DTC: een op de drie kleine bedrijven doet geen automatische updates

36 procent van de kleine bedrijven in Nederland voert geen automatische updates uit op internetapparaten. Dat zegt het Digital Trust Center van de Nederlandse overheid. Ondernemers in de sector landbouw, bosbouw en visserij voeren het minst vaak automatische updates uit.

Volgens het Digital Trust Center voert 55 procent van de ondernemers in deze sector automatische updates uit en dat is het laagste aantal uit de CyberVeilig-enquête die werd afgenomen. Ter vergelijking: in de Informatie- en Communicatiesector heeft naar verluidt 73 procent van de ondernemers automatische updates ingesteld. In de zakelijke dienstverlening- en financiële dienstverleningsectoren ligt het aandeel op 66 procent.

Het Digital Trust Center schrijft dat de enquête ruim 9000 keer is ingevuld door zzp’ers en bedrijven uit verschillende sectoren met 1 tot 50 werknemers. Het Centrum raadt deze ondernemers aan om automatisch updaten in te schakelen, als dat mogelijk is. De organisatie verwijst daarbij niet enkel naar automatische updates op de computer of de smartphone, maar naar updates voor printers, slimme deurbellen, routers en andere slimme apparaten die verbonden zijn met internet.

Grafiek Digital Trust Center

Reacties (68)

[markheloking]

Bij een vorige werkgever was een van mijn taken het onderhouden van alle netwerk aangesloten apparatuur. Ik ben toen echt van mijn stoel gevallen door de reacties die sommige fabrikanten gaven.
Zo hadden we een leverancier van een urenregistratiesysteem dat een of andere linux distro draaide. Toen ik daar vroeg om firmware update/support (onder andere omdat we issues hadden dat hij vastliep na verloop van tijd en dan gereboot moest worden) kreeg ik als antwoord de vraag waarom we uberhaupt updates wilden hebben/wilden uitvoeren? Het oprechte onbegrip van een fabrikant die IoT achtige apparatuur maakt dat Linux draait over dat gebruikers hun apparaten up to date willen houden had ik eerlijk gezegd niet verwacht.
Het koste bij dat kleine(re) bedrijf significate moeite om uberhaupt software en firmware updates los te krijgen bij fabrikanten, laat staan dat dat zomaar geautomatiseerd zou kunnen. Daarbij kwam dan ook altijd fijn de automatische update langs van Windows update waardoor bijvoorbeeld alle printers in je productiehal niet meer kunnen printen. Of u uw bedrijfsvoering even wilt stilleggen tot de volgende Windows update over een maand waarin het gefixed zou moeten zijn (en waar het niet in gefixed was).

Ik snap wel dat kleinere bedrijven niet de aandacht en resources hebben om dit probleem zomaar op te lossen en overal automatische updates aan te zetten (als het uberhaupt al mogelijk/beschikbaar is).

[Mattie112]

Ah ja, waarom moeite doen he om iets te fixen

Paar baantjes geleden, hadden wat Engenius access points. Liep ook om de zoveel tijd vast en moest dan even met de harde hand gereboot worden. Super iritant. Keertje ingelogged, super oude firmware. "hey verrek! een update!". Kijk je in de changelog is er 1 nieuwe feature "implemented scheduled auto-reboot". Tja ach sinds dien nooit meer problemen gehad in elk geval met die APs

[Verwijderd]

waarom moeite doen? Omdat die mensen het meestal niet eens weten? Die schaffen een product aan, en verwachten dat dat product werkt zoals het gewoon ook zou moeten. Eindgebruikrs zouden eigenlijk helemaal niets moeten merken van evt updates, dat zou automatisch moeten gaan, zonder de klant er last van heeft.

[SirBlade]

En zodra updates automatisch gaan is de wereld te klein want "ik bepaal wat er gebeurt op mijn apparatuur".

[asdfqwerty]

Ja een aan-uit schuifje met "automatisch updaten" is dan wel makkelijk

[SirBlade]

Ik zie meer in een schuifje aan/"gemanaged door een professioneel pakket".

[DJ Henk]

Nu ja, het irritante is dat die updates ook nog wel eens wijzigingen in functionaliteit meebrengen. Word je 's ochtends wakker, zit de knop die je elke dag gebruikt opeens heel ergens anders. Ik snap prima dat mensen daar een bloedhekel aan hebben.

[mr_evil08]

Totdat je zelf eens hebt meegemaakt dat Windows niet meer start na een update en de roll-back faalt.

[The Realone]

Het artikel is dan ook niet bijzonder duidelijk over waar de echte problemen zitten bij deze 1/3. Het heeft het over "alle met het internet verbonden apparaten", maar zien ze juist problemen bij user endpoints, of die IoT apparaten? Eerstgenoemde is namelijk veel beter te regelen dan de laatste, onder andere om de redenen die jij noemt. Het grootste gevaar zit hem ook bij apparaten waar gebruikers direct interactie mee hebben en zaken kunnen uitvoeren. Een camera of tikklok is dan doorgaands niet. Scherm je die af van het internet, dan wordt de aanvalsvector wel ineens significant kleiner.

[Lord Anubis]

Delta fiber ook, er zijn verschillende oude Nokia FW versies in omloop. Vraag je hen deze voor je modem te updaten krijg je ook onzinnige reacties en ze doen het gewoon niet.

[ibmpc]

Grappig, mijn ervaring is dat IoT apparatuur vaak by default updates uitvoert. Als je het dus uitschakelt, ben je denk ik bewust verkeerd bezig.

Wel hebben wij een aanpassing gedaan voor klanten met veel IoT apparatuur. Alle IoT devices krijgen deferred feature updates en security updates zijn twee dagen deferred, maar één of twee IoT devices krijgen updates met een zero-deadline. Deze devices worden altijd voorzien van labels omtrent deze update policy. We hebben dan twee dagen de tijd om updates te pauzeren als specifiek die zero-deadline devices uitvallen. Dit hebben we gedaan omdat kleine klanten de resources niet hebben om problemen met updates op te lossen.

[kodak]

De term is niet voor niets ondernemer zijn als je een bedrijf wil. Er is daarbij al sinds het bestaan van ondernemernemersschap duidelijk dat je dan vooral zelf verantwoordelijk bent om risico voor jezelf, je klanten en leveranciers al vooraf behoorlijk in te schatten. Als het je als ondernemer op gebied van updates al te veel is dat behoorlijk te regelen dan is het eerder begrijpelijk dat men onvoldoende vaardigheden heeft om ondernemer te zijn. Op je boekhouding, je onderkomen, vervoer en levensmiddelen pas je immers ook goed onderhoud toe. Net als op personeel of je mogelijkheden om je eigen producten of diensten te leveren. Iedere ondernemer die wel het gemak wil maar het aan laat komen op te laat pas gaan / laten onderzoeken of er updates mogelijk zijn is niet duidelijk bezig met behoorlijke voorzieningen.

[PhilipsFan]

Je vergeet dat updates eigenlijk een noodoplossing zijn. Ze zouden helemaal niet moeten bestaan, maar omdat software onnoemelijk complex is geworden, is het voor leveranciers ondoenlijk om foutloze software te leveren. Maar eigenlijk verkoop je dan een gemankeerd product.

Maar ik snap die ondernemers ook wel. Naast dat het een heel uitzoekwerk is om voor alle apparaten de updates bij te houden, bestaat bij elke update wel het risico dat het apparaat niet meer werkt. Of dat een bepaalde functie eruit is gehaald of gewijzigd die jouw bedrijf nu net nodig heeft. Dus ik snap wel dat updates zeker niet op dag 1 worden doorgevoerd, je zou er een dagtaak aan hebben om al die updates eerst te testen en dan uit te rollen.

[kodak]

Updates bestaan (of ontbreken) omdat ontwikkelaars keuzes maken. Dat die keuzes niet altijd even best zijn is al jaren duidelijk. Dat is precies waarom zorgen dat er updates komen die geen problemen geven net zo belangrijk is als niet zomaar een product of dienst aanschaffen zonder dat je beseft dat onderhoud nodig heeft.

Natuurlijk kan je er een dagtaak aan hebben om problemen met updates te voorkomen. Maar dat heb je bij verkeerde keuzes net zo goed met onderhoud van andere belangrijke zaken. Maar dan regel je op zijn minst dat je dat onder controle hebt. Ik lees niet dat ondernemers het onder controle hebben als ze bij de producten of diensten die ze kopen niet eens updates geregeld hebben. En als dat zorgt voor het niet mogelijk zijn van automatische updates dan is het advies om het in te schakelen als het mogelijk is dus te makkelijk. Het kiezen voor automatische updates lijkt namelijk niet samen te hangen met een duidelijk met de leveranciers geregelde mogelijkheid hoe dan ook snel genoeg updates te hebben als dat nodig is. Dus deze cijfers hoe bepaalde sectoren 'hoog' scoren wel automatische updates te doen als het mogelijk is stellen zo weinig voor.

[dutchruler]

Hoevaak een update al niet voor BOD of andere ellende heeft veroorzaakt.

Behalve de echt urgente security patches heeft het up to date houden alleen om up to date te zijn weinig zin.

[Frame164]

Bijzondere reactie. Als een bedrijf gehackt is loopt het hier over van reacties die vinden dat bedrijven gestraft moeten worden omdat ze de boel niet up to date houden.

[dutchruler]

Dat hang er natuurlijk helemaal van af over wat voor soort bedrijf en processen je praat.

[bzzzt]

Vrijwel ieder bedrijf heeft privacy gevoelige gegevens in bezit. Als je die lekt heb je wel wat uit te leggen.

[dutchruler]

Jij gaat er van uit dat elke computer toegang heeft of gebruikt maakt van gevoelige dat.
Er zijn genoeg devices/PCs die gewoon 1 ding moeten doen en verder niks.

[bzzzt]

Als je die machine op hetzelfde netwerk neerzet als de machines die wel gevoelige data hebben maak je het inbrekers wel heel erg makkelijk.

[dutchruler]

Volgens mij heb je mijn originele comment niet goed gelezen

Behalve de echt urgente security patches heeft het up to date houden alleen om up to date te zijn weinig zin.

Niet elke update zijn beveiligingsupdates en vaak worden met die updates meer bugs toegevoegd dan opgelost. Zeker als je het over windows hebt.

[CAPSLOCK2000]

36 procent van de kleine bedrijven in Nederland voert geen automatische updates uit op internetapparaten.

Betekent dit ook dat ze dan helemaal niet updaten?

Dat je automatische updates uitschakelt om op gecontroleerde momenten zelf te updaten is heel acceptabel beleid, mits je niet te lang wacht. Toch vermoed ik dat het hier gaat om software die niet of nauwelijks wordt geupdate.

Mijn vuistregel is om automatische upgrades altijd in te schakelen tenzij er een dringende reden is om het niet te doen. Je kerninfrastructuur en kriteke bedrijfsapplicaties wil je misschien liever met de hand doen, maar laat zo veel mogeiljk automatisch gaan zodat jouw tijd beschikbaar is voor de moeilijke systemen. Af en toe zal er een automatische update fout gaan en wat ongemak veroorzaken, dat is jammer maar beter dan vergeten een systeem te upgraden. Het gaat immers niet om kritiek systemen, daar moet je organisatie even zonder kunnen. Zo niet dan is het wel kritiek en moet je zorgen dat je een plan hebt om met uitval van dat systeem om te gaan, ook zonder upgrades gaan dingen stiuk.

In iedere organisatie zijn er mee onbelangrijke dan belangrijke systemen. De meesten daarvan zouden automatisch moeten updaten. Wat dat betreft is het dus een prima onderzoek. Als je geen automatische updates gebruikt is de kans klein dat de rest wel goed geregeld is, buiten wat specialistische organisaties die eindeloos veel geld en aandacht voor beheer & security hebben.

Overigens betekent het inschakelen van automatische update nog niet dat er ook updates zijn en dat die correct geinstalleerd worden. Je zal het ook moeten controleren.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 13:27]

[beerse]

Dat was ook mijn vraag: Dat deze organisaties niet automatisch updaten kan ik mij heel goed voorstellen: Ze zijn immers allemaal niet altijd even goed met internet verbonden. En dan wil je geen automatische updates. Dan wil je dat het gewoon werkt.

Natuurlijk kan ik mij voorstellen dat ze dan ook de handmatige updates niet altijd even accuraat bij houden, ze zijn immers zelf geen it-organisatie. Maar deze organisaties zien de computer als gereedschap. En dat gereedschap heeft wel regelmatig onderhoud nodig. Dat die zaken maar wel netjes geregeld zijn en een paar keer per jaar gebeuren. Het is echt geen ramp om een paar maanden achter te lopen. Er zijn genoeg grote organisaties die patches en updates met een vertraging van 1 tot 3 maanden doorvoeren.

[Tricolores]

"If it ain't broke, don't fix it" is nog altijd king bij heel wat bedrijven. Veiligheid is dan ondergeschikt aan de mogelijke bugs die productiviteit kunnen hinderen en de moeite/tijd (en dus kosten) die erin steken om deze te implementeren.

[watabstract]

Tja dat is niet zo verwonderlijk. Het Windows update systeem is dramatisch slecht. Elk wissewasje heeft een reboot nodig en het verstoort de workflow vaak enorm. Ik kan op mijn Linux machine productiever zijn dan op het Windows systeem van de baas dat er vrij regelmatig gewoon uitklapt en dan minutenlang rondjes staat te draaien voor weer zo'n cumulative update. Laatst was wel in het nieuws dat Microsoft daar eindelijk iets aan gaat veranderen. Dat hoop ik maar want zelfs bij een sql server update bijv moet het hele systeem herstarten en dat valt niet uit te leggen voor een productiesysteem. Hetzelfde sql server maar dan voor Linux heeft dat probleem helemaal niet. Daar maakt ook Microsoft gewoon handig gebruik van de package manager die alle updates netjes afhandelt, zoals het hoort.

[nullbyte]

Dat hoop ik maar want zelfs bij een sql server update bijv moet het hele systeem herstarten en dat valt niet uit te leggen voor een productiesysteem.

Als dat belangrijke productiesysteem op slechts 1 server draait dan is dat best uit te leggen. Zorg voor redundantie/load balancing . Kunnen ze meteen om beurten updaten. SQL bestaat overigens al even, deze risico's zijn bij ingebruikname van een dergelijk systeem gevalueerd en opgenomen in het SLA. Als er maar 1 is dan is dit een keuze geweest. En uitval door een update is daardoor prima te appricieren.

Wat niet te verantwoorden is een kwetsbaar systeem omdat kritieke patches niet zijn doorgevoerd. Met als gevolg gelekte gebruikersdata en gehackte sytemen.

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:27]

[watabstract]

Dat is binnen de kaders van een Windows omgeving inderdaad de gangbare uitleg. Ik bekijk het van een niveautje lager. Het gaat mij erom dat het niet uit te leggen valt dat een operating system moet herstarten alleen omdat een service een update krijgt. Dat is een grote zwakte van het OS in kwestie en heeft niks met redundancy te maken. Redundancy en beleid horen niet om deze zwakte heen te hoeven werken maar het is helaas wel een de facto standaard geworden.

[Reactie gewijzigd door watabstract op 22 juli 2024 13:27]

[bzzzt]

Redundancy is niet om deze 'zwakte' heen te werken maar om te zorgen dat je dienst door kan draaien, zelfs als de machine in de fik staat.
Dat is al jaren de standaard voor serieuze systemen en daardoor is het eigenlijk ook niet nodig is om updates zonder reboot te ondersteunen, wat je ook ziet gezien het gebrek aan support.

[watabstract]

Daar denkt zelfs Microsoft inmiddels anders over.

Redundancy is voor noodgevallen inderdaad. Niet voor een gebrekkig update systeem. Met een fatsoenlijke package manager gaan updates zo snel dat je alleen daarvoor niet naar een andere machine hoeft te switchen. Die switch duurt langer dan dat ik in Linux sql server heb geupdate. Dat proces duurt pakweg 30 seconde. De update zelf gaat in enkele tellen en daarna staan de sql databases heel even in upgrade stand. Geen redundant hardware voor nodig.

[Reactie gewijzigd door watabstract op 22 juli 2024 13:27]

[bzzzt]

En hoeveel vertrouwJen heb je er in dat je met dat proces dezelfde uptime kan garanderen dan wanneer je niet zou upgraden? Zo'n upgrade heeft natuurlijk ook kans op z'n eigen bugs en daardoor zullen mensen die '100%' willen 'm alsnog niet door willen voeren.

[nullbyte]

Het is idd een zwakte, een bekende zwakte. Daar hoeft niks over uitgelegd te worden. Dat is al jaren bekend. Dat zou bij de klant bekend moeten zijn en tevens vastgelegd moeten zijn in een SLA. Die afspraken zijn ervoor om de up time van een dienstverlening vast te leggen. Beheerd door een service level manager.

Hoe hoger de gewenste beschikbaarheid, des te groter de kosten. Als het herstarten van een server ongewenst is dan zal daar rekening mee gehouden moeten worden. Nogmaals, dit is geen nieuw verhaal als de (virtuele) server niet offline kan vanwege updates dan dienen er 2 of meer te zijn die om en om kunnen updaten. Zo gaat dit al decennia in professionele productieomgevingen. Tegenwoordig alleen maar makkelijker door de schaalbaarheid van SQL icm. virtualisatie, containers, loadbalancing etc. En als er maar 1 server is die niet offline kan vanwege een update dan is het sowieso raadzaam om wat redundantie in te bouwen, stel je voor dat er eens iets stuk gaat . En defecten ontstaan in elk systeem, de vraag is niet of, maar wanneer.

Om dezelfde redenen hebben we reservewielen in de kofferbak, ja er zouden banden moeten zijn die nooit lek raken. Intussen is sinds de uitvinding van de met lucht gevulde band bekend dat ze lek kunnen raken. Is dat ongewenst? Neem een reservewiel mee.

Kortom, ALLES dat te maken heeft met de beschikbaarheid van een dienst heeft te maken met redundantie en de architectuur van een dienstverlening. Als jij dit moet uitleggen dan is er ergens iets in de ontwerpfase niet gegaan zoals zou moeten.

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:27]

[watabstract]

Alleen is het niet uit te leggen dat Windows na decennia nog steeds een wiel met binnenband is ipv tubeless. Om de analogie maar even door te trekken. Gelukkig is MS intern wel bezig met updates zonder reboots. Het werd een keer tijd.

[nullbyte]

Exact, het had allang anders gemoeten.

[elmuerte]

Dit artikel gaat niet over servers of belangrijke productiesystemen.

de enquête ruim 9000 keer is ingevuld door zzp’ers en bedrijven uit verschillende sectoren met 1 tot 50 werknemers

Kans is groot dat het hier voornamelijk over desktops/latops gaat. Ik zie zelden plekken waar ze desktops/laptops redundant hebben uitgevoerd.

[sus]

1-50 werknemers, daar kan prima een of meerdere servers draaien. Ik heb er meerdere draaien, we zijn maar met z'n 3. Toch is het hebben van die servers heerlijk werken.

Dat het vrijwel allemaal werkplekken zijn, eens, maar dat sluit niet uit dat servers niet bedoeld worden in dit artikel.

[SunnieNL]

Klopt, maar als het dan een hoge kritieke server is die 24x7 aan moet staan en niet 1x per maand zijn update kan verwerken omdat hij dan voor 10 minuten even uit moet, dan heb je vast ook wel zo'n ding in cluster staan.

[nullbyte]

Waar heb je het over, ik ben in gesprek met watabstract. We hebben het over SQL servers en beschikbaarheid. Kijk even waar het voorgaande bericht over gaat, dan zie je dat het al off-topic is.

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:27]

[SiGNe]

Ik download de updates gewoon en pas als ik m'n computer uitzet worden de updates geïnstalleerd.
Kan uren duren voor m'n PC die updates pas kan installeren.

Over het algemeen zijn die installaties ook best snel, even koffie halen en je systeem is weer klaar voor gebruik.

[Frame164]

De workflow wordt nog veel meer verstoord als je de updates niet doet en het gaat een keer fout.

[emeralda]

Ik heb laatst Outlook geupdate en die patch heeft alles gesloopt

[Firestorm666]

Laten we nu ook niet overdrijven hé. Dat gebeurd welgeteld 1x per maand, de updates kan je desgewenst uitstellen en is standaard ingesteld om te herstarten buiten de kantooruren.

En productiviteit, in de praktijk gaat er een pak meer tijd verloren aan koffie lurken, zeveren met de collega's, rookpause, ... dan dat er tijd wordt verloren met die 5 minuten hooguit dat WU nodig heeft om te installeren op een toestel met SSD (zowat alle toestellen dus van de afgelopen 5 jaar of ouder)

Linux, ook die hebben af en toe herstarts nodig en afhankelijk van de distro zal het vaak of niet vaak gebeuren.

[Pulletjen]

De meeste internetverbindingen op de vloot via sateliet waren tot voor kort vergelijkbaar met GPRS. Als het schip even draait kan de verbinding er zomaar enkele minuten uitliggen. Latency van 20-30 seconden is eerder regel dan uitzondering.

Een update van meer dan enkele MB's moeiteloos binnenharken kun je op zo'n verbinding echt vergeten, laat staan geautomatiseerd.

Inmiddels worden de verbindingen wat vlotter sinds Starlink maar daar is nog lang niet iedereen op over want een VSAT systeem van 20k+ schrijf je niet zo even af.

[Jemboy]

Het voelt tegenstrijdig, maar investeringen moeten nooit uitgesteld worden op basis dat we al x bedrag hebben geïnvesteerd in het oude systeem of dat het oude systeem nog moet worden afgeschreven.
Voorbeeldje als je nu met oude investering netto €1000 per maand verdient en met de nieuwe investering netto bv. €1500, dan is het gewoon de moeite waard om nieuwe investering te doen.
Dan ga je niet nog eens 10 jaar wachten en €50.00 netto mislopen.

[sus]

Dat schip zal er echter niet sneller door varen, dus in dit specifieke voorbeeld is het goed te begrijpen dat die investering niet gedaan wordt. Het meeste spul aan boord hangt ook niet direct aan internet (vooral vanwege de extreme kosten midden op de plas) en kunnen alleen vanuit kantoor bijgewerkt worden.

[Jemboy]

In plaats van winst kan het besparing in kosten zijn.
Bv. dat de IT-afdeling makkelijker remote erbij kan.
Dat updates sneller uitgevoerd worden met minder kans op hacks of storingen.
Dat het personeel in zijn vrije tijd Netflix kan kijken of makkelijker met het thuisfront contact kunnen nemen, waardoor ze beter in hun vel zitten.
Wellicht dat er real time sneller ingegrepen kan worden op de route i.v.m. bv. stromingen, waardoor de rederij bespaart op brandstof ....
Ik weet niet wat de besparingen kunnen zijn, nogmaals investeringen uit het verleden moeten niet bepalen wat je in de toekomst gaat investeren.

Je merkt het bv. dat mensen een TV voor €10.000 hebben gekocht en na 4 jaar zeggen ik wil €5.000 voor hebben, terwijl bv. soortgelijk TV nu nieuw met garantie €4.500 kost.
Gevoelsmatig kijk je naar je historische uitgave, in de realiteit moet je kijken wat is oude investering me nu waard.

[sus]

De systemen die je aan boord niet zomaar wil (en/of kan) bijwerken zijn verantwoordelijk voor de digitale zeekaart, radar, navigatie, de aansturing van de motoren en andere technische apparatuur aan boord. Dat zijn ook meteen de systemen die niet direct aan internet hangen. Blijft over het spul wat wel direct aan internet hangt, de niet-kritische systemen. De kantoor PC waar de mail op binnenkomt bijvoorbeeld.

De stromingen, waterstanden, getijden; dat is allemaal bekend en daar zijn hele tabellen voor. Tot op de minuut nauwkeurig en wordt inderdaad gebruikt om met de stroom mee te varen als het mogelijk is. Daar is geen internet voor nodig.

Dat iemand kan netflixen aan boord, of kan skypen met thuisfront, dat is voor de rederij minder van belang. Leuk als het kan, maar anders mogen ze wat anders verzinnen. Er is al een hoop mogelijk overigens, maar de meeste zeevarenden hebben een externe HDD met films mee of trekken in de haven via 4G/5G/Wifi even netflix films "offline", zodat ze die zonder internet kunnen bekijken.

Voor een schip/rederij is dit gewoon de investering niet waard. Het zit er tot het schip in India op het strand wordt gezet (wat niet zou horen, maar dat is een andere discussie). Op nieuwbouw wordt het nu als optie aangeboden, en zelfs dan zie je dat nog vaak naar de oude techniek gepakt wordt, omdat die vaak goedkoper is.

Zelfs daar waar je het zou verwachten is het ruk: cruiseschepen. Traag internet en reteduur. 10 dollar per MB is geen uitzondering, duurder komt ook voor. Recent een factuur gezien van 18 dollar per MB bij Disney. En dan hebben we het over een schip waar de core-business is dat de mensen aan boord het zo fijn mogelijk hebben.

[Kobus Post]

Hier nog 2 Windows 7 machines voor navigatie/zeekaart. Draaien prima zonder netwerk. (al draaien ze op het zusterschip ook prima met netwerk). De rest draait met automatische updates.

Hebben hier direct een starlink gereserveerd toen deze aangekondigd werd. Werkte niet direct op zee, maar toen het eenmaal werkte, hebben we er heel veel plezier van gehad. Antenne is goedkoop, abbonement is ietwat prijzig, maar een systeem wat supersnel en stabiel is. Vooral die stabiliteit is erg fijn, dat hebben wij met de traditionele satteliet systemen wel anders meegemaakt. Monteur aan boord en remote die zien dat alles prima is en zodra je de haven verlaat gaat alles offline.

[boxlessness]

Voor een bedrijf snap ik wel dat men terughoudend is met automatische updates. Het komt met regelmaat voor dat een update iets stuk maakt. Voor een consument is dat al vervelend, maar wanneer dat in je kritische proces van je bedrijf gebeurt dan heb je wel een issue.
Daarbij wordt het fenomeen "supply-chain-attacks" ook steeds prominenter, waarbij er via een software-toeleverancier malicious software via een (automatische)update naar binnen wordt gehaald.
Recente voorbeeld is de xz-aanval.
... dus wat is dan wijsheid?

De realiteit is dat onze systemen/infra dusdanig complex zijn gemaakt dat het niet meer echt mogelijk is om beveiliging te garanderen. Naar mijn mening zou er meer focus moeten komen op mitigatie: isolatie van systemen zodat schade/lekken beperkt blijven, en contingency/recovery in het geval van bijvoorbeeld ransomware.

[d3burt]

Regelmatig updaten blijft bescherming nummer één. De tijd tussen het bekend worden van een bug en massaal misbruik ervan wordt steeds korter. Uiteraard helpen een goede firewall en andere hygiene maatregelen ook, net als een goed ontwerp van je netwerk en rechtenstructuur. Maar zolang je e-mail en het web gebruikt is het een kwestie van tijd voor een medewerker iets binnenhaalt wat schade aanricht, en hoe meer patch achterstand, hoe groter de schade.

[aikebah]

hoe meer patch achterstand, hoe groter de schade.

De omvang van de schade is ongerelateerd aan de mate van de achterstand.

Het risico op schade is gerelateerd aan de achterstand (want bepaald het aantal mogelijke aanvalsvectoren dat nog te misbruiken is).

De achterstand van slechts 1 "AV:N,PR:N,UI:N" code-execution-bug patch is voldoende voor zeer grote schade.

[d3burt]

Klopt dat je maar één CVSS 10 nodig hebt voor maximale schade; maar hoe langer patches achterblijven, hoe groter de kans dat een chain van kleinere vulnerabilities de jackpot oplevert.

[Frame164]

Maar als ze het niet doen moeten ze worden gestraft volgens de tweakers community.... Het getuigt in ieder geval niet van professionaliteit als je systemen niet up to dat houdt.

[SunnieNL]

De meeste supply chain attacks komen juist omdat de beschikbare updates niet worden geinstalleerd.
Slechts een aantal omdat de vendor compromised was en daarvan maar een heel klein deel waar de compromised vendor een compromised update uitbracht.

Zoek op Tweakers en je vind al snel dat de supply chain attack was omdat de beheerder een update van citrix, cisco, microsoft, zscaler, fortinet of Ivanti niet had geinstalleerd.
Eentje omdat de update van de vendor compromised was (kaseya) en een aantal omdat de vendor compromised was (okta, microsoft, solarwinds)

[Reactie gewijzigd door SunnieNL op 22 juli 2024 13:27]

[mr.DJ95]

Het updaten van systemen is zeer belangrijk echter vergeten deze bedrijven vaak nog een aantal security maatregelen zoals moderne vormen van encryptie (als ze überhaupt al dingen doen met versleuteling), het goed beheren van accounts van medewerkers en service accounts.

Zo is het heel leuk om tijdens een Activedirectory controle wachtwoorden te zijn van 7 karakters die al sinds het maken van het Window domein niet gewijzigd zijn.

[aikebah]

De "tijd niet gewijzigd" component is heden ten dage irrelevant - https://nvlpubs.nist.gov/...tions/NIST.SP.800-63b.pdf

De 7 karakters is wel enigszins problematisch kort, maar hoeft bij goed monitoren van het login gedrag nog niet direct een probleem te zijn (uiteraard dwing je wel af dat bij een password change wel minstens 8 karakters gebruikt gaan worden).

Of je dat ook hard afdwingt op de bestaande accounts, of slechts adviseert om aan te passen hangt een beetje van het risico-profiel voor het account af.

[mr.DJ95]

Het niet periodiek wijzigen doe je in de regel pas als je de rest goed op orde hebt. Denk hierbij aan MFA en Geo-blocking. Waar ik op doelde zijn vooral service accounts met domein administrator rechten. Zulke accounts hebben een hoog risico profiel daarom is het advies deze met enige regelmaat te wijzigen en vergeet dan niet om de accounts te strippen van alle onnodige rechten.

[themadone]

Helemaal eens, bij ons iedere 45 dagen wijzigen, 12 karakters en niemand, ook de service accounts, is uitgezonderd van de regel. Want MFA wilde de directie niet.

Als je als admin een keer wilt lachen moet je eens een hash export maken van je AD en die tegen de nieuwe rockyou aangooien, denk dat een kwart van je personeel erin zit.

En dan is het ergens die antieke server met gare smb die even een hash gooit op het netwerk en klaar zijn de hackers. En ja ook alleen die hash is genoeg maar altijd handig om gewoon het plaintext password te hebben ;-).

[aikebah]

Ouch dat soort accounts wil je inderdaad niet zo belabberd geconfigureerd hebben.

[Floort]

Volgens DTC is dit de primaire statistiek: "Ruim één op de drie kleine bedrijven heeft geen automatische updates ingesteld op al hun met het internet verbonden apparaten (36%)". Ik lees dat als 64% van de kleine bedrijven die wel automatische updates heeft op al hun met internet verbonden apparaten en 36% die het bij één of meer apparaten niet heeft aan staan.

Dat vind ik (letterlijk) ongeloofelijk goed nieuws over het aantal bedrijven die alles automatisch updaten. Ik had verwacht dat er nog allerlei apparaten zoals SmartTV's, printers, etc. zijn die geen automatische updates ondersteunen. Ik vraag me af of deze statistiek niet ook voor een groot deel een symptoom is van bedrijven die niet zo'n goed inzicht hebben in waar ze geen automatische updates hebben ingeregeld.

Edit: Het gaat om deze vraag in de enquete:

Staat automatisch updaten aan op alle met internet verbonden apparaten?
() Ja
() Nee
() Weet k niet

[Reactie gewijzigd door Floort op 22 juli 2024 13:27]

[SunnieNL]

Tja, dan is vervolgens de vraag of die kleine bedrijven die JA hebben geantwoord ook wel weten of het op al hun apparaten aan staat. Want grote kans dat die alleen denken aan hun Windows laptops, maar niet aan de Aldi/Lidl/AliExpress camera die bij de receptie hangt of de modem in de meterkast of de wireless accesspoint in de hoek van het kantoor.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 13:27]

[Simon Weel]

De vraagstelling in het onderzoek is erg breed: Heb je automatische updates ingesteld op al je met het internet verbonden apparaten
Dat is dus pc's, randapparatuur, netwerk apparatuur etc. Kortom, zo'n beetje alles wat een netwerk aansluiting heeft. Wil je echt op AL die apparaten automatisch updates laten installeren? Dacht 't niet. Zo hebben we een Sonicwall TZ470 UTM kastje, maar daarop wil je toch echt niet dat automatisch updates worden geïnstalleerd - kans is groot dat je dan zonder internet zit. In de categorie firmware heb ik zowiezo nergens auto-update aan staan, als dat al mogelijk is. Ik wil wel graag op de hoogte worden gebracht als ergens een firmware update voor beschikbaar is, zodat ik zelf kan bepalen of ik die wel / niet wil installeren. Maar die vraag komt in het korte onderzoekje niet voor. Kortom, de alarmerende toon is misplaatst omdat het 'onderzoek' die naam niet verdient.