Nou, men komt er nu achter dat zaken doen met microsoft niet handig is als de boel gewoon moet draaien...
Waarom alleen Almere? De rest weet het waarschijnlijk niet of het interesseert ze niet - het zijn alleen maar persoonsgegevens van een ander tenslotte...

"Om welk beveiligingsrisico het precies gaat laat de gemeente niet weten. Voor zover bekend zijn er geen andere gemeenten die met dit probleem kampen."

Nee, dat komt omdat bij andere gemeenten de ICT afdeling niet zonder impact analyse de printspooler uitzetten ivm PrintNightmare...

Ongelooflijk wat een ICT armoede weer. In Almere gebruikt men blijkbaar ook consumenten software voor het printen.Men print liever niet dan een printserver onder Linux aanbieden. De grote dienstverlener heeft die kennis ongetwijfeld in huis maar ja als je alles van het management met Microsoft software moet doen? ben je de xxx.

Kan je nagaan als er oorlog uitbreekt en het hele web ligt op zijn gat...

Hoe weet jij dat? Misschien printen ze daar wel niet onder windows en anders gaan we het binnenkort horen dat er is versleuteld. Blijkbaar is er in Almere paniek uitgebroken bij de dienstverlener daar. Naast het in de lucht brengen van een printservice onder Linux is het wel de enige optie als je nog niet hebt gepatcht.

Lijkt mij vooral een geruststellende gedachte.

Was printernightmare niet alleen op domain controllers met de print spooler service?

Nee elke windows. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

Mij niet...er is niet veel meer wat niet via het net werkt...onder andere droge voeten.

Dat leek in het begin zo te zijn, maar geldt voor alle Windows versies.

Dat was oorspronkelijk de hoop, maar het is veel breder dan dat. Als je alleen de printspooler-service hoefde uit te zetten op je DC's was er niet zoveel aan de hand.

Ik gok dat de meeste gemeentes het risico op een drama hebben genomen ten gunste van het behoud van de dienstverlening. De balies zijn zeer zichtbaar en als dat niet loopt maakt de gemeente geen goede indruk. Almere is mogelijk conservatiever geweest, of andere mitigaties zijn in Almere door hun architectuur niet goed haalbaar.

Helaas niet. Dit leek in het begin zo te zijn. Ondertussen is gebleken (Uit de noodpatch) dat het kan werken op Windows 7,8,8.1,10, en server.

Waarom hebben andere gemeente hier geen last van ?zelfde software (Key2Burgerzaken)

Omdat key2burgerzaken niet rechtsreeks de printer aanstuurt.
Het maakt CTC-bestanden die via een MDU server/service geprint worden.

Dit is een windows issue.
Dus alles wat een printer-spool-service draait op windhoos is kwetsbaar.

Het advies is/was: "to disable the Windows Print spooler service in Domain Controllers and systems that do not print. "

MDU zal (hopelijk) niet draaien op de server waar ook de DC op staat. En daar ook niet bij kunnen.
Dus als je alleen op de specifieke MDU server (en optioneel je andere print-servers) de print-spooler aan laat staan (en e.e.a segmenteert in je netwerk), beperk je de kwetsbaarheid binnen je netwerk, en kunnen de balies toch hun werk doen.

Het behoort geen binaire alles of niets situatie te zijn.
Er dient door ICT en de CISO altijd een afweging plaats te vinden hoe erg je de dienstverlening naar de burger toe beperken mag.
2 weken "alles" plat gooien, terwijl het een drukke periode is voor de balies, is kortzichtig (zeer streng in de leer zijn).

Zie ook de andere gemeenten, die dat (nog) niet doen.

Affected organizations should apply the available Microsoft patches at the first opportunity. If you are unable to do this we advise:

Option 1. Turn off Print Spooler wherever you can, and limit access to Print Spooler services as strictly as you can on Windows machines where it genuinely can’t be turned off

Option 2. Disable inbound remote printing through Group Policy


From a security perspective, if a company was very strict, they’d disable it on all workstations and any central print server. Good from a security perspective, terrible if you want to print anything :)
This is why company’s should consider their own unique environment. And no two companies will be the same.

That is why there is also a suggestion about limiting access to the central print server, only allowing print/access requests from local machines… meaning if I was an attacker outside your business it would ignore anything I tried to do, adding more protection without stopping employees from printing….

Dat hebben ze wel, al zal dat in verschillende mate zijn. Hoe je je omgeving ingericht hebt is relevant (Citrix, fat of thin clients, et cetera) en daar bovenop zullen gemeentes met dezelfde problemen een andere risico-inschatting en oplossing hanteren. Andere gemeentes zijn waarschijnlijk bereid geweest om meer risico te accepteren dan Almere, met als gevolg dat de problemen (vooralsnog) minder high profile zijn.

Geen consumentensoftware (één woord), gewoon goed ondersteunde Windows Server. In ieder geval geen obscure Linux-pakketjes, daar brandt men de vingers niet aan. De compatibilteit met de software die veel gemeentes gebruiken is nihil en ondersteuning kan je al helemaal vergeten.

MDU draait op een Windows server. Als applicatie beheer en Windows beheer niet afstemmen dat de Printer spook service moet blijven draaien op die bak, dan gaat het printen van zaken vanuit Key2 dus mis.

Dit is armoe m.b.t. beheer, niet het gebruikte server OS. Een professionele beheerorganisatie had vorige week al de juiste stappen gezet.

Goh, wat ben je goed geinformeerd, dat je zo exact weet hoe het er bij al die gemeenten aan toe gaat.
Je bent onlangs nog alle 300+ gemeenten afgegaan om de desinteresse met eigen ogen te aanschouwen?
Of had je daar zelf geen animo voor?.

Bronnen voor uw aanname svp.

windows is consumentensoftware. Het wordt namelijk gratis meegeleverd bij elke consumenten laptop/desktop. Als je dat professioneel gaat inzetten heb je vroeg of laat een groot probleem blijkt. Nader onderzoek (zoeken naar jobs of linkedin) leert dat Almere de websites, key2burgerzaken en Oracle databases onder Linux heeft draaien. Je kletst dus.

[
Ah, twee experts :-)

Oracle draait stabieler op linux dan op windows. (mijn ervaring)
Key2burgerzaken wordt geserveerd via de WebLogicServer van Oracle. Als je je database op linux hebt draaien, dan de WLS ook.


Dat gezegd hebbende:

Het printen van Key2Burgerzaken documenten gebeurt niet rechtstreeks vanuit key2Burgerzaken zelf, maar via de Module Document Uitvoer (MDU). En die draait (helaas) op een server/VM met windows (server editie) als OS.
Hier moet je dus e.e.a. gaan afschermen en compartimentatiseren om nu toch nog te kunnen printen zonder een gapend gat te hebben.

De batch-server van key2Burgerzaken draaide vroeger nog op unix/linux, maar daar is Centric vanaf gestapt, en draait alleen nog maar op een windows-server.
Hier geld hetzelfde voor. Want ook daar wordt mee geprint.

Zoals je hoort te weten hebben printers een eigen OS. Het is daar waar de ellende zit, helaas is dat OS jouw heilige onfeilbaar iets wat duidelijk te veel problemen kent.

linux is IOT en toaal niet veilig.
Wel triest dat je niet verder komt dan OS flaming en niet aan de oplossingen wenst te werken

Gewoon een slechte planning. In meerdere gemeente (oa Eindhoven) zijn de openingstijden verlengd om de te verwachte drukte op te vangen.

De ellende zit niet in de printer onbenul maar in de printspooler en die draait onder windows.
Linux is niet alleen IOT. Ook zo iets onbenulligs. Trouwens notabene MS heeft gekozen voor Linux vwb IOT maar dat terzijde. Degene die hier aan OS flaming doet ben jij dus. Je leest net dat de Oracle databases bij Almere onder Linux draaien evenals het frontend, de WebLogicServers. Helaas draait het MDU alleen onder windows en daar zit het probleem.

Dus Centric is het bedrijf wat bewust voor een vendor lock heeft gekozen. Weg met dat bedrijf.

Goed. Dan wordt het dus Pink.
Veel meer concurrenten zijn er niet voor deze specialistische systemen. (key2burgerzaken, GWS, etc)

Net zo erg, en heb je nog steeds een pijnlijke Vendor Lock In.
Lood om oud ijzer dus.

Wil je van de vendor lock in af in de gemeente markt, dan zullen er meer concurrenten op deze markt moeten komen.
Een manier zou zijn door de betreffende wetgevingen te versimpelen en minder vaak te wijzigen.

Ga jij dat aan de politici in Den Haag uitleggen?
Daarmee maak je namelijk hun werk totaal onbelangrijk. :-)

Jammer dat de linux fanboys hierboven geen verstand van zaken hebben. Anders hadden ze begrepen dat de verklaring van de gemeente: "Een andere oorzaak is een wereldwijd beveiligingsrisico bij Microsoft waardoor printers af en toe uitvallen" complete flauwekul is.

Prightnightmare zorgt er niet voor dat printers "af en toe" uitvallen.

Ze hebben natuurlijk de spooler service gestopt waardoor er helemaal niet meer geprint kan worden.
De andere gemeenten hebben hoogstwaarschijnlijk voor een workaround gezorgd zodat er voor dit soort essentiele diensten nog wel geprint kan worden. Almere kon blijkbaar geen acceptabele workaround bedenken.

De opdrachtgever zal moeten eisen dat het product om te beginnen open source wordt (zodat wij kunnen verder bouwen als zij het opgeven want het is ons geld) en het product moet natuurlijk ook platform onafhankelijk worden. Doen zij dat niet dan weten ze dat ze geen opdrachten meer krijgen. Het mes snijdt aan 2 kanten. Vaak is het ook pure onkunde aan de kant van de gemeente omdat ze een rad voor de ogen wordt gedraaid door het oligopolie.
Er ontbreekt een kennishuis van de overheid en de vereniging van Nederlandse gemeenten zit op schoot bij Microsoft.
Die vereniging heeft zelfs tegengewerkt om de gebruikte applicaties boven water te krijgen dmv WOB verzoeken.
Zij heeft de gemeenten een brief geschreven om hier niet aan mee te werken.

Was de wereld maar zo simpel, als jij denkt.

De gemeente (alle 300+ tegelijkertijd?) balt/ballen een vuist richting Centric/Pink met de eis dat hun pakketten vanaf nu open source moeten zijn. Én dat anderen hun code mogen doorontwikkelen als die dat willen.

Wie gaat dat betalen? Geen enkele rechter zal deze eis serieus nemen.

Het niet afnemen van deze pakketten kunnen de gemeenten echter ook niet. Want zij hebben een wettelijke taak om bepaalde wetten uit te voeren, en daar hebben ze deze programmatuur voor nodig.
Dit is een nis-markt. Er zijn maar een beperkt aantal leveranciers, dus weinig keus. Al het kleine grut is door de jaren heen steeds meer opgekocht door de grote spelers.
Daarom heet het ook een Vendor-Lock-In

Dit is iets van tussen wal en schip zitten.
Gemeenten kunnen geen kant op, en kunnen het zelf niet oplossen.
Kijk naar het GovUnited debacle van de VNG. Of het mGBA debacle van het rijk.

Dat is geen onkunde bij de gemeneten, maar de onmogelijke situatie waar ze in zitten.

Zie ook de uitvoering van de Jeugdzorg en WMO:
- Gemeenten moeten uitvoeren (wtettelijke plicht).
- Het zijn echter open einde regelingen (met dank aan de wetgever).
- Ook al is het door het rijk geleverde geld op, als er vraag is, dan moiet de gemeente leveren én betalen (rechterlijke iotspraak)
Daarom raken de meerste gemeenten op dit moment door hun reserves heen.

Wil je deze markt openbreken, dan zal de wetgever dit moeten doen. Mwet de nodige rechtzaken tot gevolg.
En dat zal een kostebare operatie zijn, als je kijkt wat voor geld er achter deze spelers zit..


Maar regelt het zou ik zeggen. Je schijnt te weten hoe het kan/moet.

Ik heb nog nooit snmart copier printers met open source gezien ook al draaien die open source componenten.
Inderdaad het is pure onkunde om te verwachten dat gemeentes ICT specialisten moeten worden. Ze kopen dat soort zaken in en verwachten dat het voldoet om mee te kunnen werken. Zo'n beetje als je ook de koffieautomaat in huis haalt. De lift in het gebouw laat wereken. Geen idee wat voor smart technologie daar tegenwoordig in zit.

Blijft de vraag waarom Almere als enige problemen zou hebben. Daar lijkt heel wat anders te spelen.
ICT onkunde en falen dat makkelijk afgedaan wordt naar iets wat in het nieuws genoemd wordt.


Je mag het verder bouwen met het BRP proberen. Na 10 jaar gefaald en het nodige is openbaar gemaakt maar niemand kon er wat mee. Als je dat doorwerkt kun je mogelijk begrijpen waar dat faalt.

WACHT EVEN! Want je mag als overheid nooit onduidelijkheid hebben over wat er nu precies gebeurt onder de motorkap van closed source software. Bovendien krijg je problemen met vendorlock-in als je geen open source (en open standaarden gebruikt).

Wat als je als gemeente een taak MOET uitvoeren, en er geen software is die aan deze eis voldoet?
Dan de taak maar niet uitvoeren? Je hebt geen paspoort oid nodig?

De "eis" vervalt als je kan aantonen dat er geen bruikbaar alternatief is. Lees het betreffende stuk van de Tweede Ksmer er maar op na.

Inderdaad niet uitvoeren en als de sodemieter die software laten maken onder GPL licentie. Geen verschil met nu. NU wordt het ook niet uitgevoerd want er is een probleem met windows software. rn dat wordt alleen maar erger blijkt.

- Alleen Almere heeft dat probleem nu. De rest werkt gewoon door.

- Software ontwerp is kostbaar. Zeker voor iets als Burgerzaken of Social zaken.
1 gemeente kan die ontwikkeling niet bekostigen,
Dus "als de sodemieter laten maken" is humor, maar niet realistisch.

Of ben jij bereid om (als de wiedeweerga) een alternatief onder GPL te bouwen en aan te bieden aan Almere.
Software die aan alle wettelijke eisen voldoet!

Bij de huidige club (centric) neerleggen. Ze doen wel meer Linux.
Als Centric dit niet doet dan alle contracten opzeggen. Er is nu al veel schade geleden omdat het systeem is uitgezet.
Waarom werkt de rest door? hebben die wel een alternatief?

Waarom zou Centric dit doen? En als ze het al doen, dan tegen de hoofdprijs.
Wat is het alternatief? Pink? Net zo duur (of duurder).
En dan? Wat kun je daarna nog doen als al die bruggen verbrand zijn
De wet moet uitgevoerd worden. En die wet is complex.

Waarom andere gemeenten wel doorwerken?
Misschien een beter gecompartimentaliseerd netwerk, of minder fanatiek in het niet leveren van diensten aan de burgers.

Ik gok dat er meer aan de hand is in Almere.
Of ze zijjn vervent aanhanger van de werken van Kafka geworden :-)

Je hoeft namelijk niet alle printer-spoolers uit te zetten.
Het advies is, bekijk wat werkt voor je bedrijf. Bv lokaal printen. Of alleen (intern) binnen bepaalde delen van je netwerk.
Verminder het risico, zodat het werk wel door kan gaan.

De toekomst zal het leren.

Omdat de gemeente bepaalt en niet Centric!

Met de huidige opstelling kan dat dus niet, want windows bug die nog niet is opgelost.
Het windowsonderhoud is trouwens in handen van een bedrijf met een zeer goede reputatie.
Als de gemeente Almere de wet niet kan uitvoeren t.g.v. een windows bug of ransomware is het niet de schuld van de gemeente toch? Dus opdracht geven voor het stukje windows migratie naar Linux. Net als ze bij de Oracle applicatie en database hebben gedaan.
Onverantwoord dus. Segmentatie werkt alleen maar 1 dag vertragend tegen ransomware.
Want ?
Helpt niet. Een gehackt account is voldoende. Remote printen werkt trouwens ook niet.
[/quote]Na zo veel ransomware incidenten is het wel duidelijk hoor!

Omdat de gemeente bepaalt en niet Centric!

Met de huidige opstelling kan dat dus niet, want windows bug die nog niet is opgelost.
Het windowsonderhoud is trouwens in handen van een bedrijf met een zeer goede reputatie.
Als de gemeente Almere de wet niet kan uitvoeren t.g.v. een windows bug of ransomware is het niet de schuld van de gemeente toch? Dus opdracht geven voor het stukje windows migratie naar Linux. Net als ze bij de Oracle applicatie en database hebben gedaan.[/quote]
Ah kijk aan, een expert in gemeente-land die kennis heeft van de nis-producten van Centric en Pink.
Ik zou zeggen, loop even bij Almere binnen en laat ze genieten van je expertise en kennis.
Daar zullen ze heel gelukkig van zijn.

Hoe lang denk je dat Almere (met jou hulp) nodig heeft om weer over te kunnen stappen op volledige dienstverlening?
1 dag, een jaar of nog langer.