Nieuwe veiligheidsplannen Microsoft gepresenteerd

Steve Ballmer, CEO van Microsoft, heeft een aantal plannen op het gebied van security gepresenteerd tijdens de Worldwide Partner Conference van Microsoft. De aankomende tijd zullen er een aantal updates en nieuwe technologiën gelanceerd worden om Windows en bijbehorende software veiliger te maken. Speciale aandacht zal uitgaan naar de volgende punten: verbeterde software en processen op het gebied van patchmanagement. Daarnaast zal het bedrijf uit Redmond een wereldwijd opleidingsprogramma opstarten waarin de nadruk gelegd zal worden op het beveiligen van Windows-systemen. Tenslotte zullen er updates uitgebracht blijven worden om Windows XP en Windows Server 2003 veiliger te maken. Interessant is dat er ook gewerkt gaat worden aan patches en updates om het systeem bijna hermetisch af te kunnen sluiten. Ballmer hield zijn luisteraars het volgende doel voor:

"Our goal is simple: Get our customers secure and keep them secure," Ballmer said. "Our commitment is to protect our customers from the growing wave of criminal attacks."

Omdat de Worldwide Partner Conference voor een gedeelte in het teken staat van veiligheid, is er een interview met Mike Nash, corporate vice-president van Microsoft's Security Business Unit verschenen op de site van Microsoft. Het bedrijf wil de securityplannen niet alleen uit gaan voeren, en heeft daarom verschillende partners gezocht om mee samen te werken. De gedachte hierachter is dat veiligheid een onderwerp is dat iedereen aangaat, en dat alle betrokkenen ook inspraakmogelijkheden moeten kunnen hebben. Er zijn verschillende manieren van samenwerken om de veiligheid van systemen en netwerken te vergroten.

Eén van de belangrijkste is het afnemen van bepaalde diensten van Microsoft of één van zijn partners. Het is bijvoorbeeld mogelijk om het patchmanagement volledig uit te besteden aan een extern bedrijf of het volgen van een Microsoft-cursus op het gebied van security. Daarnaast legt Microsoft de verantwoordelijk voor veilige systemen ook gedeeltelijk weer bij de partners terug door hen wel te ondersteunen in de ontwikkeling van bepaalde software, bijvoorbeeld antivirussoftware of uitbreidingen op Exchange Server, maar niet zelf actief mee te helpen aan de ontwikkeling. Daarnaast heeft Microsoft de afgelopen tijd, in samenwerking met zijn partners, gewerkt om correcte documentatie aan te kunnen bieden op verschillende gebieden.

Reacties (44)

Daar gaan we weer... "Eén van de belangrijkste is het afnemen van bepaalde diensten ... patchmanagement volledig uit te besteden ... volgen van een Microsoft-cursus op het gebied van security."

In plaats van dat er daadwerkelijk gekeken wordt naar een goede oplossing voor het veilig krijgen en houden van de klanten wordt er door ms voor de zoveelste keer weer gegrepen naar de oude middelen waarvan juist bekend is dat die aanpak eigenlijk niet helpt.
De geboden oplossing hangt of staat eigenlijk bij de doorslaggevendheid van de wijze van markting en promotie van de geboden middelen.

Bij de klanten moet de bereidheid opgewekt worden om naast de ms software ook de ms wijzen van beveiliging als noodzakelijk te achten om veilig te worden en blijven. En daar gaat ms de fout in:
Ten eerste zit de klant niet te wachten op middelen achteraf en wil van ms eigenlijk alleen goede software. Het heeft geen software van ms gekozen om vervolgens andere diensten te moeten of willen aanschaffen van of via ms om veilig te blijven.
Ten tweede is veiligheid scheppen en behouden niet een kwestie van het volgen van de ms manier om bij gebruik van ms software zo veilig mogelijk te blijven, maar is beveiliging en veiligheid in het dagelijks gebruik ook afhankelijk van vele niet ms gebonden factoren die via die ms leermiddelen en oplossingen niet of nauwelijks aan bod komen en waar de geboden uitbestedingen ook weinig in tegemoet komen waardoor je als gebruiker nog weinig opschiet met de geboden service.

Er zijn vele wegen naar een goede beveiliging. Het is alleen vreemd dat ms de aanpak en verbetering hiervan steeds vanuit de markting kant bekijkt en vervolgens op de problemen ingaat ipv andersom. Natuurlijk goed voor ms en de partners, maar als klant heb je er eigenlijk weinig aan omdat dit soort oplossingen juist vaak meer geld en tijd kosten dan de niet vanaf marketing opgezette beveiligings oplossingen.

Goede software is een illusie. Complexe producten zoals een besturingssysteem zullen altijd fouten bevatten (kijk bijv. alleen al naar de security bulletins die bijv. Red Hat dit jaar heeft uigebracht).

Security is een zaak waarbij fabrikant en klant een grote rol spelen. Microsoft moet als uitgangspunt goede software leveren (en ik vind persoonlijk Windows daar een voorbeeld van) maar moet ook goede processen hebben (security teams, hot patch teams, Windows Update, Software Update Services SUS etc.). Aan de andere kant is de klant verantwoordelijk voor een veilige implementatie en het up-to-date houden van zijn systeem (of het nu Windows is of niet). Deze twee punten gaat Microsoft nu adresseren met dit security initiatief.

Goede software is een illusie. Complexe producten zoals een besturingssysteem zullen altijd fouten bevatten (kijk bijv. alleen al naar de security bulletins die bijv. Red Hat dit jaar heeft uigebracht).

Waar het om gaat is dat MS wederom de nadruk legt op "patchmanagment" en systeembeheerders verantwoordlijk stelt voor het bijhouden daarvan.

Mooi woord: "patchmanagement", een accuratere beschijving is "pijnlijke constructiefouten herstellen" of "symptoombestrijding"

Het is gewoon volksverlakkerij om te spreken over "software veilig houden" alsof hackers zelf lekken creëeren, nee er worden lekken ONTDEKT, die zaten er al, op het moment van release. Maar waren alleen door MS over het hoofd gezien. Het is eigenlijk te gek voor woorden dat het MS bijna gelukt is om de definitie van een "lek" te veranderen in "software die onderhoud nodig heeft" alsof het een auto is die na zoveel gereden kilometers een nieuw remblokje nodig heeft.

Natuurlijk bestaat foutloze software niet, het gaat erom dat de houding van MS wat minder arrogant zou moeten zijn en dat ze wat minder hoog van de toren zouden blazen met allerlei "het veiligste OS dat er is" opmerkingen en allerlei symptoombestrijdingen zoals services om je software veilig te "houden"

Security is een zaak waarbij fabrikant en klant een grote rol spelen.

Dat is de kern van het probleem, in een monoplie kan er per definitie geen sprake van een gezonde fabrikant-klant verhouding.

Het staat inderdaad als een paal boven water dat er nog veel te verbeteren valt aan de beveiliging van MS op technisch gebied. Maar zelfs het best beveiligde product zal wel eens een gat vertonen dat uitgebuit kan worden. Dan kan je alleen je systeem in orde houden door de opgespoorde fouten zo snel mogelijk te corrigeren. Het verleden bewijst dat er te weinig patches geinstalleerd worden en dat het daardoor een weinig effektief mechanisme is. Op basis van deze historie kan je niet zeggen dat het principe van patches niet deugt. Het is eerder een kwestie om alletwee te doen; goede software bouwen en een effectief patch mechanisme ontwikkelen.

Inderdaad daar gaan we weer. Het zal ongetwijfeld waar zijn dat Windows de meest onveilige software is die er te krijgen is. Aan de andere kant is het ook het enige OS waar grote mensen moeite voor doen om de onveiligheid te bewijzen.

Ik ben overtuigd dat als al de mensen die nu proberen Windows OS plat te krijgen met diezelfde vereende kracht Novell/AS400/Linux omver krijgen geworpen. De meest briljante mensen van deze wereld zijn bezig om MS te dwarsbomen. Dit kan ook bij elk ander OS. Want wat door mensen is gemaakt kan door mensen gekraakt worden.

Op zich een goed initiatief natuurlijk, maar laat ze voortaan eerst eens nadenken over wat de gevolgen zijn van bepaalde constructies in Windows.

DCOM bijvoorbeeld. Waarom staat dat aan? D'r is zo goed als geen programma wat er gebuik van maakt. Zet het dan dus uit!

Firewall in je OS? Zet hem standaard AAN. Nou ja zo zijn er natuurlijk nog 1001 dingen te verzinnen.

Het is niet zo heel gek dat er bugs in Windows zitten (die zitten immers in ieder OS), maar af en toe lijkt het tot nu toe of men bij Microsoft bepaalde dingen implementeert zonder na te denken over de security.

Als ik win2k installeer en ik draai hem puur als webserver, dan kan ik eerst minimaal 12 (!) services uit zetten + DCOM eruit + firewall erop + sp4 erop.

Waarom staan die services standaard aan? Geen idee, maar echt handig is het natuurlijk niet.

Goed.. laat ze het maar bewijzen op een acceptabele manier. (lees: zonder palladium)

Er bestaan dcom web applicaties. Dus soms gaat het uitzetten van dcom niet door.

Een service pack mag je ook niet mee nemen. Als je een linux distributie van cd neemt moet je ook patchen.

* 786562 lucid
Voorspelling :

Microsoft introduceert hackproof updatesysteem en beveiligt de computer met Palladium.

Ik weet het, de zin is ietsie krom, maar dat is de bedoeling M.a.w. een prima "window of opportunity" voor Microsoft om Palladium te pushen in het kader van een nieuw beveiligingsbeleid.

Ik denk dat buiten bedrijven niemand Palladium op zijn PC wil hebben. Want wat ik al allemaal gelezen heb over palladium (op tweakers.net) is zeer goed voor beveiliging, maar geeft microsoft nog een groter monopolie en de gebruiker veel minder controle over zijn eigen PC.

Het bedrijf wil de securityplannen niet alleen uit gaan voeren, en heeft daarom verschillende partners gezocht om mee samen te werken. De gedachte hierachter is dat veiligheid een onderwerp is dat iedereen aangaat, en dat alle betrokkenen ook inspraakmogelijkheden moeten kunnen hebben.

Volgens mij heeft het een heel andere reden dat Microsoft hiervoor partners zoekt: vertrouwen van de markt. Microsoft staat er al dan niet terecht om bekend dat zijn securityplannen lang niet altijd deugen. Een paar gerenommeerde partners kunnen bij voorbaat al een hoop scepsis wegnemen doordat zij bereid zijn hun naam te lenen aan dit nieuwe initiatief van Microsoft.

Niet alleen qua marketing gezien is het een goed idee, maar zeker ook technisch gezien. De partners waar Microsoft naar zoekt hebben een hoop kennis in huis betreffende beveiliging en de processen die hier om heen liggen. Daar kan Microsoft groot voordeel mee behalen.
Microsoft heeft wel een hoop mensen op een security-cursus gestuurd, maar die hebben nog niet veel praktijk ervaring. Dat laatste is toch vaak noodzakelijk als je een product goed wilt beveiligen tegen misbruik e.d.

En dan zijn er in ieder geval een paar bedrijven die straks niet beginnen te zeuren over patent op de maatregelen...

Interessant is dat er ook gewerkt gaat worden aan patches en updates om het systeem bijna hermetisch af te kunnen sluiten.

Bijna hermetisch af te sluiten inderdaad, zolang er onderdelen zijn die zo in het systeem verweven zijn zoals Internet Exploder met z'n leuke ActiveX rommel en dat user space progjes DLLetjes in systeem context ( ja dat gebeurt ook nu nog steeds ) mogen installen zal veiligheid ver te zoeken zijn.

Alleen de mono-cultuur op zich is al een veiligheids beperking. Is er in een mono-cultuur 1 vulnerability in het systeem, dan kun je er vanuit gaan dat ieder systeem deze bevat.

Het zal allemaal best verbeteren, maar feit is dat software nooit foutloos is en in een mono-cultuur heeft een fout nou eenmaal een grotere impact.

Nieuwe veiligheidsplannen Microsoft gepresenteerd

De hoeveelste keer is dat al dit jaar?
Het wordt tijd dat ze naast hun beloftes ook daadwerkelijk eens actie ondernemen.

Iedere keer als je (een nieuwe) Windowsversie installeert, krijg tijdens dat proces die schermpjes met "windows xx is nog veiliger" e.d., er heeft nog nooit gestaan "windows is nu veilig".

Met de nwe. doelstelling zal je ook wel akkoord moeten gaan met een EULA waarin staat dat microsoft niet aansprakelijk kan worden gesteld bij evt. calamiteiten/schade veroorzaakt door bugs en exploits die nog niet ontdekt waren door MS zelf, maar wel door je 13-jarige buurjongen..

Kortom, al die praatjes van Ballmer vullen geen gaatjes (in windows)

Ze doen hun best. Stabiel mkaen is natuurlijk een groot streefpunt. Je os kan nog zoveel functies bezitten en er nog zo grafisch-geil uitzien, het moet stabiel zijn. MS is niet dom... En voordat die vraag ook nog komt over de gaten in windows... of die nu ook dicht gaan. Het is heus niet zo dat linux geen lekken heeft. Of dat nieuwe red-flag os uit japan strax. Ze hebben vast wel een lading mensen zitten die de code checken maarja meer dan je best kun je niet doen.

Of dat nieuwe red-flag os uit japan strax

<correctie>red-flag komt uit china. Het wordt zo genoemd omdat china een rode vlag heeft. Misschien als japan met een eigen linux versie komt kunnen ze het red-dot noemen ... </correctie>

Hoe stabiel wil je het hebben? Sinds ze DOS overboord hebben gegooid en met hun NT-technologie zijn verder gegaan is instabiliteit te scharen in de categorie "user-abuse"

dat gebeurd in principe bij elke bugfix, hoe klein het lek ook is

windows was in den beginnen nooit ontworpen om met de buiten wereld te communiceren.
je kan zeggen dat dat pas mogelijk was vanaf de win 3.11 patch.
win 95/98/nt hadden default nog geen eens tcp/ip installed.
pas vanaf win2000 is die gemene 'digitale buiten wereld' pas door microsoft serieus genomen en er zit maar liefst een voledige tcp/ip stack standaard in (rustig maar, microsoft heeft een SCO licentie ) en die buitenwereld barst van de l337 haXorz en cr4x0rz die het allemaal gemunt hebben op microsofts paradepaardje

nu is mr balmer een briljant zakenman en weet van de nood een deugd te maken en gaat nu (voor de zoveelste keer) vertellen hoe fantastisch secure windows wel niet gaat worden.
en met dat verhaal kan de 'technisch' manager met horeca achtergrond en affiniteit voor computers wel bij zijn baas aan komen zetten als er geld voor een upgrade nodig is .

biertje?

Even wat onvolkomenheden rechtzetten :

Win3.11 for Workgroups was gemaakt om met andere computers te communiceren, niet over tcp/ip maar met behulp van NETBUEI/LanManager. Win9x/NT kregen wel een tcp/ip stack mee, maar werd inderdaad niet standaard geinstalleerd.

De tcp/ip stack in windows is afkomstig van BSD, dus daar heeft SCO niets mee te maken.

Volgens mij hoor.... ik neem een glas water...

MS heeft recentelijk inderdaad een 3e partij overgenomen die anti-virus software maakt. Hier kun je natuurlijk weer over discuzeuren qua monopolie en dergelijke, maar eigenlijk kun je, uit de doos, niet meer zonder -> goede zaak dus.

Verder heeft MS inmiddels een redelijk werkend systeem qua updates (Update site en SUS voor binnen bedrijven) en enige security trainingen (MOC2604 meen ik).

Verder heeft men in Windows Server 2003 (w2k3) standaard vrijwel alle gewraakte onderdelen uitstaan, staan share rechten standaard op Read en nog een aantal extra zaken (LDAP signing, NTLM v2, strenge wachtwoorden standaard in een domein).

Het probleem blijft natuurlijk de oorsprong; veel features, makkelijk in gebruik. Niet alleen MS moet een stap voorwaarts maken, ook de gebruiker.

Outlook op zich is niet zo'n drama, maar het feit dat gebruikers nog steeds op alle attachments klikken (ik dacht dat je die attachments ook al kon afvangen, maar goed).

Voor sommige mensen, die de PC als ware het een CD-speler, willen gebruiken zal Palladium best een oplossing kunnen zijn.

Voor alle andere gebruikers is het kwestie van zelf ook er aan werken. Het is alleen jammer dat je daarvoor eigenlijk breedband nodig hebt, anders zijn die patches niet normaal te d'len.

Iets wat echt IEDEREEN al jaren roept is dat ze bij een installatie graag zelf willen kiezen wat er geinstalleerd wordt. Dat ze overbodige onderdelen niet geinstalleerd willen hebben. Microsoft heeft dat jarenlang genegeerd en zelfs op sardonische wijze meer en meer rotzooi lopen toevoegen waar de meeste mensen niet op zitten te wachten.

Wat jij zegt komt er dus op neer dat DIT de oorsprong is van de onveiligheid van Windows. En ik ben het daar volledig mee eens.

De conclusie is dus wel dat Microsoft de onveiligheid er expres in heeft zitten bouwen. Microsoft heeft simpelweg al jarenlang veiligheid minder belangrijk gevonden dan marketing.

En dat is dan een partner die je zou moeten vertrouwen?

Edit:

Moet je zien hoeveel onveiligheden er in IE zitten. Toch wordt het gewoon in je mik geschoven, want Windows kan niet zonder.

Moet je zien hoeveel onveiligheden er in IIS zitten. Ook IIS wordt je in je mik geschoven. Als je IIS uitvinkt bij de installatie worden er TOCH onderdelen van geinstalleerd.

En zo zijn er nog veel meer dingen die je in je mik worden geschoven, terwijl ze in feite barstensvol onveiligheden zitten.

MS heeft recentelijk inderdaad een 3e partij overgenomen die anti-virus software maakt. Hier kun je natuurlijk weer over discuzeuren qua monopolie en dergelijke, maar eigenlijk kun je, uit de doos, niet meer zonder -> goede zaak dus.

Inderdaad er is wel iets anders waar ik een nare smaak van in mijn mond krijg:

Office2003 heeft XML bestanden. De anti-virus leveranciers hebben al bij Microsoft geklaagt dat het onmogelijk is om hele bestanden de scannen. (eerst zaten de macro's op een vaste plek, nu kunnen ze overal zitten)

Ze hebben voorgesteld om een soort index van de macro's op te nemen, en Office2003 zal alleen macro's mogen uitvoeren die in die index staan. Je zou denken dat beide partijen zo gelukkig zijn; Microsoft heeft bovendien een veiliger systeem gebouwd, en macro virussen kunnen weer gedetecteerd worden.

Het tegendeel is echter waar: Microsoft heeft dit voorstel van de hand gewezen! Ze komen niet tegemoet naar deze fabrikanten, vanwege een technisch probleem...

...en nu gaat Microsoft zelf de anti-virus markt bekleden? ik krijg haast het gevoel dat zo markt maken voor oplossingen.

Where do you want to go today? het spijt me, maar ik kies toch een andere weg.

Eén van de belangrijkste is het afnemen van bepaalde diensten van Microsoft of één van zijn partners.

Waarom las ik toch meteen 'betaalde diensten'

Toch wel een goede zaak, want het is echt belachelijk dat je tegenwoordig ook als je zelf wel alles braaf patched (of linux/mac draait) je toch zoveel last hebt van de virussen/wormen.

Wat is er mis aan een betaalde dienst?

Als je zelf alles had gepatcht dan had je geen enkel probleem de afgelopen tijd (behalve een toename in internet verkeer). Voor Blaster en Slammer waren de patches al geruime tijd beschikbaar. Als beheerders een cursus gevolgd hadden dan hadden ze een firewall ingericht waardoor Slammer en Blaster helemaal geen schade konden uitrichten.

Lijkt me niet meer dan logisch dat partners nu betaalde diensten aan gaan bieden om dit voor bedrijven te doen.

De reactie van Pinball op:

Wat is er mis aan een betaalde dienst?

zou dan zijn:

Omdat het bij Linux gratis is.

Kinderachtig gedoe