Is dit het resultaat van het blind implementeren van de Berkley TCP stack die Microsoft overgenomen heeft?

Hoe verantwoordelijk is het nog om als security professional een workaround aan te bevelen? Keer op keer blijkt dat deze vaak niet voldoende zijn en gebruikt worden als excuus om niet de noodzakelijke updates te installeren. Updaten is wat mij betreft de enige goede optie en als je daar niet toe in staat bent moet je zorgen dat je dat wel bent, nu en in de toekomst.

Stelling: We moeten stoppen met het aanbevelen van workarounds en duidelijk maken dat (beveiligings)updates installeren de enige juiste keuze is.

Work around is denk alleen geadviseerd wanneer direct updaten/herstarten niet mogelijk is, dus als tijdelijke oplossing maar met in achterhoofd dat updaten alsnog zo snel mogelijk daarna moet, het is geen oplossing.

Meeste bedrijven draait de Windows DNS Server op Domain Controllers, welke vaak ook verdeeld zijn in een "cluster", oftewel updaten/herstarten moet geen probleem zijn.

Voorbeeld bij ons:
Wij hebben gister avond MECM (SCCM) ingesteld dat alle DNS Servers vannacht moesten updaten met een herstart.
Vanmorgen controle en alles is goed verlopen.
Niemand die er last van heeft gehad.

Je bent als "security professional" een adviseur, niet een beslisser. Je geeft dus aan wat de mogelijkheden zijn maar de uiteindelijke beslissing is niet aan jou.

Je kan jezelf aanrekenen dat je kennelijk niet goed genoeg geadviseerd hebt, maar dat geeft je niet het recht om op de stoel van de beslisser te gaan zitten. Ik snap wel dat je het probeert, microsoft zelf doet het ook, vaak zelfs, door bijvoorbeeld de mogelijkheid van updates installeren uitstellen (want je hebt nu wat anders te doen en het werk moet wel gewoon op tijd af) steeds verder te beperken en zelfs weg te nemen. Waarmee ze zichzelf belangrijker vinden dan hun klanten. Ze zijn niet de enige die zo handelen maar onderhand begrijp ik echt niet meer dat mensen en bedrijven zich zo laten betuttelen. En al helemaal niet waarom we niet veel luider om betere software met minder defecten roepen, en daar de fabrikanten op uitzoeken.

Denk het niet. Het is nog altijd beter software te gebruiken die geen updates nodig heeft, die je ook wel overwegend veilig kan gebruiken zonder eerst een firewall en een antivirus te installeren, en zo verder. En aangezien er best wel gradaties te zien zijn in hoeveel updates verschillende softwarepakketten nodig hebben, en hoe groot de schade is als dat zo is, is een goede selectie waarin je de aspecten van security en hoeveelheid te verwachten nodige updates vooraf meeweegt een belangrijke eerste stap. En dus ook het heroverwegen van je selectiekeuzes als de updates-vereisende problemen groter zijn en/of vaker voorkomen dan gedacht.

Dus nee, "de enige juiste keuze" is het niet. Want je neemt daarmee impliciet de keuze van de software die updates nodig heeft als in beton gegoten aan. En daar moeten we vanaf, want we willen juist dat er betere software die minder onderhoud nodig heeft op de markt komt.

Omdat het het helaas blijft dat Microsoft soms wat issues heeft met Updates? Een registry key doorvoeren gaat dan een stuk gemakkelijker en is minder risicovol?

De Patch installeren is natuurlijk het beste, maar je moet dit wel kunnen en mogen doen.

Als we de open-source optie "bind 9" vergelijken met de Microsoft DNS server dan moeten we helaas constateren dat
er in bind ook wel de nodige security problemen geweest zijn en er de nodige patches overheen gegaan zijn.
Kennelijk is het implementeren van het nogal complexe DNS protocol wel vaker aanleiding geweest tot problemen.

@Anoniem 08:30
Dat je hiermee op de stoel van een beslisser gaat zitten ben ik met je eens. Vanuit dat perspectief kan ik mij voorstellen dat je wel alle mogelijkheden wilt benoemen.
Het lijkt mij dan wel goed om nadrukkelijk te benoemen dat workarounds niet altijd werken of alle aanvallen tegen gaan, ondanks dat een leverancier anders wil beweren. Daarmee zijn workarounds toch een vorm van schijnveiligheid. Sterk adviseren tegen het gebruik van een workaround dus, maar wel blijven benoemen dat het als optie beschreven staat.

Ik kan mij overigens niet echt vinden in een antwoord als 'Microsoft heeft veel problemen met updates', dan moet je toch echt een stapje terug nemen en afvragen of je Microsoft nog wel als leverancier wilt hebben. Dat updates niet altijd uitgerold kunnen worden kan ik mij wel in vinden, al moet je wel bedenken dat je niet altijd het geluk hebt van een workaround. Zorgen dat je in de toekomst wel tijdig updates kan uitrollen lijkt mij dan van het grootste belang.