image

Nieuwe megapatch voor Microsoft IIS

woensdag 10 april 2002, 23:11 door Redactie, 45 reacties

In verband met tien nieuwe lekken, waarvan enkele vrij ernstig, bracht Microsoft woensdag nieuwe patches uit voor Internet Information Server 4 en 5. De patches dichten onder meer lekken die zijn gevonden door de security experts van Eeye en @Stake. Beheerders van IIS systemen wordt uiteraard aangeraden om zo snel mogelijk de patches te installeren (of om over te stappen op het vorige week uitgebrachte Apache 2.0)

Reacties (45)
11-04-2002, 06:49 door Anoniem
Afgezien van het feit dat de 'ueberpatch' zoals gewoonlijk sommige systemen compleet onderuit kan halen, is er nog maar 1 patch mogelijk..een andere webserver..

Je moet toch wel compleet op je achterhoofd gevallen zijn om nu nog MSII te gebruiken.

http://www.eeye.com/html/Research/Advisories/AD20020410.html

http://www.cgisecurity.com/archive/webservers/iis_4.0_5.0_atstake_htr_heap_overflow.txt

http://spike.sourceforge.net/spikev2.1.html

http://jscript.dk/adv/TL001/


Who should read this bulletin: Customers hosting web servers using Microsoft® Windows NT® 4.0, Windows® 2000, or Windows XP.
Dus ook alle !@#$%'s die een win2k cd van hun zwager gekopieerd hebben en a.s. weekend fijn gan default installeren thuis op kabelmodem...


Impact of vulnerability: Ten new vulnerabilities, the most serious of which could enable code of an attacker’s choice to be run on a server.
En dan te bedenken dat M$ in het kader van hun 'trusworthy computing' alle tijd heeft genomen voor de (wonky) patch, en users al die tijd fijn vulnerable heeft laten zijn.
Erg trustworthy indeed..

Recommendation: Customers using any of the affected products should install the patch immediately.
Ze willen ~nadat~ ze uitgelegd hebben dat het een shitty server is ~ook~ nog dat je het blijft gebruiken ?


Maximum Severity Rating: Critical
Waren ze zelf maar wat meer 'critical' :-)
11-04-2002, 08:20 door Anoniem
Originally posted by Anonymous Coward
is er nog maar 1 patch mogelijk..een andere webserver...

Je moet toch wel compleet op je achterhoofd gevallen zijn om nu nog MSII te gebruiken.

Ik heb kostelijk genoten van je bijdrage, ongelooflijk hoe hard je nog kan lachen om die rommel zo op de ochtend :-))
11-04-2002, 08:27 door Anoniem
Ach, Aphex lost het probleem al op, roflmao..

Via NewsBytes..->
Aphex E-mail Worm Has A Way With IRC, Instant Messenger
10 Apr 2002, 3:04 PM CST
Virus-watchers are warning Internet users about a new e-mail worm that can turn Windows PCs into one-trick Web severs that can use AOL Instant Messenger or Net chat services to lure new victims.
The worm most anti-virus companies call Aphex is a combination of binary code and Visual Basic Script (VBS) and can arrive as an e-mail attachment - a file with its executable nature obscured by a lengthy name: "Psecure20x-cgi-install.version.6.01.bin.hx.com."
Symantec's Security Response team said that if the file attachment is executed, Aphex copies itself to the Windows system folder as "Explorer.exe" and then modifies the Windows registry so that the code is launched again whenever the computer is restarted.
Aphex also installs e-mailing VBS code in the system folder, then attempts to use Microsoft Outlook to send copies of itself to contacts in the address book of the infected PC.
F-secure Corp. reported that Aphex is cable of connecting to Internet relay chat (IRC) servers, and will automatically join IRC channels at random, posting a link that leads to the infected machine.
Symantec said Aphex similarly can send a random pitch to contacts on the buddy lists those who use AOL's instant messenger software.
Waiting for victims who follow the AIM or chat links is a small HTTP server that is listening on Internet protocol port 8180 (most Web listen on port 80). A single HTML page placed by the worm tells visitors that they may have to install a browser plug-in to access the download.
However, those who follow the instructions to "Click HERE" on the rogue Web page will download yet another copy of the Aphex code.

Mijn dag kan niet meer stuk :-)
11-04-2002, 08:46 door Anoniem
Originally posted by Anonymous Coward
Ach, Aphex lost het probleem al op, roflmao..
Mijn dag kan niet meer stuk :-)

:-)) Zo te zien maak ik vandaag geen vrienden. Gisteren nog enkele toeleveranciers geadviseerd dat men beter van M$ IIS over kan stappen op Apache met bijvoorbeeld PHP, MySQL en SSL. (omdat wij ons in princiepe behoorlijk kunnen ergeren wanneer ergens alleen maar .xls-bestanden kunnen worden gedownload alsof men een dubieuze packt met Microsoft heeft) waarop wij behoorlijk matig gemotiveerde reacties terug ontvingen...

...mag ik ze vandaag gaan verblijden met al dat hierboven staande nieuws...

Dit wordt me weereens een dag ;-))
11-04-2002, 08:58 door Anoniem
...mag ik ze vandaag gaan verblijden met al dat hierboven staande nieuws...

Tja,

Je ~kunt~ ook wachten met het verstrekken van informatie totdat het niet langer te ontkennen valt (een 0wned server of een eeuwige BSOD is meestal een behoorlijke hint;-)

Vervolgens beroep je je op de non-disclosure onzin van meneer Culp, en noemt het trustworthy computing (wapperen met je MSCSE etc help;-)

Om het ~echt~ af te maken stuur je daarna een vette faktuur voor 'Security Services'..

</sarcasme>


Ik ben nog geen M$-crap tegengekomen waar geen *nix alternatief voor is, behalve de marketing en legal department van M$
11-04-2002, 09:41 door Anoniem
Originally posted by Anonymous Coward
Je ~kunt~ ook wachten met het verstrekken van informatie totdat het niet langer te ontkennen valt (een 0wned server of een eeuwige BSOD is meestal een behoorlijke hint;-)

Nou, ze willen toch schijnbaar persee door blijven draaien met IIS en lezen ze amper security-related documentatie (anders zouden immers geen IIS draaien) en aangezien ze toch geen service contract bij ons hebben lopen... Nee, dit laten wij natuurlijk deze ochtend nog aan hun weten. (Dan bieden wij onze services er ook gelijk bij aan, je weet maar nooit :-)

Ik denk echter wel dat wanneer KLPD/Politie/Justitie straks klaar is met het ruimen van hackers ze best een onderzoek kunnen gaan wagen aan dubieuze praktijken tegen het concurrentie beding. Naar mijn mening gaan teveel toeleveranciers over op pure Windows documentatie die je enkel en alleen onder Windows onder Office kunt openen. Heel toevallig zijn die dan ook Microsoft distributeur (geworden) en kennen ze ineens geen interoperabele formaten meer als bijvoorbeeld PDF.
(Ja, een paar leveranciers wilde het PDF formaat dan wel e-mailen, maar niet publiek op internet zetten???)
Dat is geen beschuldiging maar een gebeuren dat ernstig begint op te vallen. Dus, onder een andere besturingssysteem en/of ander office-pakket krijg je die lijsten gewoon niet meer ingelezen. Wanneer je daar toch vriendelijk wat van zegt en om een normaal interoperabel formaat vraagt wordt dat afgedaan met totaal ongemotiveerde flauwekul.

Afijn, wij verkopen dus heel weinig Mircosoft producten en mag je de krant bellen wanneer zo'n product bij ons ergens op de orderlijsten voorkomt,

en nou komt het:

Krijg je als klap op de vuurpijl "BE SURE IT'S LEGAL" spam via je brievenbus rechtstreeks van Microsoft uit een of ander Oost-Europees land.Moeten wij ons nou ineens zorgen gaan maken dat wij misschien wel verdacht worden daar wij die shit niet tot amper (willen) verkopen? Sterker nog, we hebben het zelf helemaal niet in gebruik en kunnen wij die prijslijsten nieteens openen.

Dat gedram en geïntimideer, direct hetzij indirect komt mij m'n neus uit, dat mag geen marketing meer heten!
Ongeacht of Microsoft daar wel of niet achter zou zitten. (Juridische disclaimer :-)

Wat mij betreft mag dat het volgende digital-justice item worden.
11-04-2002, 09:56 door Anoniem
Microsoft's offensief(je) tegen *nix, in samenwerking met Unisys is een perfect voorbeeld van hoe het niet moet..

http://uptime.netcraft.com/up/graph/?host=www.wehavethewayout.com

De uptime is niet dat je zegt geweldig :-)

En over de jahoe-taal in die pdf's op http://www.wehavethewayout.com hebben we het maar even niet :-)

De pdf's zonder pesky 'register now' formulier :-) -> http://www.wehavethewayout.com/pdfs.html

als niet werkt gewoon via /thankyou.asp..
11-04-2002, 10:36 door Anoniem
Originally posted by Anonymous Coward
Microsoft's offensief(je) tegen *nix, in samenwerking met Unisys is een perfect voorbeeld van hoe het niet moet...

Je weet wel hoe je iemand op moet vrolijken, man, ik heb een pijn in m'n borst van het lachen...

...ik kon het niet nalaten een schermafdruk te maken van NetCraft's harde pijnlijke feiten en die op A3 te printen ;-O

...misschien ook heel erg leuk voor websites: een MSIE detectie'tje (zo gedaan in PHP) "if you're still running Windows, you sure have the way out of business..." en dan die grafiek ;-))))
11-04-2002, 15:38 door Anoniem
Allemaal leuk en aardig maar jullie begrijpen toch wel dat
als *nix de "markt" zou overnemen het een kwestie van tijd en geld is ... MS koopt of bouwt het systeem gewoon na. (W2K)
11-04-2002, 15:43 door Anoniem
Allemaal leuk en aardig maar jullie begrijpen toch wel dat
als *nix de "markt" zou overnemen het een kwestie van tijd en geld is ... MS koopt of bouwt het systeem gewoon na. (W2K)

Je bedoelt te zeggen dat GPL te koop is ? Of bedoel je dat Oom Gates de sources vrij gaat geven ?

Win2K is een van de meest crappy OS's om een server op te draaien, een kale '98 is stabieler....(en dat weet ik uit ~ervaring~ dus kom niet aanzetten met marketing geleuter, maar met stats)
11-04-2002, 15:58 door Anoniem
Originally posted by Unregistered
Allemaal leuk en aardig maar jullie begrijpen toch wel dat
als *nix de "markt" zou overnemen het een kwestie van tijd en geld is ... MS koopt of bouwt het systeem gewoon na. (W2K)

Ik doe ook even leuk geheim ;)

Heb je Microsoft ooit een systeem fatsoenlijk na zien bouwen gezien hun motto "beter slecht gejat dan goed zelf verzonnen" (kijk de stukken maar na bij http://www.usdoj.gov en zoek op Microsoft)

Ze hebben best moeite hun hoofd boven water te houden:
http://uptime.netcraft.com/up/graph/?mode_u=on&mode_w=on&site=www.microsoft.com&submit=Examine
11-04-2002, 16:54 door Anoniem
Originally posted by Anonymous Coward


Je bedoelt te zeggen dat GPL te koop is ? Of bedoel je dat Oom Gates de sources vrij gaat geven ?

Win2K is een van de meest crappy OS's om een server op te draaien, een kale '98 is stabieler....(en dat weet ik uit ~ervaring~ dus kom niet aanzetten met marketing geleuter, maar met stats)


Wat ik bedoel te zeggen is..
w2k pro is gebouwd op (naar) unix varianten..
Stel dat *nix zeer populair wordt (ook bij de gebruikers) dan zal
MS of het zooitje kopen of nabouwen ..
11-04-2002, 21:39 door pierpanda
Laten we nou niet doen alsof alle zegeningen van Apache komen. Wanneer we de advisories van de FBI bekijken, dan ontkomen ook andere systemen niet aan een kritische beoordeling inzake ontdekte fouten.


Pierpanda.
12-04-2002, 06:48 door Anoniem
Originally posted by Unregistered
Wat ik bedoel te zeggen is..
w2k pro is gebouwd op (naar) unix varianten..

Yeah right, keep on dreaming :)
12-04-2002, 06:52 door Anoniem
Originally posted by pierpanda
Wanneer we de advisories van de FBI bekijken, dan ontkomen ook andere systemen niet aan een kritische beoordeling inzake ontdekte fouten.

Precies, en het spelletje "wie er de meeste critische veiligheidsfouten heeft" is toch al lang en breed gewonnen door Microsoft.
12-04-2002, 09:29 door Anoniem
Originally posted by Unregistered


Precies, en het spelletje "wie er de meeste critische veiligheidsfouten heeft" is toch al lang en breed gewonnen door Microsoft.

Allemaal leuk en aardig deze discussie, maar het kopen van it-spullen heeft toch veel weg van het kopen van een auto. Als iedereen het veiligste merk zou kopen reed (misschien) iedereen in een volvo, maar omdat de buurman een golfie TDI heeft moet iedere yup er 1 hebben. Zo werkt dat nu eenmaal. Het keizen voor een OS is geen rationele beslissing ook doet iedereen alsof dat wel zo is. Jij legt toch ook aan je vrouw uit waarom die mooie snelle alfa, die onder je kont wegroest zoveel beter is als die degelijke, veilige, zuinige iets tragere auto die ook nog goedkoper is! (waarmee ik niet wil zeggen dat Microsoft OS-sen snel zijn :-)

AG
12-04-2002, 09:44 door Anoniem
Originally posted by Unregistered
(waarmee ik niet wil zeggen dat Microsoft OS-sen snel zijn :-)

Over de 'degelijkheid' zullen wij het verder dan ook maar niet hebben over MS OS-sen :-)

Toch maak je een paar beredenatiefouten. Voor de 'thuisgebruikert' mag de keuze voor een OS dan wel geen rationele zijn, voor alles daarbuiten behoort deze dat juist wel te zijn. Dat geldt al helemaal voor mission-critical omgevingen (waar je MS om die reden ook niet behoort aan te treffen). Zo hangt onze veiligheid in Nederland op moment aan een erg dun draadje dat Microsoft Windows 3.1 heet...

...ik geef mensen even de kans uit te lachen...

...gezien ons aller luchtalarm afhangt van het functioneren (buiten het 'hangen') van dat systeem. Bij de vorige landelijke test ging het dan ook mis: enkele systemen waren gaan 'hangen'. Persoonlijk hou ik er niet van wanneer 's lands veiligheid afhangt van Exeption Errors!
12-04-2002, 09:56 door Anoniem
Zo werkt dat nu eenmaal. Het keizen voor een OS is geen rationele beslissing ook doet iedereen alsof dat wel zo is.

Ik weet niet voor wie jij werkt, maar als het in de IT is, dan zit je op de verkeerde plaats IMHO. Het kiezen van een OS is een (soms lang) traject, waarbij heel erg veel tegen elkaar afgewogen wordt.

Zo heb ik voor een megeling van *nix en windoze (4 x *nix, 1 x windoze)gekozen na heeel erg veel evalueren..en dat had niets te maken met de 'geilheidsfactor' van het OS, noch de mooie cellofaanverpakking..

Bepalend voor een dergelijke keuze is de manier waarop het OS zal worden ingezet binnen je organisatie/netwerk.
Daarbij laat ik windoze vaak links liggen omdat het in 'critical' omgevingen niet stabiel genoeg is, en ik eerst een gruwelijke lockdown moet doen voor alle crap die ik er niet bij wil hebben, maar waarvan de marketing-afdeling van MickeySoft dat wel graag wil..
Voor mij is *nix is eenvoudiger te beheren, en flexibeler in te zetten.

Zo werkt dat nu eenmaal :-)
12-04-2002, 10:42 door Anoniem
Originally posted by Anonymous Coward
Zo werkt dat nu eenmaal :-)

You got that right!

Ach trouwens, voor die mensen die niet weten wat in de ICT wel of niet belangrijk is, kunnen binnenkort aan de Lindows :)

Die kunnen dan gewoon windowen terwijl de beheerder van dat klopvee gewoon zijn zin heeft.

Echt waar, kijk maar op http://www.lindows.com ;)
12-04-2002, 10:54 door Anoniem
Dat is nou jammer..ik ben best bereid om een beetje met Lindows te spelen; zou misschien iets zijn om in een icafe te draaien..
Maar ja, ik moet 'insider' worden, en ik mag geen info delen met anderen..

What do we ask of you?

* A $99 fee for a one year membership in the Lindows.com Insiders program and your commitment to take time to share your feedback about our plans, our products and our future direction.
* Agree to a non-disclosure agreement, keeping the program itself and those things you learn as a Lindows.com Insider confidential, just as any Lindows.com employee would.

Join now and help us shape the development of a cutting edge product with your valuable feedback. Help bring choice to the desktop computer!

Niet alleen de naam lijkt er op :-)

Ik vindt dit best wel een drempel, niet dat ik die 99 dollar niet kan missen, maar ik weet niet wat ik krijg (behalve dat het nog niet helemaal werkt), en er wordt toch van je verwacht dat je voor feedback zorgt (=werk), en die enge non-disclosure zint me niet.

Echt jammer van een veelbelovend project; zo hou je veel OpenSource mensen gegarandeerd buiten de deur.
12-04-2002, 10:58 door Anoniem
Originally posted by Virtal Technologies


You got that right!

Ach trouwens, voor die mensen die niet weten wat in de ICT wel of niet belangrijk is, kunnen binnenkort aan de Lindows :)

Die kunnen dan gewoon windowen terwijl de beheerder van dat klopvee gewoon zijn zin heeft.

Echt waar, kijk maar op http://www.lindows.com ;)

Deze reacties had ik inderdaad verwacht op mijn posting over de aankoop van auto's.

Op de eerste reactie: Je gebruikt precies de worden die ik bedoel: 1) alles daarbuiten behoort deze dat juist wel te zijn, 'BEHOORT'. en 2) Persoonlijk hou ik er niet van.

Reactie van Anonymous Coward. Ik zit in de IT op een uitstekende plaats. Ik zal er ook altijd mijn best voor doen om te zorgen dat er de juiste keuze voor het meest geschikte besturings systeem zal worden gedaan. Maar dat betekent bij mij niet dat ik automatisch geen Microsoft zou gebruiken voor critical systems, het licht er maar aan hoe je het gebruikt. Ik zal daar nu niet te ver over uitweiden want dan wordt dit verhaal zo lang.
Voor jou is Unix makkelijker te beheren, maar de meeste organisaties kunnen makkelijker en goedkoper aan NT beheerders komen en dat telt ook mee in je keuze.


Altijd bereid om verder te discussieren en wat meer te nuanceren,

AG
12-04-2002, 11:23 door Anoniem
Originally posted by Anonymous Coward
Dat is nou jammer..ik ben best bereid om een beetje met Lindows te spelen; zou misschien iets zijn om in een icafe te draaien..
Maar ja, ik moet 'insider' worden, en ik mag geen info delen met anderen..

Toegeven: het ging om het idee van een Linux met een Windows look 'n' feeling.

Hoewel alreeds modules bestaan die mensen instaat steld enige Windows apps onder X11R6 te draaien als ze dat al zouden willen.
12-04-2002, 12:34 door Anoniem
Maar dat betekent bij mij niet dat ik automatisch geen Microsoft zou gebruiken voor critical systems, het licht er maar aan hoe je het gebruikt.

Dat zeg ik net, ik gebruik ook windows, maar niet voor 'mission-critical' taken..

Ik zou niet graag een router/firewall willen configureren/onderhouden op Win2k bijvoorbeeld.
Net zo min als dat ik een cache/proxy op Windows zou draaien.

Maar een login server voor het intranet, tuurlijk, Windows.. printservices idem..

Maar ~alle~ remote access, hoe lullig ook is *nix..
Hoe je het ook wendt of keert MickeySoft heeft nou geen glorieus 'trackrecord' als het om veiligheid gaat, Het is ~duur~ vergeleken met een Redhat of mandrake.En het argument dat een NT-beheerder (ik ook zei de gek) ~goedkoper~ is dan een gewoon ~goede~ beheerder die met meerder platforms overweg kan. Tenzij je zou stellen dat juis omdat ze maar een enkel platform ~beheersen~, ze kwalitatief minder zijn, en ~dus~ goedkoper :-)
12-04-2002, 13:15 door Anoniem
Originally posted by Anonymous Coward


Dat zeg ik net, ik gebruik ook windows, maar niet voor 'mission-critical' taken..

Ik zou niet graag een router/firewall willen configureren/onderhouden op Win2k bijvoorbeeld.
Net zo min als dat ik een cache/proxy op Windows zou draaien.

Maar een login server voor het intranet, tuurlijk, Windows.. printservices idem..

Maar ~alle~ remote access, hoe lullig ook is *nix..
Hoe je het ook wendt of keert MickeySoft heeft nou geen glorieus 'trackrecord' als het om veiligheid gaat, Het is ~duur~ vergeleken met een Redhat of mandrake.En het argument dat een NT-beheerder (ik ook zei de gek) ~goedkoper~ is dan een gewoon ~goede~ beheerder die met meerder platforms overweg kan. Tenzij je zou stellen dat juis omdat ze maar een enkel platform ~beheersen~, ze kwalitatief minder zijn, en ~dus~ goedkoper :-)

Dat zeg je dus niet, want jij gebruikt het niet voor critical systems. En ik gebruik het wel voor critical systems. Inderdaad niet voor firewalls of routers, maar wel voor proxy's of webservers. En ja, dat kost wel extra werk in het hardenen van deze systemen, maar het zorgt er ook voor dat ik het aantal te beheren platforms kan beperken.
Als je een kleine organisatie hebt met maar 1 of 2 beheerders, zullen die vaak meerdere platformen kunnen beheren. Kijk je bij een multinational, dan heb je hele afdelingen met beheerders, dan is het goedkoop als je fikse aantal daarvan kan invullen met 'goedkope' junior beheerders, die zich slechts op 1 systeem kunnen richten. Veel schoolverlaters (zoals ze ook bij het detacheringsburo waar ik werk binnenkomen) worden eerst opgeleid voor NT beheer. Beheerders die UNIX beheren, zijn toch zeldzamer en kosten gewoon meer. Daarnaast maakt het uiteraaard nog uit hoe goed ze kwalitatief zijn. En hoe groot hun expertise is.
Ook een UNIX machine die Oracle draait en ook nog SAP zou ik ook niet graag gebruiken als router en, een beetje overdreven misschien, dat zie je wel vaak bij NT systemen gebeuren. Vind je het gek dat zo'n systeem instabiel wordt. Zet een server in voor 1 specifieke taak, bijvoorbeeld alleen webserver en zet de database dan op een andere server en dan wordt het al een stuk stabieler.

AG
12-04-2002, 13:41 door Anoniem
Originally posted by Unregistered
Als je een kleine organisatie hebt met maar 1 of 2 beheerders, zullen die vaak meerdere platformen kunnen beheren. Kijk je bij een multinational, dan heb je hele afdelingen met beheerders, dan is het goedkoop als je fikse aantal daarvan kan invullen met 'goedkope' junior beheerders, die zich slechts op 1 systeem kunnen richten.

Dit trekken wij dus ernstig in twijfel. Doorgaans werken kleine organisaties met 1 a 2 smaken systemen. Bij Multinationals zal je niet alleen struikelen over aantallen beheerders maar ook over de hoeveel type operating systems dat zij in gebruik hebben, vaak nog een Mainframe dat moet praten met AS/400, Novell servers, OS/2 clients, Unix dozen en voor de afdeling klantenservice een batterij Windows desktops.

Detacheer je in Neerlands 13e provincie ofzo?
12-04-2002, 13:41 door Anoniem
Alleen jouw definitie van 'critical' zal dan ietsje anders zijn, :-)

Maar van het idee dat je een afdeling hebt met 'NT-only-'junior-beheerders' EN ook nog een NT-omgeving, daar krijg ik kromme tenen van :-)

Maar dat is persoonlijk natuurlijk..
12-04-2002, 14:10 door Anoniem
Originally posted by Anonymous Coward
Alleen jouw definitie van 'critical' zal dan ietsje anders zijn, :-)

Maar van het idee dat je een afdeling hebt met 'NT-only-'junior-beheerders' EN ook nog een NT-omgeving, daar krijg ik kromme tenen van :-)

Maar dat is persoonlijk natuurlijk..

Tsjonge, jonge, jullie lezen ook alleen wat je lezen wil he? ff verder denken is er niet bij, stelletje unix-nerds.

Natuurlijk heb je op een afdeling met beheerders ook ervaren mensen nodig voor de moeilijke problemen en voor de aansturing/coaching van de juniors.

En ik heb het niet over een omgeving met alleen maar NT. Tuurlijk heeft deze multinational diverse systemen, (OS/390, TANDEM, AS/400, Diverse unix-smaken en NT en dan nog alles wat uitgefaseerd wordt) Optimaal is het nergens, maar er wordt wel zoveel mogelijk gestandaardiseerd! De afdeling UNIX moet zich kunnen focussen op die systemen waar UNIX echt noodzakelijk is. NT beheer hoeven zij zich niet druk over te maken.

Is trouwens de laatste keer dat ik geprobeerd heb om op security.nl een zinnige discussie op te zetten. Heeft geen zin....
12-04-2002, 14:27 door Anoniem
Originally posted by Unregistered
Is trouwens de laatste keer dat ik geprobeerd heb om op security.nl een zinnige discussie op te zetten. Heeft geen zin....

Lees je postings even na en spreek vervolgens jezelf dan niet de hele tijd tegen s.v.p.
12-04-2002, 14:30 door Anoniem
Originally posted by Virtal Technologies


Lees je postings even na en spreek vervolgens jezelf dan niet de hele tijd tegen s.v.p.

Waar spreek ik mijzelf tegen dan? En wel graag met exacte quotes komen graag......
12-04-2002, 14:42 door Anoniem
Even terug naar de dicussie dan.

Laten we eens proberen 'critical' te definieren ? Ik vind dat routers/firewall/proxies sowieso daaronder vallen, webservers hangt af van de content/taak. Ook een IDS denk ik..

En ik gebruik het wel voor critical systems. Inderdaad niet voor firewalls of routers, maar wel voor proxy's of webservers.

Daar verschillen we dus van mening..
IMHO is een proxy een erg 'critical' ding in een network, en niet zelden een point of failure.


Voor een webserver ligt het heel anders, denk ik..


* throws pointy rocks from behind the sofa *

P.S. ~bijna~ w/e :-)
12-04-2002, 14:55 door Anoniem
Originally posted by Anonymous Coward
Even terug naar de dicussie dan.

Laten we eens proberen 'critical' te definieren ? Ik vind dat routers/firewall/proxies sowieso daaronder vallen, webservers hangt af van de content/taak. Ook een IDS denk ik..


Daar verschillen we dus van mening..
IMHO is een proxy een erg 'critical' ding in een network, en niet zelden een point of failure.


Voor een webserver ligt het heel anders, denk ik..


* throws pointy rocks from behind the sofa *

P.S. ~bijna~ w/e :-)

Wat een critical system is hangt af van je risico analyse! Een router kan soms critisch zijn en soms niet. wordt je bedrijfsvoering bedreigd als een bepaalde proxy server 2 uur uit de lucht is, of mag dat best een week duren.
Laten we overeenkomen dat er critical systems bestaan en dat je nadenkt over hoe je een critical system wil inrichten (hardware/software).

Mijn vraag blijft waar ik mijzelf tegengesproken heb, misschien lees ik ergens overheen...

Hier nog een uurtje
12-04-2002, 15:02 door Anoniem
Een router kan soms critisch zijn en soms niet.
IMHO is een router ~altijd~ critisch, al staat ie onder je eigen buro thuis een beetje een LAN bij elkaar te houden..

wordt je bedrijfsvoering bedreigd als een bepaalde proxy server 2 uur uit de lucht is, of mag dat best een week duren.
Uit de lucht is het probleem niet, sterker nog, op het moment dat ik een misconfiguratie vermoed trek ik 'm zelf off-line. Een 'open proxy' is veel gevaarlijker dan een offline ..Denk ik :-)


Laten we overeenkomen dat er critical systems bestaan en dat je nadenkt over hoe je een critical system wil inrichten (hardware/software).

Inderdaad :-)
12-04-2002, 15:20 door Anoniem
Originally posted by Anonymous Coward

IMHO is een router ~altijd~ critisch, al staat ie onder je eigen buro thuis een beetje een LAN bij elkaar te houden..


Uit de lucht is het probleem niet, sterker nog, op het moment dat ik een misconfiguratie vermoed trek ik 'm zelf off-line. Een 'open proxy' is veel gevaarlijker dan een offline ..Denk ik :-)


Inderdaad :-)

Maar als een vermoedelijk open proxy server wel in een e-commerce oplossing draait waar duizenden klanten financiele transacties doen, kan het offline halen wel veel meer geld kosten dan het laten draaien en zorgen dat je de fout zo spoedig mogelijk repareert op een tijdstip dat de server wel gemist kan worden. Je weet dan dat er een probleem is maar je (of beter, de business owner) accepteert dat risico. Niet elke server die vulnerable is, is gelijk 5 minuten later gehackt. Was dat maar zo, dan hadden we veel meer argumenten om systemen beter te beveiligen. Immers de risico's zijn dan groter dus de mag er meer geld besteed worden om dat risico acceptable te maken.
Security gaat uiteraard niet alleen over beschikbaarheid maar meer nog over vertrouwelijkheid en integriteit maar daar gaat wat risico management betreft het zelfde verhaal op.

Doe ik een risico analyse voor mijn PC'tjes thuis, dan zit ik er niet mee als die een keer gehackt worden en ik ze daarna opnieuw moet inrichten. interresante data staat er niet op. En een 'absoluut' veilige infrastructuur neerleggen kost me veel te veel geld en vooral moeite. Op 1 PC na, hierop staat voor mij wel belangrijke data, maar deze PC gebruik ik dan ook stand-alone.

Discussieren we nog verder over hoe je een systeem wat je als critisch hebt bestempeld dan vervolgens gaat inrichten? Of gaan we weekend vieren?

AG
12-04-2002, 15:23 door Anoniem
Originally posted by Unregistered
Waar spreek ik mijzelf tegen dan? En wel graag met exacte quotes komen graag......

"Het keizen voor een OS is geen rationele beslissing ook doet iedereen alsof dat wel zo is."
"Ik zit in de IT op een uitstekende plaats."
"Ik zal er ook altijd mijn best voor doen om te zorgen dat er de juiste keuze voor het meest geschikte besturings systeem zal worden gedaan."

Noot tussendoor: Eerst is het kiezen van een OS geen rationele beslissing en concludeert daarmee dat je op emotie de IT bedrijft, je daarbij in de IT op de juiste plaats bent om vervolgens je best te doen de juiste keuze voor het meest geschikte beturingssysteem zal worden gedaan en je dus die keuzen rationeel moet nemen? (anders kan je immers geen JUISTE keuze maken!)

"Maar dat betekent bij mij niet dat ik automatisch geen Microsoft zou gebruiken voor critical systems"

Dit strookt niet met voornoemde. Microsoft heeft trouwens "critical systems" niet bij de garantie staan maar staat bij het onderdeel disclaimer bij de uitsluitingen (kijk maar na op je licenties). Microsoft kom je nergens tegen op mission-critical plekken.

"En ik gebruik het wel voor critical systems. Inderdaad niet voor firewalls of routers, maar wel voor proxy's of webservers."

Noot tussendoor: je noemt enkele critische systemen; webservers en proxy's zijn onderandere behoorlijk critisch ten aanzien van functioneren en in ieder geval qua security.

"Kijk je bij een multinational, dan heb je hele afdelingen met beheerders, dan is het goedkoop als je fikse aantal daarvan kan invullen met 'goedkope' junior beheerders, die zich slechts op 1 systeem kunnen richten."

en later

"En ik heb het niet over een omgeving met alleen maar NT. Tuurlijk heeft deze multinational diverse systemen,"

Eerst focusseer je op een systeem, NT in dit geval om later een blik overige OSen open te trekken.

Bovendien zijn de meeste mensen hier geen Unix-nerds maar multi-disciplinair en kunnen zij onder andere ook die windows systemen aan etcetera en ontwikkelen sommigen zelfs toepassingen.
12-04-2002, 15:29 door Anoniem
Originally posted by Unregistered
Wat een critical system is hangt af van je risico analyse!

Daar heb je gelijk in voor wat betreft de analyse van risico's maar hangt eveneens af over welk type risico dat je dan praat:

Beveiliging en/of continuiteit (zijn tegelijkertijd ook samen weer onlosmakelijk met elkaar verbonden)

Bijna weekend ;-)
12-04-2002, 15:48 door Anoniem
Originally posted by Unregistered


"Het keizen voor een OS is geen rationele beslissing ook doet iedereen alsof dat wel zo is."
"Ik zit in de IT op een uitstekende plaats."
"Ik zal er ook altijd mijn best voor doen om te zorgen dat er de juiste keuze voor het meest geschikte besturings systeem zal worden gedaan."

Noot tussendoor: Eerst is het kiezen van een OS geen rationele beslissing en concludeert daarmee dat je op emotie de IT bedrijft, je daarbij in de IT op de juiste plaats bent om vervolgens je best te doen de juiste keuze voor het meest geschikte beturingssysteem zal worden gedaan en je dus die keuzen rationeel moet nemen? (anders kan je immers geen JUISTE keuze maken!)


Mijn eerste opmerking was behoorlijk overtrokken, dat geef ik toe, maar dat was om wat discussie te krijgen, ik begin graag extreem, dat hou je wat over om te onderhandelen :-)
Ik beweerde in die stelling niet dat ik op emotie bedrijf, maar wilde aangeven dat het ook niet altijd rationele beslissingen zijn. Immers als ik jullie moet geloven zouden er dan geen Microsoft worden gebruikt voor bijvoorbeeld webservers...

Originally posted by Unregistered


"Maar dat betekent bij mij niet dat ik automatisch geen Microsoft zou gebruiken voor critical systems"

Dit strookt niet met voornoemde. Microsoft heeft trouwens "critical systems" niet bij de garantie staan maar staat bij het onderdeel disclaimer bij de uitsluitingen (kijk maar na op je licenties). Microsoft kom je nergens tegen op mission-critical plekken.


Dat Microsoft critical systems in de disclaimer heeft staan is nieuw voor mij, heb ik ook weer wat geleerd. Ga ik eens verder uitzoeken, wat we daar mee moeten.
Dat je microsoft nergens tegen komt op critical systems bestreid ik, ik ken de omgevingen van grote nederlandse bedrijven en kan het tegendeel garanderen (ik kan helaas niet melden welke bedrijven want ik schrijf dit op persoonlijke titel).

Originally posted by Unregistered


"En ik gebruik het wel voor critical systems. Inderdaad niet voor firewalls of routers, maar wel voor proxy's of webservers."

Noot tussendoor: je noemt enkele critische systemen; webservers en proxy's zijn onderandere behoorlijk critisch ten aanzien van functioneren en in ieder geval qua security.


Zie voorgaande postings over wat een critisch systeem is. Ik denk dat ik een infrastructuur op kan zetten, waarin ik microsoft op een webserver kan zetten en toch het risico tot een minimum kan beperken. Ik neem dan een infrastructuur met Checkpoint op Nokia, ISS real secure, een fiks portie hardening op de microsoft server en alleen plain HTML files op webserver. Ik zorg ervoor dat alles op de juiste wijze is geconfigureerd en dat ik overal de laatste patches heb. Ja natuurlijk kun je een nieuwe buffer overflow vinden in Microsoft IIS, maar het risico dat je mij pakt zal erg klein zijn, en in elk geval acceptabel.

Originally posted by Unregistered


"Kijk je bij een multinational, dan heb je hele afdelingen met beheerders, dan is het goedkoop als je fikse aantal daarvan kan invullen met 'goedkope' junior beheerders, die zich slechts op 1 systeem kunnen richten."

en later

"En ik heb het niet over een omgeving met alleen maar NT. Tuurlijk heeft deze multinational diverse systemen,"

Eerst focusseer je op een systeem, NT in dit geval om later een blik overige OSen open te trekken.


Deze twee uitspraken spreken mekaar toch niet tegen? Als ik bij mijn eerste statement nog weer was gaan uitwijden, dan werd het zo'n uitgebreid verhaal.

Heb ik het zo een beetje verklaard?
12-04-2002, 15:55 door Anoniem
Originally posted by Virtal Technologies


Daar heb je gelijk in voor wat betreft de analyse van risico's maar hangt eveneens af over welk type risico dat je dan praat:

Beveiliging en/of continuiteit (zijn tegelijkertijd ook samen weer onlosmakelijk met elkaar verbonden)

Bijna weekend ;-)

Beveiliging (security, information risk management) bestaat uit dire onderdelen:
- confidentiality
- integrity
- availability (continuiteit)

De risico analyse moet je op alle drie de onderdelen loslaten en afhankelijk daarvan moet je de juiste maatregelen treffen.
Soms blijkt dan dat je schuurtje leeg is en dat je beter de deur open kan laten. Inbrekers hoeven dan niks te slopen en het kost je ook geen duur slot. Kun je je vervolgens concentreren op de beveiliging van de voordeur van je huis.
12-04-2002, 15:56 door Anoniem
Originally posted by Unregistered


Beveiliging (security, information risk management) bestaat uit dire onderdelen:
- confidentiality
- integrity
- availability (continuiteit)

De risico analyse moet je op alle drie de onderdelen loslaten en afhankelijk daarvan moet je de juiste maatregelen treffen.
Soms blijkt dan dat je schuurtje leeg is en dat je beter de deur open kan laten. Inbrekers hoeven dan niks te slopen en het kost je ook geen duur slot. Kun je je vervolgens concentreren op de beveiliging van de voordeur van je huis.


tis weekend trouwens, als er reacties zijn, reageer ik maandag weer ;-)

AG
12-04-2002, 16:08 door Anoniem
Doe ik een risico analyse voor mijn PC'tjes thuis, dan zit ik er niet mee als die een keer gehackt worden en ik ze daarna opnieuw moet inrichten. interresante data staat er niet op.

Daar zullen DUC et. al. erg content mee zijn...
Driekwart van mijn shitlist staat vol met thuis-LAN's zonder interessante inhoud, maar de connectie wordt duidelijk door derden gebruikt voor ~interessante~ doeleinden..

* 54 minutes till lift-off *
12-04-2002, 16:43 door Anoniem
Originally posted by Anonymous Coward
Driekwart van mijn shitlist staat vol met thuis-LAN's zonder interessante inhoud, maar de connectie wordt duidelijk door derden gebruikt voor ~interessante~ doeleinden..

Daar heb je gelijk in waarmee je illustreerd wat het verschil is tussen de practice en iemand met enkel een analyse pocketbook zoals Unregistered AG.

In voorgaande reactie miste ik trouwens nog een belangrijke hoofditem, die ieder weer subitems hebben:

-Security
-Functionaliteit
-ContinuiteitDeze weeg je stuk voor stuk af bij je analyses, maar dat zal je al bekend zijn :-)
12-04-2002, 16:58 door Anoniem
Originally posted by Unregistered
Beveiliging (security, information risk management) bestaat uit dire onderdelen:
- confidentiality
- integrity
- availability (continuiteit)

De risico analyse moet je op alle drie de onderdelen loslaten en afhankelijk daarvan moet je de juiste maatregelen treffen.
Soms blijkt dan dat je schuurtje leeg is en dat je beter de deur open kan laten. Inbrekers hoeven dan niks te slopen en het kost je ook geen duur slot. Kun je je vervolgens concentreren op de beveiliging van de voordeur van je huis.

Je kan nu wel, met respect, een pocketbook pakken met punten waar je rekening bij moet houden bij het beveiligen van een huis met schuur, maar hebben wij het hier nog steeds over digitale systemen en de eventuele keuzes die je moet maken. De analyses die je daarop los laat hebben zowel raakvlakken met security, continuïteit en functionaliteit.
12-04-2002, 17:32 door Anoniem
Originally posted by Unregistered
Mijn eerste opmerking was behoorlijk overtrokken, dat geef ik toe, maar dat was om wat discussie te krijgen, ik begin graag extreem, dat hou je wat over om te onderhandelen :-)
Ik beweerde in die stelling niet dat ik op emotie bedrijf, maar wilde aangeven dat het ook niet altijd rationele beslissingen zijn.
...
(ik kan helaas niet melden welke bedrijven want ik schrijf dit op persoonlijke titel).
...
Deze twee uitspraken spreken mekaar toch niet tegen? Als ik bij mijn eerste statement nog weer was gaan uitwijden, dan werd het zo'n uitgebreid verhaal.

Heb ik het zo een beetje verklaard?

Ja, en dat is dat je verklaart geen normale discussie te voeren, maar een met essentiële hiaten waar je je later denkt vanaf te kunnen doen.
Wanneer je wat aan zou willen geven kan je dat beter direct doen, waarmee je meteen voorkomt dat je achteraf nog veel meer uitgebreid moet gaan uitwijden.
Die persoonlijke titel valt ook wel mee aangezien je als veilig verscholen achter Unregistered profileert.Prettig weekeinde verder.
12-04-2002, 17:50 door Anoniem
Als posten als 'unregistered' je verschuilen is, dan ben ik helemaal fout :-) * wijst naar naam *

Ik kan me verdomd goed indenken waarom men hier liever anoniem post, dat kunnen we allemaal wel ;-)

Dus da's geen argument..

Anyway, 't is nu al aardig w/e aan het worden :-)


* throws empty beercans from behind firewall *
12-04-2002, 18:00 door Anoniem
Originally posted by Anonymous Coward
Als posten als 'unregistered' je verschuilen is, dan ben ik helemaal fout :-) * wijst naar naam *

Dus da's geen argument..

:-) Je weet wel wat er wordt bedoeld, zeker wanneer iemand achter een alias iets "op persoonlijke titel" claimt te schrijven :-)

Prettig weekeinde joh, ik ga eens een terrasje opzoeken.
12-04-2002, 18:18 door Anoniem
Ik heb nog wat te doen zie ik :-(

~luser~ heeft ontdekt hoe hij/zij de intranet-server (inderdaad, zucht..winblows) in bijna 100% CPU krijgt.. Don't you luuuurve 'm ?

* schreeuwt * Neee, RAS is NIET om al je collega's die achterlijke shockwave executable te laten zien en te mailen!!!!!


Zelfs thuis heb je last van ze.....


Prettig w/e..

* why doesn't DOS ever say 'Excellent command and or filename ? *
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.