Microsoft geeft toolkit vrij voor blokkering van SP2-download

Microsoft heeft op TechNet een toolkit vrijgegeven die zou moeten voorkomen dat Service Pack 2 voor Windows XP automatisch gedownload wordt via Automatic Update, dit op verzoek van een aantal organisaties. SP2 zou een aantal beveiligingsproblemen moeten oplossen, en hiervoor worden de beveiligingsinstellingen aangescherpt. Dit kan echter problemen opleveren bij bedrijven met tientallen computers die automatisch nieuwe Windows-updates ophalen en installeren, aangezien de verscherpte beveiligingsinstellingen bepaalde bedrijfsapplicaties kunnen verstoren. De toolkit voorkomt dit dus en zorgt ervoor dat systeembeheerders SP2 eerst uitgebreid kunnen testen voordat het geïnstalleerd wordt op de bedrijfscomputers. De 96KB wegende toolkit kan hier gedownload worden en blijft vanaf 16 augustus, de datum waarop SP2 via Windows Update en Automatic Update beschikbaar is, vier maanden actief.

Reacties (53)

[Verwijderd]

Als bedrijf zijnde neem ik aan dat de meeste met SUS werken. Het instellen en installeren van dit stelt werkelijk niks voor.

[ILUsion]

In grotere bedrijven met systeembeheerder wel, mag ik hopen maar in kleine kantoortjes met slechts enkele werknemers niet. Die gebruiken gewoon AutoUpdate, zeker als ze geen server hebben. Dat kan je hen niet kwalijk nemen: ze gebruiken wel computers en hebben een netwerk maar verder dan Word en Excel reikt de kennis niet. Dat krijg je van die makkelijk-bedienbare systemen: de leercurve is niet lang genoeg, iedereen kan ermee werken maar vaak niet zoals het moet. Hetzelfde geldt voor Word: de eerste keer dat je het opent zie je waar alles moet. Als je met moeilijkere systemen werkt (Linux als OS, LaTeX/Vi/Vim als tekstverwerking/tekstbewerking )dan is je leercurve langer en steiler maar nadien pluk je daar de vruchten van. Met die laatsten heb je dus mensen die weten wat ze aan het doen zijn, maar de MS-manier (die perfect is voor thuisgebruik, lijkt mij, eventueel ook voor kleine kantoren) zorgt voor mensen die enkel de basis kennen en eigenlijk niets meer bijleren nadat ze de basis onder de knie lijken te hebben maar eigenlijk is dat niet helemaal waar: als zeook maar een werkje hebben dat iets verschilt, moeten ze direct hulp inroepen van anderen. In dat opzicht geeft het een mentaliteitsverschil: MS-gevangenen (degenen die Windows gebruiken omdat het op hun computer zat en niets anders kennen) zullen hulp inroepen, terwijl anderen zelf proberen uit te vissen wat er moet gebeuren en handleiding na handleiding doornemen.

[Chatslet]

@ILUsion:

Ik zal je even uit de "ILUsion" helpen: Wat denk je dat het kost aan tijd en geld om 500 man aan personeel op te leiden om hun werk te doen met een of ander wazig console proggie? Ik hoop dat je zelf ook wel begrijpt dat dat niet te doen is en dat die kennis al helemaal niet standaard aanwezig is. Ooit waren er mensen die dat in zagen en die hebben destijds de GUI uitgevonden waardoor alles wat makkelijker is voor de normale gebruiker. En dit is niet alleen maar Microsoft spul maar dit kom je ook tegen bij pakketten zoals open office, bijna alles in X-Windows en alles op de mac.

[DJ Apollo]

Uitrollen van wat voor patches dan ook binnen bedrijfskritische omgevingen dient hoe dan ook gecontroleerd te gebeuren.

Een van de pakketten die bijvoorbeeld niet XP SP2 compatible is, is het eigen pakket Microsoft CRM. Niet handig

[m3gA]

hier is al een patch voor uitgekomen weet alleen de url niet meer.

-edit-
heb ff tijd teveel

http://support.microsoft.com/default.aspx?kbid=870635

[Verwijderd]

hierom kan ik eigenlijk alleen vol leedvermaak lachen. sorry het is niet anders.
Maar een blokkade die 4 maanden duurt of staat de update er maar 4 maanden. Het blijft wel drukken van MS kant, ik verwacht dat bedrijven pas over een jaar of soms 2 pas over gaan.
4 maanden is erg kort ...

[Boss]

Tuurlij joh: ga jij even twee jaar testen aan een service pack?

Zelfs in de meest critische bedrijfsomgevingen (als daar al Windows staat) kan een servicepack wel binnen een paar maanden getest worden hoor.

Er wordt altijd gedaan alsof systeembeheerders zo grondig testen, maar ik kan uit ervaring vertellen dat dat testen vaak uit niet meer bestaat dan update installeren en alle programma's nog eens een keertje opstarten op een standaard workstation. Gaat dat goed, dan 'zal het wel werken' en wordt de update gepushed.

Maar 2 jaar? hierom kan ik eigenlijk alleen vol leedvermaak lachen

[mr._Anderson]

Bedrijfs-critische applicaties worden wel wat grondiger getest hoor Maar daar zijn dan nog geen maanden voor nodig

[Verwijderd]

Hij zegt toch helemaal niet dat die bedrijven twee jaar gaan testen. Het gaat erom dat bepaalde applicaties mogelijk niet meer werken, dan moeten die bedrijven dus wachten op een patch van die applicaties, of mogelijk een nieuwe versie aanschaffen. Het is dus niet geheel ondenkbaar dat hier een behoorlijke tijd overheen kan gaan.

[Chatslet]

Lijkt me sterk dat systeem beheerders zo loos te werk gaan. Wat wij doen: Stel een afdeling heeft 10 werknemers en 10 pc's. Dan word er geloot en komen daar 2 werknemers uit die beta tester worden (nadat wij zelf een pilot systeem hebben getest om te kijken of alle applicaties gewoon starten). Vervolgens gaan die 2 beta testers met de nieuwe update op hun pc 1 of 2 maanden hun werk verder doen zoals ze dat altijd deden en komen wij om de week langs om te vragen of er bijzonderheden zijn geweest. En als het helemaal niet goed werkt dan hangen ze nartuurlijk onmiddelijk aan de telefoon Met simpele patches testen we uiteraard veel korten. Meestal 3 dagen tot een week.

[catfish]

grappig, als er binnen de dag geen patch is als er een lek wordt gevonden roept men moord en brand, maar de patch zelf installeren...
nee, eerst testen en volgend jaar bekijken we het wel
daarna uiteraard klagen dat windows vol bugs zit

[Titusvh]

Ik interpreteer het als 'na 16 augustus houdt het tooltje de SP2 update maximaal 4 maanden tegen'

[TromboneFreakus]

4 maanden is kort, maar ben blij dat het zo kort is. Beveiliging boven alles, dan maar even een beperkt werkzaam OS....

[ATS]

Zet je systeem anders gewoon uit. Dat is zeker veilig. Of installeer Linux, en gebruik die vier maanden om te wennen

[Verwijderd]

Ja maar met Linux kan je na die vier maanden SP2 toch niet installeren?

[_Thanatos_]

Met linux ben je nog niet veilig. Met FreeBSD misschien wel beter, maar dan moet je nog steeds geen standaard install uitvoeren

[jesternl]

Volgens mij bedoelen ze dat dat tooltje vier maanden lang te downloaden is, niet dat het slechts vier maanden actief is.

[Verwijderd]

Stopt na 4 maanden? Dus als bedrijf heb je vier maanden de tijd om te beslissen of je SP2 eigenlijk wel wilt en daarna krijg je het gewoon?

[MatHack]

Of je zet de automatische updates gewoon uit, zodat het na die 4 maanden nog niet automagisch geïnstalleerd wordt.

[jesternl]

Nee, na vier maanden is het tooltje niet meer te downloaden.

[Verwijderd]

Ja en de keerzijde is dus weer dat admins zoals vanouds te laks zijn om te updaten, maar vervolgens wel gaan zeiken wanneer een virus of exploit hun zaakje plat legt.

99% van de wormen etcetera verspreiden zich ook alleen maar via een exploit die op dat moment allang gedicht is, maar die door onwetende thuisgebruikers en luie, koffielurkende systeembeheerders nog aanwezig is op talloze computers.

Flame? Wellicht. Maar wel met een kern van waarheid. Het valt niet te ontkennen dat een hoop narigheid voorkomen kan worden door eens tijdig te updaten, en dan heb ik het niet alleen over je moeder of je breezerzusje.

[Pietervs]

Ja en de keerzijde is dus weer dat admins zoals vanouds te laks zijn om te updaten,
Tuurlijk. En de gemiddelde admin is alleen maar bezig met internetten en spelletjes spelen, veel beters hebben ze toch niet te doen...

Denk na man! Bij veel bedrijven is het redelijk tot zeer druk op de ICT afdelingen. Gebruikers willen alles, en wel NU. Bedrijven brengen nieuwe versies en updates uit van software, wat ook nog bijdraagt aan de werkdruk. Dus "te laks"? Onzin!

En dan heb ik het nog niet over de kleine bedrijven, die de rol van admin maar even "geparkeerd" hebben bij een van de medewerkers, die eigenlijk al een volledige dagtaak heeft, of de automatisering uitbesteed heeft en niet het belang zien om regelmatig hun PC's te updaten...

Ja, er zijn lakse admins. Maar om maar meteen de hele club als "luie, koffielurkende" figuren te bestempelen geeft toch wel aan dat je niet echt weet waar je het over hebt!

[CamelKnight]

druk of niet druk, feit blijft dat enorm veel bedrijven achterlopen in hun beveiliging. daar dit de taak van ICT is, is het dus ook de fout van ICT.
begrijp me goed, ik leg de oorzaak van het probleem (onderbemand, te druk, whatever) niet bij de systeembeheerders/ICT afdeling, maar de verantwoordelijkheid ligt daar wel.

[Verwijderd]

Hmmm....ook al ben ik het deels met je eens wat betreft de drukte op ICT afedelingen bij het gemiddelde bedrijf (kan er zelf over meepraten), is het wel heel erg makkelijk om te zeggen dat er geen tijd vrij te maken is voor updates.

Dat gebeurd op mijn werk dus wel. Wij gebruiken gewoon een goed ingerichte SUS server (Software Update Services) en updaten op die manier in ieder geval de critical patches binnen 2 dagen na release(eerst testen natuurlijk).

Overige patches waarvan we vermoeden dat ze belangrijk zijn worden vaak ook vrij snel gepatched.
Dit kan een essentieel proces zijn. AV software alleen is vaak niet voldoende als je dit soort zaken niet bijhoudt.

[consolefreak]

vraag me zowiezo af welke Sys\network admin nu weer z'n pc's op autoupdate heeft staan.. zulk soort dingen test je toch eerst uit op een test machine en niet in de werkomgeving zelf?

[prutsger]

Het hele bedrijf waar ik werk maakt gebruik van laptops, en om te zorgen dat elke werknemer regelmatig zijn laptop update (omdat de laptops regelmatig bij klanten in het netwerk geplugd worden) staat de automatische update aan.

Sterker nog, de windowsupdate via de website werkt niet eens, is uitgeschakeld.

Ik kan me best voorstellend dat dit bij meer bedrijven zo gaat, en omdat door SP2 het risico een stuk groter is dan bij 'standaard' updates dat bepaalde programma's of functies niet meer werken kan ik me goed voorstellen dat systeembeheerders eerst beter willen testen.

[Verwijderd]

en hoe voorkom je dan dat die werknemer het uit zet? sterker nog, hoe voorkom je dat die werknemer er een dualboot van maakt en de windows niet eens meer gebruikt?
beetje nutteloos om de WU site te blocken.

[Verwijderd]

Je kan het niet uitzetten omdat het policy's zijn. Als je op een bedrijfsnetwerk op de server instelt dat users automatisch updates krijgen, word jouw update scherm grijs. Of je moet in je registry gaan zitten rotzooien.

Werknemers die een dualboot kunnen maken moeten nog geboren worden....

(de sus server instelling op de domain controller is een policy setting, gooi mensen in deze OU en hun auto update scherm word grijs. Dat bedoelde ik er mee te zeggen)

[Tijger]

Met policies?

Dual boot blokkeren is het simpelste wat er is, en met policies kun je een Windows XP machine geheel dichtimmeren voor de rest.

[mxcreep]

zul je toch moeten zorgen dat ie niet van cd en floppy boot anders staat er zo een dual boot op met een andere bootmanager (grub / lilo)...

[Vorlon]

Ja, ik heb hier ook wel autoupdate aanstaan maar dan wel met een sus server ertussen dus niet vrijgegeven updates worden echt niet geinstalleerd. Het is hier maar een klein netwerkje dus een sms server is een beetje overkill.

Maar idd ongecontroleerde autoupdate in een bedrijfsomgeving wil je echt niet. Dus dit tooltje is een beetje overbodig lijkt me. (Een hotfix voor een of ander beveiligings gat kan ook wel een bedrijfsinterne applicatie breken.)

[vanDee898]

Een beetje sysop die een aantal PC's beheert doet dat tegenwoordig toch gewoon met SUS ?

[Metal Baron]

Dat gaat op als de PC's in de werkomgeving indentiek zijn (zelfde programmatuur, hardware enz), maar anders niet. Bij mij op m'n werk hebben we allemaal verschillende PC's met verschillende OS'sen en software. Dan is automatisch updaten toch echt een must.

[jesternl]

SUS kan prima met verschillende OS'en omgaan hoor.

[LordLynx]

Nero (versie 5.5 nogwattes) werkt ook niet meer met SP2, lekker handig

[Verwijderd]

Wel 6.3.1.7 ofzo

En anders ff je IMAPI CD Burn service om zeep helpen. En eventuele meldingnen negeren.

[m3gA]

een beetje bedrijf blokkeert windows update via een policy en rolt sp2 en de patches uit via SMS, SUS of een ander software distributie systeem.

[Verwijderd]

Binnen dit bedrijf waar ik een systems administrator ben, hebben de meeste medewerkers ook allemaal een laptop. Als je niet de automatische windows update aanzet dan gebeurd het dus nooit dat de beveiligsupdates geinstalleerd worden. Want ja zeg nu zelf, de meeste mensen denken niet na. "Want waarom zijn updates nodig, we zitten toch achter een goeie firewall".

Zodra ik zeker weet dat SP2 goed is om geimplemeteerd te worden zal ik het wel met een policy mee laten lopen.

[StGermain]

Je gebruikt beter SUS over VPN dan, op die manier hou je tenminste nog de controle over welke updates al dan niet geïnstalleerd worden. Werkt in mijn bedrijf prima!

[Titusvh]

Is er al ergens een overzicht wat SP2 juist 'stukmaakt' ?

Kom hier en daar wel eens wat tegen, bijv. peer2peer spul dat het niet meer doet. Maar ik wil eigenlijk wel een compleet overzicht voor ik ga installeren.

[Bobje]

Loopt op GoT al een draadje over:
http://gathering.tweakers.net/forum/list_messages/942134

Is op 16 augustus trouwens ook al de Nederlandse SP2 uit, of komen wij traditioneel gezien een maand later?

[Verwijderd]

kan je de (engelstalige) SP2 op een NL versie van XP installeren? Prolly wel kunnen maar best niet doen, zeker?

[ImpaileR]

Nee, kan niet. Je krijgt meteen een melding bij het starten van het SP.