Risico's gebruik W98 binnen Enterprise

[CoffeeToGo]

Bij een klant waar wij een inventarisatie uitvoeren op de IT omgeving kwamen wij tot de constatering dat er nogal wat verouderde zaken aanwezig zijn. Binnen de enterprise omgeving maken ze nog gebruik van Windows 97 en Windows Server 2008R2. Nu is de klant zelf van mening dat dit allemaal prima is "want het werk en nog geen problemen gehad..".

Om toch een beetje bewustwording te creëren wil ik ze graag wijzen op de risico's van het gebruik, maar loop vooral voor het gebruik van Windows 97 een beetje vast hoe dit concreet te maken. Hebben jullie tips / voorbeelden waarom ze er een hoop geld tegenaan moeten gaan gooien ?

[Jazzy]

Het is Office 97, Windows 95 of Windows 98.

Verder lijkt me toch wel dat je een paar moet kunnen weiden aan de gevaren van ongepatchte software? Waar zat je zelf al aan te denken?

[CoffeeToGo]

Sorry, ik bedoel 98!

[superduper]

kan prima, als je de netwerk kabel maar doorknipt

sry, misschien flauw, maar mi niet meer verantwoord om dit soort machines aan internet te hangen.

[ Voor 50% gewijzigd door superduper op 15-11-2021 17:09 ]

[TommieW]

Ik denk dat er teveel context mist om hier iets over te kunnen zeggen. Als je voor een specialistische machine van een miljoen Windows 98 nodig hebt en daar voldoende maatregelen zijn getroffen, kan dat prima een oplossing zijn.

Als eindgebruikers op een niet-gepatchte Windows 10 werken, kan dat een aanzienlijk groter risico zijn.

[DDX]

Hangt er echt vanaf wat je met die machines doet.
Internet op zo'n machine lijkt me een redelijke uitdaging bij gebrek aan nieuwe browsers en tls standaarden.
Dus wat dat betreft is het wel redelijk veilig en zolang het achter een firewall staat kom je er ook niet zomaar bij.

[downtime]

DDX schreef op maandag 15 november 2021 @ 17:17:
zolang het achter een firewall staat kom je er ook niet zomaar bij.

En er loopt één keertje iemand naar binnen die zijn ongepatchte laptop in het netwerk plugt en opeens heb je toch een probleem.

[TommieW]

downtime schreef op maandag 15 november 2021 @ 17:26:
[...]

En er loopt één keertje iemand naar binnen die zijn ongepatchte laptop in het netwerk plugt en opeens heb je toch een probleem.

Nee, dan heb je je beveiliging niet op orde. Juist hiervoor heb je netwerkzonering. Je moet dus precies weten welke verkeersstromen nodig zijn en alleen die toestaan. In een fatosoenlijk corporate netwerk kunnen clients met geen mogelijkheid bij zulke systemen komen.

[Jazzy]

TommieW schreef op maandag 15 november 2021 @ 17:34:
[...]

Nee, dan heb je je beveiliging niet op orde. Juist hiervoor heb je netwerkzonering. Je moet dus precies weten welke verkeersstromen nodig zijn en alleen die toestaan. In een fatosoenlijk corporate netwerk kunnen clients met geen mogelijkheid bij zulke systemen komen.

Het is nogal een aanname dat een organisatie die geen afscheid neemt van Windows 98 en Windows Server 2008R2 omdat "het werkt en nog geen problemen gehad" een dergelijke netwerksegmentatie heeft. En zelfs dan, de kern van het probleem is natuurlijk dat je een kwetsbaar OS draait.

[downtime]

TommieW schreef op maandag 15 november 2021 @ 17:34:
[...]

In een fatsoenlijk corporate netwerk kunnen clients met geen mogelijkheid bij zulke systemen komen.

Als ze nu nog Windows 98 draaien dan kunnen we niet aannemen dat het een "fatsoenlijk corporate netwerk" is.

[redfoxert]

downtime schreef op maandag 15 november 2021 @ 18:34:
[...]

Als ze nu nog Windows 98 draaien dan kunnen we niet aannemen dat het een "fatsoenlijk corporate netwerk" is.

Met netwerkisolatie en segmentatie van dat soort systemen kan je prima ook op een enterprise netwerk opereren. Juist dat maakt het verschil tussen een enterprise netwerk en een houtje-touwtje netwerk.

[TNijpjes]

Daarbij ondersteunen de meeste virussen dergelijke oude OS-en niet meer. Grootste probleem zit hem vaak dan niemand meer in staat is het systeem te herstellen mocht het falen. Op moderne hardware draait het niet meer. Tevens zijn er weinig virusscanners die dergelijke oude OS-en nog ondersteunen.

Vergelijk het als rijden met een oldtimer. Veel mensen hebben nostalgische gevoelens er bij. Voor sommige doeleinden zijn ze nog prima. Toch rijden de meeste die dagelijks op de weg zitten een moderne leasebak. Daar gaat gewoon loodvrij in en de garage heeft de onderdelen op voorraad.

Zoals eerder benoemd. Een oud OS is niet het grootste probleem, vaak missen de mitigerende maatregelen en bewustwording in de rest van de organisatie. Niet blind staren op een oud OS dus.

[_H_G_]

TNijpjes schreef op maandag 15 november 2021 @ 19:02:
Daarbij ondersteunen de meeste virussen dergelijke oude OS-en niet meer.

Zou niet weten waarom niet. Het is Windows. Het is 32-bit. Het gebruikt SMB1.0.

Maar inderdaad: als het in gesegmenteerd netwerk zit, hoeft het geen probleem te zijn.

[Question Mark]

Wat is nu concreet de opdracht? Puur een inventarisatie, of moet je rapporteren op beveiligingsrisico's.

Indien dat laatste, dat zul je moeten onderbouwen waarom dat component in de keten volgens jullie een risico is.

• Compleet standalone, om specifieke apparatuur te bedienen -> niet wenselijk, beheersbaar risico
• Netwerkconnected, maar netwerkzonering en firewalling/IDS in orde -> niet wenselijk, marginaal risico
• Netwerkconnected, geen zonering/firewalling -> niet wenselijk, groot risico

(even als voorbeeld).

En die risico's zul je voldoende moeten gaan onderbouwen. Als jij hier onderzoek naar moet gaan doen, maar je hebt in alle eerlijkheid geen idee wat de risico's zijn dan heb je als onderzoeker wel een grote uitdaging.

[Brahiewahiewa]

_H_G_ schreef op dinsdag 16 november 2021 @ 07:36:
[...]


Zou niet weten waarom niet. Het is Windows. Het is 32-bit. Het gebruikt SMB1.0.
...

Windows 98 is feitelijk 16 bits met 32 bits extensies; doet geen DEP, geen memory randomnization.
En SMB 1.0 wordt uit Windows 10 uitgefaseerd en zit al niet meer in Windows 11

[Sitelabs]

Misschien een beetje flauw: maar als je op een forum op zoek moet naar argumentatie en uitleg om een klant duidelijk te maken dat er (grote)risico’s zitten aan het gebruik van (steen) oude en nog belangrijker, al heel lang niet meer gesupporte software, in een zakelijke omgeving! Ben jij (of het bedrijf onder welke naam je deze opdracht uitvoert) niet de aangewezen partij?