoals ik ook vaak genoeg aangegeven heb: dat soort zaken spelen bij elk os. Geen reden om met een os flaming war tegen een ander os bezig te zijn en dat als argument hebben om niets aan de eigen omgeving te willen doen. Dat is niet fraai

Ik zit met smart te wachten op de houding dat os beheerders gehoor geen geven aan informatieveiligheid. Dat is verder kijken dan het doosje. Kun je dat doel zien?


Voor de realiteit ik had last van beheerders die vasthield aan die limiet als enige waarheid rond 2010. Ik weet dat het nog niet veranderd is ik zie het nu nog gehaneerd worden.
Ik weet wel dat het niet meer valide is als je tenminste bijwerkt en je je systeem kent. Maar hoe verander je die realiteit bij anderen?

"Dat is verder kijken dan het doosje."

er zal altijd een doosje met een OS nodig zijn en daar zal een verstandige keuze gemaakt moeten worden want anders is het de zwakste schakel in de keten weer. procedures en afspraken op papier zijn in de werkelijke wereld theorie en geen praktijk!

Doosjes zijn een middel niet het doel. Het lijkt als doel er op dat alles als een spijker er uit ziet als je alleen en hamer kent.
De procedures en afspraken met tot op het doosje toe gerealiseerd worden. Het is niet zo dat de doosje beheerder de procedures en afspraken bepaalt, dat is nu net de verkeerde insteek.

"Doosjes zijn een middel niet het doel. Het lijkt als doel er op dat alles als een spijker er uit ziet als je alleen en hamer kent.
De procedures en afspraken met tot op het doosje toe gerealiseerd worden. Het is niet zo dat de doosje beheerder de procedures en afspraken bepaalt, dat is nu net de verkeerde insteek."

en steeds is het doosje de zwakste schakel, procedures en afspraken die opgevolgd hadden moeten zijn ten spijt. blijf maar in de theorie, de praktijk laat je steeds iets anders zien. eenvoudige logica: geen doosjes, geen exploits. wel doosje geen procedures, geen conclusies mogelijk.

ik vind je benadering erg naief en met oogkleppen gepaard gaan.