"Worm-uitbraak toont noodzaak verplichte Windows updates"
De uitbraak van de Windows worm die zich via het inmiddels bekende Server service lek verspreidt, doet sommigen afvragen of Microsoft belangrijke updates gewoon niet verplicht moet kunnen installeren. Microsoft kondigde de update netjes aan, verspreidde die via de bekende kanalen en waarschuwde de afgelopen weken meer dan tien keer dat gebruikers toch echt MS08-067 moeten installeren. Het advies is aan dovemansoren gericht, want de Downadup worm heeft inmiddels meer dan een half miljoen machines besmet, zoals maandag duidelijk werd.
"Gebeurtenissen zoals dit laten je de vraag stellen of Microsoft niet in staat moet zijn om belangrijke updates automatische te installeren, ongeacht hoe men AutoUpdate heeft ingesteld", zegt Joel Hruska van Arstechnica. Het verplicht updaten zou alleen voor thuisgebruikers moeten gelden, omdat bedrijven updates meestal eerst testen voordat ze die uitrollen.
"Ik weet dat het verplicht updaten niet populair is, maar die instinctieve afkeer is zelf een belangrijk onderdeel van het probleem. Wanneer gaan de echte kosten van het bestrijden en opruimen van botnets en het verlies van productiviteit zwaarder wegen dan het collectieve verlangen om volledige controle te hebben over de manier waarop updates geïnstalleerd worden? Voor Microsoft is dat geen intellectueel vraagstuk, maar een echte zorg, hoe ga je het probleem oplossen dat wordt veroorzaakt door gebruikers die weigeren hun machines te updaten."
Men is wel in staat om met WGA een voor de gemiddelde gebruiker een hinderlijk nag screen te tonen die niet weg te krijgen is. Op dezelfde manier zo'n belangrijke update pushen zou dan ook een optie zijn.
Als de update verkeerd uitpakt op al die verschillend geconfigureerde machines zijn de rapen helemaal gaar en geeft MS support niet thuis.Nog beter had geweest deze bug zeven jaar geleden meteen te patchen daar men er al van wist. De reden zou zijn geweest dat alles helemaal over de kop moest. Ja hoor. Nu het lek bekend geworden was had men wel in een paar weken een patch klaar voor alle versies van Windows.
Vanwege het feit dat e.e.a. zonder login misbruikt kan worden doet mij eerder vermoeden dat er een backdoor gepatched is. Het kan ook zijn dat ik paranoïde ben natuurlijk.
Met de veiligheid in het achterhoofd is het begrijpelijk dat men hier aan denkt. Ook het imago van MS is een moeilijke. Laat je het zo doorgaan of dwing je een installatie af. In beide gevallen is het funest.
Jullie geven voorbeelden van manieren hoe het fout kan gaan. Maar een botnet van dergelijke grote is een gevaar voor het GEHELE internet!
Prioriteiten stellen.
Wellicht gewoon op de windows server machines geen auto update maar op de xp home edities wel.
Ik denk dat zoiets absoluut nodig is, want kijk al eens hoeveel systeembeheerders vergeten deze update te installeren!
Programmeer werk word nou eenmaal door mensen gedaan, en mensen maken fouten.
Als je het zelf zo goed kan, doe het dan ook...
Jullie geven voorbeelden van manieren hoe het fout kan gaan. Maar een botnet van dergelijke grote is een gevaar voor het GEHELE internet!
Prioriteiten stellen.
Wellicht gewoon op de windows server machines geen auto update maar op de xp home edities wel.
Ik denk dat zoiets absoluut nodig is, want kijk al eens hoeveel systeembeheerders vergeten deze update te installeren!
Ik vind het gewoon gevaarlijk. Er kunnen ook bedrijfs computers tussen zitten met custom software die helemaal crashen.
Bovendien, waar leg je de grens met geforceerde updates. MS kan straks op deze manier onder het mom van 'cyberterrorisme' alles wel forceren en systemen slopen, ben je dan gelukkig? Zoals gebleken uit het verleden (en nog steeds) is MS nou niet een bedrijf wat vertrouwen uitstraalt. De verantwoording ligt zowel bij de gebruiker als bij MS. De vrije hand geven is van een heel andere orde.
Systeembeheerders die de updates niet bijhouden moeten de naam systeembeheerder niet hebben, maar amateurs die zich voor systeembeheerder uitgeven en gewoon verwijderd worden uit het bedrijf.
Een onuitwisbaar nagscreen lijkt mij het beste om een installatie af te dwingen, met WGA kan het ook.
Very intrusive, non destructing.
Waarom moeten wij, geldige gebruikers, daar de dupe van worden? Updates pushen is a bad idea...
Als je gewoon op windows STANDAARD zet dat deze alle updates uitvoert, maar de mogelijkheid bied om dit UIT te zetten ben je al een heel eind in de goede richting volgens mij.
Daarmee schoon je het internet volgens mij behoorlijk op!
Als je gewoon op windows STANDAARD zet dat deze alle updates uitvoert, maar de mogelijkheid bied om dit UIT te zetten ben je al een heel eind in de goede richting volgens mij.
Daarmee schoon je het internet volgens mij behoorlijk op!
Standaard worden de updates uitgevoerd. het gaat in dit topic erover om MS dat te laten doen zonder dat de gebruiker vooraf een seintje krijgt. M.a.w. MS krijgt dan volledige controle over de systemen. Kun je niet lezen?
Als je illegaal Windows gebruikt ben je gewoon dom bezig.
En indien een organisatie tienduizenden systemen heeft waarop een update automatisch wordt geinstalleerd, waarop vervolgens blijkt dat er een conflict is met software op de systemen, of waarbij er blijkt dat de update een bug bevat, wie draait dan voor al die kosten op ? Ook het verplicht stellen van updates kan voor echte kosten zorgen, en voor verlies van productiviteit.
Ik vraag mij dan ook af wie Joel Hruska voor dergelijke schadewil laten opdraaien, en ook vraag ik mij af welke praktijk ervaring hij heeft m.b.t. het patchen van grootschalige enterprise omgevingen, gezien zijn kortzichtige reactie. ;)
Jammer dat er hier artikelen worden geplaatst geschreven door mensen die dit simpelweg niet snappen. Ik snap werkelijk niet welke waarde de mening van Joel Hruska heeft op een ICT Security website. Ook mis ik enige uitleg wie Hruska is, en over welke expertise hij zou beschikken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.