Verzekeraar beschouwt gebruik NT als verhoogd risico

Op ZDNet is een artikel te vinden waarin vermeld wordt dat een verzekeringsmaatschappij het gebruik van NT als verhoogd risico beschouwt. Het gaat hier om Wurzler Underwriting Managers, één van de eerste bedrijven waarbij je je kon verzekeren tegen hackers. Klanten betalen nu 5 tot 15 procent meer als ze Windows NT software gebruiken bij hun internet-operaties.

John Wurzler, oprichter en CEO van dit bedrijf zei: 'We saw that our NT-based clients were having more downtime due to hacking'. Volgens Wurzler zijn de systeembeheerders van open source systemen beter getraind. Hieronder een gedeelte van de reactie van Microsoft:

Microsoft spokesman Jim Desler said the hacker insurance market is still too young to declare Wurzler's move a trend. "There's not enough history or business to draw conclusions about rate-setting practices," Desler said. As the market matures, rates are likely to be based on best practices, rather than on platforms or products, he predicted. "We provide unparalleled support in the area of security."

American International Group, the country's largest insurance underwriter, said it will not raise its rates for Windows NT-based systems. Nor will Aon, the world's second largest insurance broker. The use of NT is "just one factor in the overall assessment of risks. It can be an indicator of other vulnerabilities, but you may also have other things in place to counter that, like firewalls and intrusion-detection systems," said Kevin Kalinich, a director in Aon's technology and telecommunications group.

Onze dank gaat uit naar jeroen voor de tip.

Reacties (15)

[wzzrd]

Wat kunnen dit soort berichten toch een rare toon zetten! Dit bericht doet het lijken dat Windows systemen meer downtime door hackers hebben omdat ze door M$ zijn gemaakt en daarnaast puur omdat het Windows is.

Wat een onzin: Windows systemen worden meer gehacked omdat scriptkiddies en hackers gewoon meer info kunnen vinden over backdoors etc. in Windows systemen. En dát heeft weer twee redenen: ten eerste zijn er meer Windows systemen, dus is er meer over bekend. Punt. Ten tweede: er zijn enorm veel soorten Unix, dus is wat in de ene variant een security hole is, is in de andere variant helemaal niets.

Beetje jammer. Het feit dat die verzekeraar meer laat betalen voor NT systemen zegt niets over dat systeem. Als verzekeraars minder laten betalen voor een witte auto dan voor een blauwe zegt dat niets over de auto, maar over gemak dat je die auto ziet.
Dat die verzekeraar meer rekent voor een NT systeem, zegt alleen dat scriptkiddies meer weten van NT systemen, omdat *nix voor dat soort probleemkindertjes te moeilijk is!

Dit is géén flame, ik gebruik 3 soorten *nix en twee soorten Windows. Ik weet waar ik over praat en wordt gewoon een beetje moe van al die triomfantelijke geluiden als: "zie je nu wel!"

[Marcel Loesberg]

Ik denk niet dat de verzekeraar het een verhoogd risico vind vanwege het product zelf maar vanwege diegene die het gebruiken. Het is een feit dat de gemiddelde
*nix beheerder meer inzicht in de materie heeft dan de gemidddelde windows beheerder. Let op! Ik heb het over gemiddeldes. Er zijn hele goede en hele slechte beheerders aan beide kanten. Doordat je onder *nix meer op de command line moet doen krijg je vanzelf een beter inzicht van wat er gebeurd wanneer je iets intyped dan wanneer je een of ander gui-tooltje gebruikt.
Ik ben zelf 2,5 jaar NT beheerder geweest en nu ben ik al ruim een jaar UNIX (HP-UX en Linux) beheerder en het afgelopen jaar heb ik meer geleerd dan de 2,5 voorgaande jaren. Het is vanwege dit betere inzicht dat de verzekeraar vind dat *nix mensen minder premie moeten betalen omdat die de boel volgens de verzekeraar beter voor elkaar hebben. Of dit altijd ook zo is blijft natuurlijk de vraag maar een verzekeraar kijkt altijd naar het gemiddelde.

[freaky]

Voor een groot gedeelte heb je wel gelijk echter voor het andere gedeelte niet. Microsoft heeft gewoon veel veiligheidsgaten en ik ben het compleet met je eens dat dit niet altijd aan de eindgebruiker ligt. Het ligt echter wel aan microsoft z'n instelling. Microsoft denkt groot en machtig te zijn (helaas zijn ze dat ook) en houden daar nog al wat nare trekjes aan over. Ten eerste hoef je niet al te veel op veiligheid te controleren, want het is toch closed source. Ten tweede waarom veel geld in veiligheids onderzoek steken? We zijn groot en machtig genoeg, als we de patches uitgeven nadat de fouten gevonden zijn is dat toch goed genoeg? De gemiddelde gebruiker gaat toch niet overstappen... Tevens is het een amerikaans bedrijf, en tot m'n spijt moet ik zeggen dat amerikanen, ook al zijn het over het algemeen aardige mensen, wel de grootste egotrippers zijn die ik ooit gezien heb. Bovendien is de overige instelling van microsoft over het algemeen ook niet te pruimen, en zijn patches vaak pas na 3 maanden beschikbaar terwijl ze er in linux/*nix vaak dezelfde dag al beschikbaar zijn. Dit is zeker voor een verzekeringsmaatschappij toch wel een heel belangrijk punt. Je kunt bekende veiligheidsgaten geen 3 maanden laten zitten.

Al met al mis je wat puntjes geloof ik, al heb je gedeeltelijk wel gelijk.

Tevens nog even een paste van het zuurste stukje wat ik ooit tegen gekomen ben... Het is een quote van microsoft. Het komt er in het kort op neer dat ze GEEN uitvindingen/wetenschapjes met andere hoeven te delen wat dat KOST geld. Nou hebben ze al geld zat maar gaan schijnbaar voor werelddominatie. Daar komt bij dat ze zelf wel ERG GRAAG gebruik maken van mensen met precies de tegenovergestelde instelling want ze gebruiken nogal wat technieken die door andere uitgevonden en wel vrij gegeven zijn. Kortom Microsoft z'n beleid is klote en egocentrisch van hier naar tokio en terug.

Hier de paste:

At Microsoft's January investment conference, Microsoft CEO Steve Ballmer proclaimed, "Linux is our enemy No. 1." And, on Valentine's Day, Microsoft's chief of Windows, James Allchin, sent a very special valentine to Linux, proclaiming that open source is an "intellectual property destroyer" and innovation killer, even suggesting that open source, and therefore Linux, is un-American.

[Beaves]

Ten eerste hoef je niet al te veel op veiligheid te controleren, want het is toch closed source. Ten tweede waarom veel geld in veiligheids onderzoek steken? We zijn groot en machtig genoeg, als we de patches uitgeven nadat de fouten gevonden zijn is dat toch goed genoeg? De gemiddelde gebruiker gaat toch niet overstappen...

Tuurlijk hoor, zo denkt MS ook echt. Die gaan echt lekker achterover zitten en lekker iedereen uitlachen, jij hebt echt een rare anti-MS kronkel in je koppie zitten.

Het is gewoon een feit dat Windows veel makkelijker lijkt waardoor mensen lekker gaan klooien, want ja "wat maakt dat ene IP nummer nu uit?". Zo kan je heel gemakkelijk van alles en nog wat veranderen wat soms nu juist niet moet.

Ik heb dat zelf met Win NT 4.0 server meegemaakt, ik installeer dat voor de eerste keer, en binnen 5 minuten had ik mijn allereerste DHCP server draaien, terwijl ik alleen wist wat een DHCP server doet. Als ik het onder *nix zou moeten zou ik veel en veel langer bezig zijn en denk ik ook meer leren.

[Verwijderd]

Dit blijf ik toch echt het slechste verweer vinden van Windows liefhebbers. Dat het altijd maar aan de gebruiker ligt. Kijk, in sommige gevallen zal het daar best aan kunnen liggen hoor, maar er zijn ook bedrijven die er wel duur personeel op zetten en die worden ook gehackt.

[blaatenator]

check attrision.org Daar staan ŽexposedŽ websites. Het merendeel draait echt niet op NT. Wat wel zo is dat veel bedrijven NT gebruiken, en MS de gebruikers goed op de hoogte houdt van bugs, wat bij UNIX leveranciers veel minder het geval is. Het probleem is dat meer hackers dan systeembeheerders die sites in de gaten houden, en er daadwerkelijk wat mee doen. Dus toch weer de gebruiker!

[drexciya]

Eens temeer wordt duidelijk dat het om mensen gaat niet zozeer om hardware danwel software.

Wanneer je gaat kijken naar het zwaarste Microsoft produkt, Windows 2000 Datacenter Server, dan zie je dat men ook die factor onder de loep heeft genomen:
- Je koopt geen OS, maar een compleet produkt met ondersteuning/supportpakket.
- Je MOET adviezen van de ondersteuningsmensen opvolgen, je mag niet zelf gaan prutsen! Dan vervalt de SLA en ben je op jezelf aangewezen.
- Alleen bepaalde komplete configuraties worden ondersteund voor Datacenter, niet de gemiddelde configuratie die iemand in elkaar zet.

Met dit produkt kan men wel 4 tot 5 negens (99,99-99,999%) uptime garanderen.

Nog even een paar algemene opmerkingen tot slot: Iedereen die een beetje verstand heeft van de gang van zaken in de IT wereld, weet dat er erg veel mensen in rondlopen, die er niets van bakken. Toevallig kom je dat soort mensen meer tegen in windows omgevingen dan in *nix omgevingen.

Dat komt mijns inziens meer door een stuk status, beloning en imago (*nix is moeilijk dus duur qua supportpersoneel) dan door het produkt zelf. Windows omgevingen worden als "makkelijk"gezien of er draaien kennelijk geen bedrijfskritische toepassingen op.

Het wordt hoog tijd dat men in Windows omgevingen eens wat kritischer gaat kijken naar de capaciteiten van het personeel en het belang van bepaalde "triviale" diensten voor het bedrijf.

Zoiets simpels als een agenda blijkt ineens erg bedrijfskritisch, wanneer het even niet meer werkt. Alle reden dus om niet meer zo lichtzinning met dat soort toepassingen om te gaan.

Pas als men professioneler met Windows omgevingen omgaat, zal de ondersteuning ook op een hoger niveau komen.

[Verwijderd]

Helemaal mee eens!

Bijkomend probleem is dat in een Windows-omgeving een hele netwerk configuratie met enkele muisklikken veranderd kan worden, en juist de vele beheerders die niet goed weten waar ze mee bezig zijn, zo op basis van 'trial-and-error' hun netwerk beheren en configureren. Dit blijft overigens niet beperkd tot Windows-netwerken, ook in Novell omgevingen zie je dit verschijnsel erg veel.

Andere trend van het laatste jaar is dat de externe deskundige (die erg duur is) weer vervangen wordt door interne goedkope krachten. Budgetten voor opleidingen en trainingen zijn er dan ineens niet, dus vallen veel bedrijven terug op de enthousiaste hobbyist die er niet veel van bakt maar wel lekker goedkoop is.

[Verwijderd]

Om zo'n NT/Novell uitspraak te doen moet je verstand hebben van beide platformen. Feit is dat Novell netware met haar NDS nog steeds het beste product levert. Het probleem is alleen dat het merendeel van de beheerders niet de moeite neemt om eens verder te kijken dan die "lullige" dosschermpjes waar Novell mee komt.

Weetje1: wist je dat een ADS object 70 keer zoveel schijfruimte in beslag neemt dan een NDS object?
Weetje2: wist je dat ADS gewoon een grafische schil bovenop de NT4 bagger is die niets anders doet dan zich presenteren als een boomstructuur, maar verder alleen maar ballast met zich meeneemt.

Mijn mening (but who am i?): netware 5.x met NDS8 en Zenworks 3 is nog altijd de beste optie met de lowest cost of ownership. Maar ja, dan zal er worden verwacht dat 99% van de beheerders eens creatief gaan denken.

[Verwijderd]

Wat wellicht niet helemaal duidelijk wordt is het feit dat hier wordt verwezen naar alle NT-gebaseerde systemen. Imho denk ik dan dat ze verwijzen naar NT3.1, NT3.5x, NT4.0, Windows2000(=NT5.0) en XP(=NT5.1).
Of het produkt nu goed/veilig/stabiel is, is niet zo zeer de vraag, maar eerder hoe er omgegaan moet worden als er "hidden features" gevonden worden.

De standaard test/acceptatie tijd voor ServicePacks is bij MS op 3 maanden vastgesteld, Gedurende die 3 maanden worden er geen nieuwe hotfixes aan het ServicePack toegevoegd.
Het zou m.i. een betere zet zijn om bijvoorbeeld kleinere ServicePacks samen te stellen en deze steeds cumulatief te testen. Dat scheelt m.i. een hoop vertraging (= nu minimaal 3 maanden) voordat een hotfix in een ServicePack opgenomen kan worden.

Bedrijven hebben bij voorbaat een hekel aan allerlei losse hotfixes, waarbij het nooit zeker is of deze wel goed samenwerkt met de rest van het systeem. Dat is juist immers de zeer intensieve controleslag die voor een ServicePack uitgevoerd moet worden.

Bedrijven wachten dus meestal tot er eindelijk weer een ServicePack is en gaan dan eens plannen of/wanneer deze binnen het bedrijf uitgerold kan worden.

Uiteindelijk lopen de meeste bedrijven dan minimaal 6 maanden extra "risico" op problemen, dan dat dat strikt noodzakelijk zou zijn.
En dat vindt een verzekeringsbedrijf natuurlijk geen goede zaak.

Tenslotte onderstreep ik de mening dat steeds meer bedrijven onterecht bezuinigen op opleidingen van o.a. systeembeheerders. Gelukkig is dat niet overal het geval, maar in sommige bedrijven waait het idee "mmmm het ziet er net uit als bij mij thuis, dus kan het niet ingewikkeld zijn...ff wat proberen te installeren....mmm het werkt niet...ff opnieuw opstarten...mmm ook niet...ff een backupje terug zetten...mmm die backup van gisteren was niet goed...even zoeken...nou dan maar opniew installeren...o, hij doet het weer, hij geeft in ieder geval geen foutmeldingen meer op het scherm, dus alles zal wel goed zijn nu...goh..toch wel simpel dat Windows...(3 maanden later staat het bedrijf in het nieuws aangezien er op heel simpele wijze het bedrijf binnen kon komen via de PC van een medewerker. Op nog onverklaarbare wijze waren alle beveiligingsmiddelen die op elke PC van het bedrijf geinstalleerd waren door de inbrekers doorbroken. Een nader onderzoek zal nog worden uitgevoerd."

Misschien dat er van dit scenario een boeiende film te maken is, maar het is eigenlijk diep triest...

[boner]

'We saw that our NT-based clients were having more downtime due to hacking'

Een andere (koos)naam voor MS is the evil empire. Een heleboel mensen zien het als hun plicht dit empire te bestreiden. Dat is een van de redenen waarom er op een NT server meer hack-attacks binnenkomen.

Dus is het een potentieel gevaar alleen door de aanvallers en niet door het OS zelluf.

Het OS is voor de gebruiker eenvoudig gemaakt. Een goeie systeembeheerder zal dus eerst ff zijn/haar best moeten doen om alle deurtjes te sluiten. Maar het kan wel. C2 is niet voor niks afgegeven. Overigens veel eerder dan welk ander publiek OS ook.

Al dat gelul over een brak OS en zeikerts die het een nep-besturingssysteem vinden moeten eerst nadenken en dan pas zeuren.

[Verwijderd]

[premie?]

Ik ben benieuwd wat je voor een premie moet
betalen als je Novell gebruik

[/premie?]

Sorry voor alle Novell fans hier (mochten die bestaan)

[RConsole]

Ik ben benieuwd wat je voor een premie moet
betalen als je Novell gebruik

Sorry voor alle Novell fans hier (mochten die bestaan)

Waarschijnlijk heb je nog nooit achter een Novell server gezeten laat staan gezien te hebben.

Ik sluit me helemaal aan bij de reactie van www.hadecom.nl