image

Duitse overheid geeft tips voor het veilig instellen van Office

woensdag 19 juni 2019, 11:48 door Redactie, 26 reacties

De Duitse overheid heeft tips voor het veilig instellen van Microsoft Office gepubliceerd, omdat de kantoorsoftware van Microsoft veelvuldig wordt gebruikt om malware te verspreiden. Aanvallers richten zich dan op onveilige configuraties of standaard functionaliteit zoals macro's en HTML-weergave.

Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, meldt dat de afgelopen maanden tal van Duitse bedrijven met malware zoals Emotet zijn getroffen die grote schade aanrichtte. Emotet wordt voornamelijk verspreid via e-mailbijlagen die een Word-document met een kwaadaardige macro bevatten.

Daarom doet het BSI nu aanbevelingen voor het veilig configureren van Microsoft Office. Het gaat daarbij om veilige configuraties voor de verschillende Office-onderdelen, zoals Word, Excel, Outlook en PowerPoint. De adviezen bestaan onder andere uit het uitschakelen van Visual Basic for Applications voor Office-applicaties, het beperken van ActiveX-installaties, het uitschakelen van password caching en het blokkeren van macro's in Office-bestanden die van het internet afkomstig zijn.

De Duitse overheidsinstantie merkt op dat de aanbevelingen met name zijn bedoeld voor middelgrote tot grote organisaties waar systemen via Group Policy in een Active Directory-omgeving worden beheerd. De onderliggende beveiligingsprincipes zijn echter ook van toepassing voor kleine organisaties en eindgebruikers. "De aanbevelingen zijn zonder het aanschaffen van aanvullende producten uit te voeren en vereisen relatief weinig moeite om door te voeren", aldus het BSI.

Image

Reacties (26)
19-06-2019, 12:06 door Anoniem
Eh... Uninstall? Lijkt me best veilig :)
19-06-2019, 12:22 door Anoniem
Das ist ja alles auf Deutch ja!
19-06-2019, 12:49 door Anoniem
als je nou even aan lekken vertel hoe en uitleg geeft i p v
zo domme opmerking niet iedereen heeft verstand van zaken zo als Windows/office
mekaar weg wijs maken is pri
19-06-2019, 13:02 door Anoniem
Door Anoniem: Eh... Uninstall? Lijkt me best veilig :)
Als je bedoelt dat een computer veilig is, wanneer alle software inclusief OS verwijderd is, dan heb je misschien een punt. Maar dat is een zinloos kastje. In alle gevallen is het gebruik van software verbonden aan risico, want het is door mensen gemaakt en kan een zwak punt bevatten. Je zou natuurlijk ook kunnen aanraden om het bedrijf te sluiten, dan kan het ook niet in de problemen komen....
19-06-2019, 13:03 door Anoniem
Door Anoniem: Eh... Uninstall? Lijkt me best veilig :)
Als particulier inderdaad verwijderen en een alternatief gebruiken, maar bedrijven zullen het niet verwijderen om compatibiliteit problemen te voorkomen.
19-06-2019, 13:44 door karma4
Wat er genoemd is lijken me de standaard normale beheersactiviteiten. Niet echt bijzonder.

Dat het voor sommigen met een ander os goed beheer een groot probleem is, dat is wat anders.
Natuurlijk wel iets om eens goed te gaan doen.
19-06-2019, 14:02 door johanw
Macro's in Office staan standaard al uit, als iemand die aanzet is dat bewust. Hoewel het product waar ik nu aan werk het ook voor je kan aanzetten bij installatie (is nodig voor de werking), dat is maar een registry key omzetten.
19-06-2019, 14:28 door [Account Verwijderd]
Door karma4: Wat er genoemd is lijken me de standaard normale beheersactiviteiten. Niet echt bijzonder.

Dat het voor sommigen met een ander os goed beheer een groot probleem is, dat is wat anders.
Natuurlijk wel iets om eens goed te gaan doen.

Het advies is gericht aan Microsoft Office gebruikers en beheerders dus dat andere OS heeft niets met dit onderwerp te maken.
19-06-2019, 14:52 door Anoniem
Hoeveel klikwerk is dit? Als je het niet in een bestandje kan verpakken, bijvoorbeeld een batchfile of een registry-uittreksel, en dan met een enkele handeling het systeem zich daarnaar laten voegen, dan gaan er geheid verschillen onstaan als je meer dan een computer moet instellen. Dat is de grote ramp van "klickibunti"-"beheer".

Daarnaast, zie ik "alleen door een Vertrouwde Uitgever gesigneerde toevoegingen toestaan". Wie doet dat vertrouwen precies, en hoe werkt dat? Nou, niet jezelf, maar redmond, en als je zelf toevoegingen geknutseld hebt mag je veel moeite doen en geld verpatsen om zo'n "Vertrouwde Uitgever" te worden, of je bedrijfsinterne toevoegingen werken ineens niet meer. Handig!

Ik begrijp de motivatie best hoor, maar ik wijs even op dit neveneffect. Wat betekent dat het mechanisme niet optimaal is. Zeg maar ad hoc inelkaar geflanst danwel expres zo neergezet maar het is niet in jouw belang het precies zo te doen.
19-06-2019, 15:38 door karma4
Door Kili Manjaro:
Het advies is gericht aan Microsoft Office gebruikers en beheerders dus dat andere OS heeft niets met dit onderwerp te maken.
Whaaahha selectieve blindheid je had dan op Anoniem 13.03 moeten reageren.
19-06-2019, 19:07 door Anoniem
Mij ontgaat de reden om maar Office te blijven gebruiken,
in Openoffice, Libreoffice kunnen documenten ook in Windows Office extensie worden opgemaakt als uitwisselen een probleem zou zijn.

Nog beter zou het zijn om de open standaard aan te houden.
19-06-2019, 22:12 door [Account Verwijderd] - Bijgewerkt: 19-06-2019, 22:14
Door Anoniem: Nog beter zou het zijn om de open standaard aan te houden.

Inderdaad! Al was het alleen maar om bestandsrot te vermijden. Allerlei esoterische officeformaten die uit de mode geraken zorgen voor bestanden die uiteindelijk niet meer of heel moeilijk te lezen zijn. Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.
20-06-2019, 11:01 door karma4
Door En Rattshaverist: ....
Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.
Genoeg open standaarden die verlaten zijn door hun onwerkbaarheid en betere alternatieven.
Ik denk niet dat er veel zijn die x y coördinaten naar huidige kaarten omzetting snappen.
20-06-2019, 11:39 door [Account Verwijderd]
Door karma4:
Door En Rattshaverist: ....
Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.
Genoeg open standaarden die verlaten zijn door hun onwerkbaarheid en betere alternatieven.
Ik denk niet dat er veel zijn die x y coördinaten naar huidige kaarten omzetting snappen.

Een open standaard is onsterfelijk omdat de informatie erover publiek is. Je kan het dus altijd achteraf oppakken.
20-06-2019, 13:26 door Anoniem
Door En Rattshaverist:
Door karma4:
Door En Rattshaverist: ....
Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.
Genoeg open standaarden die verlaten zijn door hun onwerkbaarheid en betere alternatieven.
Ik denk niet dat er veel zijn die x y coördinaten naar huidige kaarten omzetting snappen.

Een open standaard is onsterfelijk omdat de informatie erover publiek is. Je kan het dus altijd achteraf oppakken.
Open standaard is altijd goed. Iets waar het MS Office OOXML formaat ook aan voldoet.

Office Open XML (OOXML) is een open bestandsformaat voor Office-documenten. De standaard werd gestandaardiseerd door Ecma International en ISO/IEC en is gebaseerd op een formaat dat door Microsoft werd ontwikkeld voor Office 12 en tijdens die ontwikkeling is overgedragen aan Ecma. Ecma heeft het formaat vervolgens gestandaardiseerd tot de standaard Ecma 376 - Office Open XML File Formats en bij ISO/IEC ingediend. ISO/IEC heeft het formaat vervolgens gestandaardiseerd als ISO/IEC 29500:2008, Information technology - Document description and processing languages - Office Open XML file formats.
https://nl.wikipedia.org/wiki/Office_Open_XML
20-06-2019, 13:53 door Anoniem
The world is full of good intentions : https://xkcd.com/927/
20-06-2019, 14:19 door [Account Verwijderd]
Door En Rattshaverist:
Door Anoniem: Nog beter zou het zijn om de open standaard aan te houden.

Inderdaad! Al was het alleen maar om bestandsrot te vermijden. Allerlei esoterische officeformaten die uit de mode geraken zorgen voor bestanden die uiteindelijk niet meer of heel moeilijk te lezen zijn. Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.

Zowel MS Word als Libre Office Writer kunnen gewoon WordPerfect documenten openen.
20-06-2019, 14:22 door [Account Verwijderd]
Door karma4:
Door En Rattshaverist: ....
Of kan jij nog bv. een Wordperfect document openen? Open standaarden zijn onsterfelijk.
Genoeg open standaarden die verlaten zijn door hun onwerkbaarheid en betere alternatieven.
Ik denk niet dat er veel zijn die x y coördinaten naar huidige kaarten omzetting snappen.

Wat hebben X Y Coördinaten en kaarten hiermee te maken?
20-06-2019, 15:36 door karma4
Door Kili Manjaro:
Wat hebben X Y Coördinaten en kaarten hiermee te maken?
Open standaarden ..
De x y coördinaten zijn Nederlandse standaarden. De nu gangbare standaarden zoals wgs84 vragen om een vertaalslag. Ga je gang en vergeet ds projectie niet.
Wil bij ict blijven denk dan eens aan de open standaarden als x-series. Je kunt er niets meer mee als je al iemand treft waar het over gaat.
20-06-2019, 21:25 door Anoniem
Door karma4:
Door Kili Manjaro:
Wat hebben X Y Coördinaten en kaarten hiermee te maken?
Open standaarden ..
De x y coördinaten zijn Nederlandse standaarden.
Noem het bij zijn naam als je wilt dat mensen snappen waar je het over hebt: het Rijksdriehoeksstelsel of RD-coördinaten. X en Y worden in veel meer contexten als benaming voor de horizontale en vertikale as gebruikt, dat is niet de naam van het stelsel.
De nu gangbare standaarden zoals wgs84 vragen om een vertaalslag. Ga je gang en vergeet ds projectie niet.
Al die systemen zijn nauwkeurig gedefinieerd en hoe ze in elkaar omgerekend kunnen worden is bekend. Het punt van open standaarden is dat dat bekend blijft, ook als een standaard opgevolgd wordt door een andere. Het punt dat En Rattshaverist maakt is dat dat bij gesloten formaten, die duidelijk ook in onbruik raken zoals bij Wordperfect, een stuk lastiger kan liggen. De formaatbeschrijving is daar niet openbaar, op zijn best via reverse engineering benaderd, en voor de toekomst ben je mogelijk afhankelijk van de welwillendheid van een leverancier die als je pech hebt helemaal niet welwillend is en mogelijk zelfs helemaal niet meer bestaat.
Wil bij ict blijven denk dan eens aan de open standaarden als x-series. Je kunt er niets meer mee als je al iemand treft waar het over gaat.
Er zijn verschillende dingen die x-series worden genoemd dus weet ik niet waar je nu aan refereert. Als het een open standaard is/was dan zal de specificatie ervan vrijwel zeker nog beschikbaar zijn. Het punt is niet dat er een kant en klare implementatie om een formaat te verwerken klaarstaat om je verder te helpen, het punt is dat de informatie om het te kunnen ontcijferen nog beschikbaar is voor wie er echt werk van wil maken.

Een van de redenen dat, nog voordat Microsoft OOXML een versneld standaardisatietraject inloodste, ODF hoge ogen gooide bij overheden en historici is dat ODF al ver gevorderd was in een formeel standaardisatietraject waar ook die historici en overheden in participeerden. Die partijen hadden dringend behoefte aan een documentformaat dat ook over 400 jaar en daarna nog ontcijferd kan worden. Dat is in principe mogelijk als de formaatspecificatie openbaar is en in dezelfde archieven bewaard wordt waar ook overheidsdocumenten belanden. Zowel overheden die aan hun eigen archiefwetten willen voldoen als historici die willen dat de huidige tijd in de verre toekomst nog onderzocht kan worden hechten daar grote waarde aan. Je kan er zeker van zijn dat de specificaties van het Rijksdriehoekstelsel ook om die reden zorgvuldig worden bewaard en beschikbaar blijven.
21-06-2019, 14:56 door karma4 - Bijgewerkt: 21-06-2019, 14:59
Door Anoniem:
Noem het bij zijn naam als je wilt dat mensen snappen waar je het over hebt: het Rijksdriehoeksstelsel of RD-coördinaten.
Het zijn de elementaren zoals ze her en der voorkomen. Dat het om rd aanduiding gaat wordt als kennis verwacht.

Al die systemen zijn nauwkeurig gedefinieerd en hoe ze in elkaar omgerekend kunnen worden is bekend.
...
De formaatbeschrijving is daar niet openbaar, op zijn best via reverse engineering benaderd, en voor de toekomst ben je mogelijk afhankelijk van de welwillendheid van een leverancier die als je pech hebt helemaal niet welwillend is en mogelijk zelfs helemaal niet meer bestaat.
Ik had deze juist genomen omdat de veronderstelling dat het bekend zijn ook Iers werkbaar is, juist niet opgaat.
Je kent de achterliggende problematiek kennelijk niet.
Er wordt bij de bekende omrekening al aangegeven dat het niet perfect gaat. Onbruikbaar voor bepaalde toepassingen.
Wat er dan gebeurd is commerciële gesloten software aanschaffen. Een naam in deze markt is arcgis.

Er zijn verschillende dingen die x-series worden genoemd dus weet ik niet waar je nu aan refereert. Als het een open standaard is/was dan zal de specificatie ervan vrijwel zeker nog beschikbaar zijn. .., het punt is dat de informatie om het te kunnen ontcijferen nog beschikbaar is voor wie er echt werk van wil maken.
Als je meegemaakt hebt welke kosten en een niet onderhoudbaar iets als resultaat om b.v. x25 te gebruiken dan is zo' n stelling als jji probeert "het zou kunnen" gewoon ontkracht. Die kosten voor zo iets gaan niet geleverd worden.
Dat zelfde geldt voor de ddr computers die bestanden zijn verloren terwijl papiersnippers nog wel geanalyseerd worden.


Een van de redenen dat, nog voordat Microsoft OOXML een versneld standaardisatietraject inloodste, ODF hoge ogen gooide bij overheden en historici is dat ODF al ver gevorderd was in een formeel standaardisatietraject ....
Ik heb het niet over Microsoft als we het over open standaarden hebben. Bashing merkverslaving merkbaar is een raar iets. Gaarne het onderwerp zuiver houden.
In die office gevallen gaat het om XML.
Het meeste van die twee is identiek en beide openbaar.
Hetgeen microsoft heeft gedaan is wel verder en beter zoals aws gebruik. Bij Oasis open office vind je de wachtwoorden leesbaar in de xml.

Neem je het db3 db4 Wordperfect lotus123 en wat meer gesloten formaten dan zijn die door het massale gebruik dusdanig bekend dat er conversies voor zijn.

Het criterium is eerder in massaal gebruik meelopen met de massa is veiliger dan een afwijking gebruiken.
Een afwijking in oss is net zo problematisch als elke afwijking.

Ik wet zeker dat veel wat in de jaren 60 aan data gegenereerd is nu niet meer te achterhalen is omdat de gegevens voorgoed verloren zijn. Met onderzoek wordt ruwe data apart behandeld en die opslag gebeurt gewoon niet.
22-06-2019, 06:24 door [Account Verwijderd] - Bijgewerkt: 22-06-2019, 06:26
@karma4 Lees je zelf wel eens terug wat je intikt?

Door karma4: Het criterium is eerder in massaal gebruik meelopen met de massa is veiliger dan een afwijking gebruiken.
Een afwijking in oss is net zo problematisch als elke afwijking.

Over afwijkingen gesproken...
22-06-2019, 08:42 door Anoniem
Door karma4: Het zijn de elementaren zoals ze her en der voorkomen. Dat het om rd aanduiding gaat wordt als kennis verwacht.
Op een securityforum? Goed communiceren over off-topic kennis die je als voorbeeld gebruikt is wat wordt verwacht. Je framet nu je eigen slordigheid daarin alsof het de beperking van een ander is.

Ik had deze juist genomen omdat de veronderstelling dat het bekend zijn ook Iers werkbaar is, juist niet opgaat.
Je kent de achterliggende problematiek kennelijk niet.
Er wordt bij de bekende omrekening al aangegeven dat het niet perfect gaat. Onbruikbaar voor bepaalde toepassingen.
Wat er dan gebeurd is commerciële gesloten software aanschaffen. Een naam in deze markt is arcgis.
De nauwkeurige parameters zijn vrij beschikbaar voor softwareontwikkelaars, zie https://zakelijk.kadaster.nl/transformatie-van-coordinaten. Voor die kennis ben je uitdrukkelijk niet afhankelijk van commerciële gesloten software. Dat gebruik van geavanceerde GIS-software van een commerciële leverancier in heel veel gevallen een betere keuze is dan alles van de grond zelf opbouwen spreek ik echt niet tegen. Het punt is dat als bijvoorbeeld ArcGIS onderuit gaat daarmee deze kennis niet verdwijnt, die kan iedereen namelijk bij het het Kadaster opvragen.

Als je meegemaakt hebt welke kosten en een niet onderhoudbaar iets als resultaat om b.v. x25 te gebruiken dan is zo' n stelling als jji probeert "het zou kunnen" gewoon ontkracht. Die kosten voor zo iets gaan niet geleverd worden.
Wel als iemand het de moeite waard vindt, wat me voor bestandsformaten overigens waarschijnlijker lijkt dan voor een communicatieprotocol. Maar als voor een historisch, journalistiek of juridisch onderzoek een overgeleverde dump van X25-pakketjes onderzocht moet worden is het wel degelijk nuttig om de specificatie ervan beschikbaar te hebben. Nogmaals: het gaat er niet om dat het makkelijk is, het gaat erom dat het kan als het ergens voor nodig is.

Ik heb het niet over Microsoft als we het over open standaarden hebben. Bashing merkverslaving merkbaar is een raar iets. Gaarne het onderwerp zuiver houden.
Je vindt dat je zelf off-topic voorbeelden als het RD-stelsel kan inbrengen om een punt te maken en vindt dat ik het onderwerp niet zuiver houd door met een voorbeeld te komen dat een punt dat ik maak illustreert. Je meet met twee maten en voert daarmee de discussie op een onzuivere manier.

Bij Oasis open office vind je de wachtwoorden leesbaar in de xml.
Je kletst uit je nek. Natuurlijk zijn ze niet zo stom geweest.
https://docs.oasis-open.org/office/v1.2/os/OpenDocument-v1.2-os-part3.html

Neem je het db3 db4 Wordperfect lotus123 en wat meer gesloten formaten dan zijn die door het massale gebruik dusdanig bekend dat er conversies voor zijn.
Een conversie die het ene formaat afbeeldt op het andere kan alleen maar perfect zijn als het andere formaat alles uit het eerste formaat ondersteunt. Dat kan je bij een gesloten formaat niet weten. Er kan dus geen garantie zijn dat de conversie perfect is.

De programmacode waarin de conversies geïmplementeerd is moeilijker te ontcijferen dan formele formaatspecificaties. Als, zoals jij net stelde, de kosten in de toekomst te hoog zijn om die specificaties te hanteren dan zijn de kosten helemaal te hoog om programmacode voor niet meer gebruikte systemen werkend te krijgen of te ontcijferen. Dan ben je dus beter af met die specificatie. Het is niet voor niets dat men die wil kunnen bewaren voor de toekomst en de voorkeur geeft aan open specificaties die beschikbaar zijn om bewaard te worden. Dat geeft meer zekerheid dan wat jij voorstelt.

Overheden en historici maken zich niet alleen druk om praktische toepassingen in de nabije toekomst maar ook over wat over honderden jaren nog met die data gedaan kan worden.

Ik wet zeker dat veel wat in de jaren 60 aan data gegenereerd is nu niet meer te achterhalen is omdat de gegevens voorgoed verloren zijn. Met onderzoek wordt ruwe data apart behandeld en die opslag gebeurt gewoon niet.
Dat lang niet alle data bewaard zijn maakt niet dat data die wel bewaard zijn oninteressant zijn.
23-06-2019, 17:55 door karma4
Door Anoniem: ...
Je kletst uit je nek. Natuurlijk zijn ze niet zo stom geweest.
https://docs.oasis-open.org/office/v1.2/os/OpenDocument-v1.2-os-part3.html
...
De documentatie is open iedereen kan het zien.
Ik heb hem doorgenomen tot in de details en dat is wat er we degelijk in staat. De ontkenning en je negatieve houding van dat het niet waar kan zijn. Tja, dat is nu het probleem waardoor er zoveel mis zit en mis gaat.

Voor het open formaat van kadaster ga je aan voorbij dat daar de onmogelijkheid van exacte omzetting al aangegeven wordt.

Voor db4 lotus123 als gesloten formaten is de massaliteit van conversies dusdanig dat je iets bijzonders hebt als het bij jou niet goed zou gaan. Praktijk testen zijn belangrijker dan een theoretisch betoog wat de praktijk zou zijn.

Met die open speciaal aties juiste in de praktijk te vaak te veel hiaten door meerdere uitleg dat het niet bruikbaar is.
23-06-2019, 18:22 door [Account Verwijderd] - Bijgewerkt: 23-06-2019, 18:23
Door karma4: Voor db4 lotus123 als gesloten formaten is de massaliteit van conversies dusdanig dat je iets bijzonders hebt als het bij jou niet goed zou gaan. Praktijk testen zijn belangrijker dan een theoretisch betoog wat de praktijk zou zijn.

Een aantoonbaar juiste conversie door het beschikbaar zijn van informatie bij een open standaard is vanzelfsprekend van de grootste waarde. Jij zou toch moeten weten dat je met testen alleen de aanwezigheid van bugs (problemen) kan aantonen, nooit de afwezigheid. Bij een gesloten standaard kan je nooit zeker zijn dat de conversie altijd correct geschiedt. Hoeveel keren het ook goed gaat in voorbeelden.
23-06-2019, 21:42 door Anoniem
Door karma4: De documentatie is open iedereen kan het zien.
Ik heb hem doorgenomen tot in de details en dat is wat er we degelijk in staat.
Welke XML-tagnaam wordt voor het plain text wachtwoord gebruikt dan?
De ontkenning en je negatieve houding van dat het niet waar kan zijn. Tja, dat is nu het probleem waardoor er zoveel mis zit en mis gaat.
Ik heb een ODT-document aangemaakt en dat met een wachtwoord bewaard (het wachtwoord was "karma4". Ik heb het resultaat ge-unzipt en in de bestanden die daaruit voortkwamen gezocht naar de tekst "karma4". Die staat er niet in. Dit had ik voor alle duidelijkheid al gedaan voor ik die vorige reactie hier plaatste.

Daarna heb ik de specificaties opgezocht en gekeken of ik ergens kon vinden dat wachtwoorden leesbaar in de xml staan. In hoofdstuk 4 wordt beschreven wat in de manifest-file is opgenomen om de overige bestanden (die allemaal versleuteld zijn) te decoderen, vanaf paragraaf 4.4. Ik zie daar geen wachtwoord leesbaar opgeslagen worden. Elk veld heeft een XML-tag, dus geef alsjeblieft de paragraaf en de precieze XML-tagnaam waarin dat wachtwoord leesbaar wordt opgeslagen volgens jou, dan kan ik het verifiëren en wellicht nog iets van je leren.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.