Manglende opdateringer af netværkets tredjeparts-programmer er en af de store syndere, når det handler om effektiv sikkerhed.
Adobes Reader- og Acrobat-applikationer er eksempler på programmer, som it-kriminelle har udset sig som angrebsplatform, og som i stor stil udnyttes gennem huller i programmerne.
Software-leverandørerne udsender (i større eller mindre omfang) rettelser til deres produkter, men det kniber med at få dem installeret på klienterne.
Et af problemerne med opdateringerne til tredjeparts-programmerne er, at software-husene bruger forskellige metoder og udsendelsesrytmer til opdateringerne.
Derfor er det svært at opbygge interne rutiner i it-afdelingerne for installation af opdateringerne.
Det problem prøver et dansk sikkerhedshus at eliminere ved at udnytte teknologien i Windows på en anderledes måde.
Samlede opdateringer
Sikkerhedsfirmaet Secunia forsøger nu at gøre det lettere at få husket alle opdateringerne i netværket ved at samle opdateringsfunktionen i en rutine, hvor administratoren anvender Windows Server Update Services (WSUS) til at administrere og installere opdateringer fra de øvrige leverandører.
Herved benytter Secunia sig af en funktionalitet, der er indbygget i Microsofts produkt, men udvider opdateringsmulighederne til at omfatte andre leverandører end Microsoft.
Firmaet har bygget applikationen, Secunia Corporate Software Inspector, der i dag kommer i version 4.0 efter endt testfase.
"WSUS og SCCM er installeret i næsten alle selskaber i hele verden i dag, og nu har alle disse virksomheder mulighed for at sikre deres it-sikkerhed og lukke den trussel, som sårbarheder i tredjeparts programmer rummer," fortæller administrerende direktør Niels Henrik fra Secunia om applikationen.
Secunia har i forvejen en applikation, der undersøger hvilke opdateringer, som mangler i netværket. Nu vil firmaet også gøre installationen af opdateringerne enklere.
De danske sikkerhedseksperter har tidligere efterspurgt løsninger af denne type.
Store udfordringer
I starten af 2009 sagde Peter Kruse fra sikkerhedsfirmaet CSIS til Computerworld:
"Ved at samle det hele et sted vil det blive meget enklere for brugeren at holde maskinen opdateret. Samlingen af opdateringer et sted bliver en af de store udfordringer i 2009."
"Det kommer sikkerhedsbranchen til at knokle med, fordi tredjeparts-programmerne er så svære at holde styr på," lød det dengang fra Peter Kruse.
En holdning, der dengang vækkede genklang hos lederen af DK Cert, Shehzad Ahmad. Han mener stadig, at det er en relevant problemstilling.
"Samling af opdateringerne er en god måde, at forbedre sikkerheden på," vurderer Shehzad Ahmad i dag overfor Computerworld.
Nyt og praktisk
Shehzad Ahmad fortæller, at der er et meget stort behov for at få opdateringerne på plads.
"Der er et hav af produkter, som alle bruger forskellige opdateringsrutiner, hvilket gør det til en besværlig affære."
"Det er for tidligt at vurdere, om der er nogle svagheder i denne løsning, og vi må se potentialet, når det for alvor kommer i drift. Men det er en ny måde at gribe opdatering an på, og jeg synes, det er godt, at man forsøger sig med nye måder til at få opdateringerne på plads," siger Shehzad Ahmad.
Han ser ligeledes et større potentiale i at samle opdateringerne.
"Denne løsning tegner godt, og vi kan håbe på, at andre firmaer tager tråden op, så vi kan få flere lignende løsninger, der kan gøre opdateringen enklere. Om det er fremtidens måde at gøre det på, tror jeg ikke, men det er en metode, der er bedre end dem, vi anvender i dag," siger han.
