[seamuc]

Liebe Mitglieder,

ich weiß, eine kuriose Frage, welche gleichzeit sehr sehr sehr peinlich ist.

Ich administriere diesen Windows 2003 R1 SP1 Server NICHT aber ich wurde gefragt, warum es für Windows Server 2003 R1 SP1 kein Sicherheitspatch für Wannacry (KB4012598) gibt.

Existiert diese Lücke in 2003 R1 SP1 nicht?

Ich würde gerne mindestens SP2 installieren bzw. darauf Aufmerksam machen, dass das u. U. sehr notwendig ist, weil wannacry evtl. das geringste Problem bei diesem Ding ist aber das ist nicht so leicht.


Killt mich nicht

Beste Grüße
seamuc

[RalphS]

Wir killen Dich nur, wenn Du Admin in der Firma bist, die sowas verzapft.

Bist Du es nicht, genügt ein einfacher Hinweis darauf, daß man sich mit Win2003 - egal welches SP-Levels -- in Teufels Küche begibt. Besonders, wenn das Ding wie von Dir impliziert auch noch Internetzugang hat (braucht es den?) oder zumindest "irgendjemand" ran kann.


Bist Du es doch, gilt dasselbe. Aber dann bist Du in der Pflicht, gaa~nz tief Luft zu holen (anti-Panik Maßnahme ) und dem Scheffsche geraden Blickes zu erläutern, daß er auf diesem Weg die Zukunft seines Unternehmens aufs Spiel setzt, daß er besser beraten wäre, irgendeinen Win-Server ab 2008R2 (lieber neuer) einzukaufen PLUS soweit erforderlich Schulungskosten oä. zu tragen, weil DAS immer noch zu bevorzugen ist gegenüber Totalausfall und vollständigem, ggf sogar irreversiblem Datenverlust (auch wenn ich hoffe, daß es Backups auf einem nicht-verbundenen System gibt).

Das ist Dein Auftrag als Administrator. Dafür bist Du da. Und wenn Scheffsche sich querstellt und sich partout weigert, läßt Du Dir das bitte SCHRIFTLICH geben. Das ist kompletter Ernst: Denn im Ernstfall war es das mit dem Unternehmen gewesen und dann willst Du NICHT schuld sein und ebensowenig verantwortlich gemacht werden können.


Und fallst Du Dich irgendwo dazwischen verorten solltest, falls Du also Zugang zur IT-Abteilung haben solltest, aber nicht selbst Teil dieser oder dort keine besonderen Befugnisse haben solltest: Den Leiter der IT-Abteilung greifen (oder wer sonst für sowas zuständig ist) und den abklopfen, warum zur Hölle ein System von vor ~15 Jahren verwendet wird. Dann erklärt der Dir vielleicht dasselbe wie oben schon angedeutet und daß Scheffsche sowas auch unterzeichnet hat; in dem Fall ist das zwar immer noch doof, aber dann außerhalb irgendwessen Verantwortungsbereiches AUßER des Scheffsches selber. Kurz: Dann hat er eben Pech gehabt.

[Stefan_der_held]

Mutmaßung:
Server 2003 ist supportseitig 2015 (genauer am 14.06.2015) eingestellt worden. Klar: Es gibt XP-Updates entsprechend. Jedoch (MUTMASSUNG!) gehe ich stark davon aus, dass der Fehler unter Server2003 weniger zum Tragen kommt als unter XP. 's beste ist so oder so mittlerweile eine Migration.

Der Einsatz von Server 2003 ist genauso sicherheitstechnisch bedenklich wie der Einsatz von Windows XP. Sicherheitstechnischerschweizerkäsehochzehn.

Dieser Beitrag wurde von Stefan_der_held bearbeitet: 26. Mai 2017 - 09:36

[seamuc]

Ich danke euch beiden.

@RalphS: Ich äußere mich nicht dazu , verstehe selbst nicht wirklich was das soll. Der dritter Punkt ist eher der Fall.
Ernsthaft: Vielen Dank, ich versuche den berechtigten A.tritt weiter zu geben.

[RalphS]

So gesehen würd ich eher annehmen, daß man Server-Benutzern mehr Kompetenzen abverlangt als Client-Benutzern. Plus, S2003 sollte nicht so oft in Embedded-Umgebungen laufen wie XP das tat (oder noch tut).

Privat kann man XP ja verwenden. Dann ist das nur die eigene Verantwortung und wenn mein Babyfoto weg ist, dann ist das zwar doof, aber relativ konsequenzfrei.

Aber im Unternehmen? Not so much.

Der Server ist sicher noch eine Option in einer geschlossenen Umgebung, wo sonst keiner nicht ran kann. Aber auch da gibt es keinen Support, wenn was passiert hat man Pech, und obendrein benötigt aktuelle Software heutzutage mehr und mehr Funktionslevels ab *zumindest* 2008; da kann man mit 2003 nicht hinterher und entsprechend kann man dann auch diese-oder-jene eigentlich sinnvolle Software in so einer Umgebung schlicht nicht einsetzen.

[Stefan_der_held]

Zitat (RalphS: 26. Mai 2017 - 09:48)

Aber im Unternehmen? Not so much.

Ein Unternehmen welches nicht in die Sicherheit investiert (sei es aus bequemlichkeit, aus Kostengründen usw.) wird leider früher oder später massiv Probleme bekommen. Die Frage ist nicht "ob" sondern schlicht "wann". Die Uhr selbst tickt schon fleißig.

[RalphS]

Leider gibt es immer noch zuviel alter Software, die mangels Alternative verwendet werden MUß. Und manchmal GIBT es die Alternative zwar, aber es hängt an Zertifizierungen und sie DARF nicht eingesetzt werden.

Was hier jetzt das Problem ist, keine Ahnung; aber in jedem Fall steht man sich irgendwo selber im Weg, weil was nützt mir die Zertifizierung für eine Software von vor knapp 20 Jahren, wenn mir zur selben Zeit der Rest des Systems um die Ohren fliegt? Dann muß halt wutschnaubend eine Zertifizierung für neuere Software her -- die natürlich gerne mal sackenteuer ist (in der Hoffnung, daß das Unternehmen klein genug ist und nicht noch paar Hundert Leute über die Füße latschen können; sonst steht doch wieder alles).

Das mit ggf nicht vorhandener Software für die Betriebsprozesse ist leider ein gravierenderes Problem. "Eigentlich" müßte man sowas dann explizit in Auftrag geben, aber... davor scheut man sich dann doch meistens.