Aktuelle Java Lücke

[NeMiX 76]

Mal hier in die Runde geworfen:

 

Wie handhabt Ihr in euren Netzwerken die "Monster" Flash,Java,Reader die gefühlt wöchentlich Updates bringen für teilweise gravierende Sicherheitslücken . Bei der aktuellen Java Lücke wird der Einsatz von Java bzw. die Deinstallation beim IE vom BSI empfohlen...

Da fragen wir (Arbeitskollegen&Ich) uns derzeit ob es nicht einfacher ist Java,Flash komplett zu deinstallieren und dann nur nach Anforderung bereitzustellen für gesonderte Seiten.

Softwareverteilung ist vorhanden und wird gerade bei den 3 genannten tagesaktuell genutzt, aber manchmal dauert es einfach länger bis Updates bereitstehen..

 

 

Ich würde mich über Input/Vorschläge sehr freuen, da es sicher auch andere gibt die sich damit herumschlagen müssen...

[jarazul 10]

In Kundenprojekten schlage ich im Rahmen der Anfoderungsdefinition IMMER vor, Software nur dann zu installieren, wenn diese definitiv benötigt wird. Bei Office wird es schnell klar, das wird so ziemlich jeder nutzen müssen. Java ist da schon eine Überlegung wert. Nur weil es in einer kostenlosen Lizenz ausgeliefert wird, muss es ja nicht pauschal bereitgestellt werden. Einige Kunden haben Intranet Applikationen die Java voraussetzen. Dann ist es meistens gesetzt.

 

Flash verhält sich meist anders. "Das hatten wir schon immer". Oder der Klassiker. "Das brauchen die Mitarbeiter zum Surfen". Den meisten fällt bis auf Youtube o.ä eh kaum etwas ein, das zwingend Flash voraussetzt. Wenn es dann auch noch arbeitsrelevant sein muss, wirds eher dünn. Es sei denn, ähnlich wie bei Java, Intranet Applikationen setzen es voraus.

 

Die Frage ob Middleware wie Java, Flash, .Net, Adobe Air o.ä pauschal installiert wird, sollte stark von den Kundenanfoderungen abhängen. Je pauschaler die Installationsfrage beantwortet wird, desto griffiger muss das Security und Patchmanagement Konzept erarbeitet werden.

 

WSUS und SCUP bieten hier gute Ansätze.

 

cheers, Daniel