Πολυάριθμοι οργανισμοί παραβιάστηκαν μετά την εγκατάσταση weaponized εφαρμογών ανοικτού κώδικα

[netblues]

Αυτου του ειδους οι αντιμετωπισεις του τα κλειδωνω ολα, ειναι λιγο.. κομμουνιστικα.
Η εξιωση προς τα κατω κανει πολυ κακο στη παραγωγικότητα.
Και αν ο οργανισμος δεν ειναι σωστα στελεχομενος, τα πραγματα γινονται σαν να εχεις υποστει επιθεση από μονος σου. Δεν δουλευει τιποτε οπως πρεπει.

Για non-it δουλειες ισως και να γινεται. Μεχρι εκει. Αλλιως ειναι μια μονιμη μαχη παρακαμψης, την οποια το it department σπανιως κερδιζει.
(been there, done that..)

[ranger]

Μα στις περισσοτερες εφαρμογες windows (λχ 7 ή 10) οταν πας να τις εγκαταστησεις πεταει pop up παραθυρο που ζηταει τα Admin credentials που έχει ορίσει το ΙΤ της εταιρείας/εργοδότη. Δεν μου έχει τύχει μέχρι σήμερα να μπορέσω να εγκαταστήσω εφαρμογή σε εταιρικό υπολογιστή.

ότι λέει ο tsigarid. κάνεις ένα φάκελο κάπου και πετάς ότι θες εκεί. Ή και όχι portable, πχ ο waterfox ξεκινάει εγκατάσταση, ζητάει κωδικό admin, πατάς ακύρωση στο παράθυρο των windows και συνεχίζεις την εγκατάσταση σε φάκελο που έχεις δικαίωμα εγγραφής.

Στην αρχή έτσι μας είχαν αλλά μετά κλείδωσαν και τα site (portableapps κτλ) αυτά όπως και τα usb, άρα πολύ δύσκολα να καταφέρεις να εγκαταστήσεις κάτι.

Εκτιμώ δλδ ότι σοβαρή εταιρεία δεν θα έχει αφήσει κερκόπορτες εκτός και αν μιλάμε για μικρό οργανισμό.

Συμφωνώ. γιαυτό είπα στην αρχή ποια σοβαρή εταιρία δίνει τέτοια δικαιώματα ώστε να την πατήσει όπως λέει η είδηση.
Και πες οι 5-10 που θα βρουν λύση μέσω άλλης κερκόπορτας ξέρουν κάτι παραπάνω και δεν θα βάλουν ότι τους πει ένας στο WA ένας άγνωστος.

[netblues]

Οι 5-10 που ξερουν , δικαιουνται να ειναι admins στο pc τους, η τουλαχιστον να ξερουν το pass του local admin.

Αφου στο τελος οταν γινει η στραβη, κανεις δεν φταιει και ολα εχουν γινει σωστα.. Τι? Οχι?

[ranger]

Τι? Οχι?

Όχι.
αν έχει γίνει σωστά δεν θα γίνει στραβή. Τουλάχιστον σε τοπικό επίπεδο από εγκατάσταση προγράμματος, μην το πάμε σε phishing κτλ

Στο 90% των περιπτώσεων αυτά που θέλουμε να ξεκλειδώσουμε είναι για την δική μας ευκολία, όχι για την παραγωγικότητα. Είναι τύπου: θέλω τον browser που μου αρέσει γιατί δεν μου αρέσει ο edge, θέλω να βάλω τον vlc να ακούω ραδιόφωνο ενώ κάνω δουλειά, κτλ. Οτιδήποτε άλλο θες και είναι πραγματικά απαραίτητο είτε θα είναι ήδη στημένο είτε θα ζητήσεις και θα το πάρεις όταν χρειαστείς.
Άρα και αυτός που ξέρει δεν το χρειάζεται. Άσε που ποιος ορίζει το ποιος ξέρει και το ποιος όχι;

Αλλιως ειναι μια μονιμη μαχη παρακαμψης, την οποια το it department σπανιως κερδιζει.
(been there, done that..)

Μια χαρά κερδίζει αν το κάνει σωστά. Πες μου πως θα εγκαθιστούσες κάτι στο σενάριο που είπα παραπάνω;
Και θα το δοκιμάσω

[Φιλόσοφος_Στ@ρχίδας]

Μια χαρά επιβιώνουν, απλά με μείωση της παραγωγικότητας στο βωμό της ασφάλειας. Πίστεψέ με, ξέρω από πρώτο χέρι, και δεν μιλάω για μικρό οργανισμό.

Για αυτό είπα "παραγωγικά περιβάλλοντα"

[ranger]

To τμήμα ΙΤ σου παρέχει ότι πρέπει να είσαι παραγωγικός. Αν δεν το κάνουν, το ζητάς.
δεν γίνεσαι παραγωγικός με το "θέλω τον δικό μου browser γιατί έτσι"

[Tony_Ts]

Χμμμ, δηλαδή καλού κακού να το αντικαταστήσουμε το PuTTY;

Στο PowerShell των Windows 10 έχει ενσωματωμένη υποστήριξη SSH. Π.χ.

ssh user@host.name

Αν έχεις όμως φτιάξει στο PuTTY διάφορα προφιλ, με ρυθμίσεις για tunneling κλπ, τότε ίσως να μην σε βολέψει αυτός ο τρόπος.

Κατά τα άλλα, όπως ειπώθηκε ήδη, αν κατεβάζεις τις εφαρμογές από την αυθεντική πηγή, δεν θα σε επηρεάσει το πρόβλημα της ανακοίνωσης.

[Φιλόσοφος_Στ@ρχίδας]

To τμήμα ΙΤ σου παρέχει ότι πρέπει να είσαι παραγωγικός. Αν δεν το κάνουν, το ζητάς.
δεν γίνεσαι παραγωγικός με το "θέλω τον δικό μου browser γιατί έτσι"

Ε νταξ, δεν είναι ποτέ τόσο απλό το θέμα. Μπορεί να μην είναι browser, μπορεί να είναι μια library.

[tsigarid]

To τμήμα ΙΤ σου παρέχει ότι πρέπει να είσαι παραγωγικός. Αν δεν το κάνουν, το ζητάς.
δεν γίνεσαι παραγωγικός με το "θέλω τον δικό μου browser γιατί έτσι"

Αν το ΙΤ σου πει ότι δεν μπορείς να βάλεις κάτι για λόγους ασφαλείας, με τον τρόπο που ορίζουν αυτοί την ασφάλεια, καλή τύχη να τους πείσεις για το αντίθετο.

Παραδείγματα που μου απαγορεύουν στη δουλειά; remote desktop apps AND websites, off-site e-mail access, streaming of music (!), teleconferencing software other than MSTeams and WebEx, χρήση του υπολογιστή μου όταν ταξιδεύω για προσωπικούς λόγους στο εξωτερικό (με πολύ δυσκολία ίσως τους πείσεις για επαγγελματικό ταξίδι). Σίγουρα υπάρχουν κι άλλα, αλλά αυτά πρέπει να αρκούν για να καταλάβεις ότι δεν ισχύει αυτό που λες. Η παραγωγικότητα θυσιάζεται στο βωμό της ασφάλειας.

[mcde]

To τμήμα ΙΤ σου παρέχει ότι πρέπει να είσαι παραγωγικός. Αν δεν το κάνουν, το ζητάς.

Πολύ θεωρητικό αυτό. Απέχει πολύ από την πραγματικότητα σε πολλές περιπτώσεις εταιριών. Τα τμήματα IT πολλές φορές είναι υποστελεχωμένα, άλλες φορές κάνουν λάθος επιλογές και άλλες απλά αδιαφορούν.

δεν γίνεσαι παραγωγικός με το "θέλω τον δικό μου browser γιατί έτσι"

Η λύση εκτός από τον έλεγχο είναι η ενημέρωση. Είναι ανεπίτρεπτο στο 2022 να υπάρχουν ακόμα άνθρωποι που να κατεβάζουν αρχεία από κάπου που τους έστειλε κάποιος άγνωστος, ή να επισκέπτονται τοποθεσίες στο internet που τους έδωσε κάποιος άγνωστος ή σε κάθε περίπτωση όχι γνωστό άτομο αρμόδιο για το θέμα. Υπάρχουν άπειρα παραδείγματα που έγιναν μεγάλες ζημιές μέσω π.χ. social engineering.

Το χειρότερο όμως είναι ότι η ενημέρωση αυτή, ότι δηλαδή δεν πρέπει σε καμία περίπτωση να τα κάνει ένας χρήστης/υπάλληλος αυτά, μπορεί να χάνεται σε κάποια από τις χιλιάδες σελίδες των company manuals που υπάρχουν (και τελικά δεν διαβάζει κανείς).

[deniSun]

Άρα δεν μολύνθηκε το putty κλπ οπότε "τρέξτε όλοι να τα αλλάξατε γιατί από εκεί που τα κατεβάσετε είναι μολυσμένα"
αλλά κάποιοι τα μόλυναν και τα διέδιδαν για δικούς τους σκοπούς.

[ranger]

Η λύση εκτός από τον έλεγχο είναι η ενημέρωση. Είναι ανεπίτρεπτο στο 2022 να υπάρχουν ακόμα άνθρωποι που να κατεβάζουν αρχεία από κάπου που τους έστειλε κάποιος άγνωστος, ή να επισκέπτονται τοποθεσίες στο internet που τους έδωσε κάποιος άγνωστος ή σε κάθε περίπτωση όχι γνωστό άτομο αρμόδιο για το θέμα. Υπάρχουν άπειρα παραδείγματα που έγιναν μεγάλες ζημιές μέσω π.χ. social engineering.

συμφωνώ αλλά αυτό είναι άλλο θέμα. Μέχρι να γίνει αυτό πρέπει να έχεις έλεγχο.

Παραδείγματα που μου απαγορεύουν στη δουλειά; remote desktop apps AND websites, off-site e-mail access, streaming of music (!), teleconferencing software other than MSTeams and WebEx, χρήση του υπολογιστή μου όταν ταξιδεύω για προσωπικούς λόγους στο εξωτερικό (με πολύ δυσκολία ίσως τους πείσεις για επαγγελματικό ταξίδι). Σίγουρα υπάρχουν κι άλλα, αλλά αυτά πρέπει να αρκούν για να καταλάβεις ότι δεν ισχύει αυτό που λες. Η παραγωγικότητα θυσιάζεται στο βωμό της ασφάλειας.

Έχω τους ίδιους και περισσότερους περιορισμούς με εσένα και συμφωνώ ότι είναι πολύ σπαστικό.
Αλλά αυτά που λες (εκτός teleconferencing*) δεν έχουν να κάνουν με την παραγωγικότητα, τουλάχιστον όπως την ορίζει η εταιρία. Θες να το πάμε στο "είμαι πιο παραγωγικός όταν ακούω μουσική" κτλ; Γιατί όπως το βλέπει η εταιρία την δουλειά σου την κάνεις και χωρίς αυτό. Και αν θες υπάρχουν και λύσεις εκτός υπολογιστή. Ομοίως τον υπολογιστή μας τον έδωσαν για να κάνουμε την δουλειά μας, στις διακοπές θα πάρω τον προσωπικό μου υπολογιστή.

Δεν είμαι ΙΤης, δεν προσπαθώ να τους δικαιολογήσω και χαλιέμαι και εγώ που δεν μπορώ να κάνω ότι θέλω. Αλλά απ την άλλη καταλαβαίνω απόλυτα το γιατί το κάνουν.

*Για τα teleconferencing είχα παρόμοιο θέμα όταν έπρεπε να μπαίνω σε κλήσεις με άλλες εταιρίες από Αμερική/Ασία και όταν το είχαν οργανώσει οι εξωτερικοί ήταν σε ότι software χρησιμοποιούσαν ( teams όπως εμείς, webex, zoom, meet). Τις πρώτες 1-2 φορές μπήκα από browser και κάποια θέματα με echo κτλ. Το είπα στο IT, είδαν ότι το απαιτεί ο ρόλος μου και μου εγκατέστησαν αυτά που χρειαζόμουν. Τώρα πλέον είμαι υποψιασμένος και αν μου στείλουν mail για κλήση σε κάτι άλλο από teams θα το ζητήσω απ την αρχή.

Ομοίως, την παρασκευή που μας πέρασε χρειάστηκα ένα εργαλείο για 6σ analysis που δεν το παρέχει η εταιρία αλλά το χρειάζομαι και έχω δική μου άδεια. Παρασκευή 4 το απόγευμα άνοιξα ticket, Δευτέρα μεσημέρι με πήραν να με ρωτήσουν τι και πως, σε 2 ώρες το εγκατέστησαν. Έχασα μια μέρα (αν και δεν το ήθελα πριν την Τετάρτη αλλά λέμε τώρα), οκ το δέχομαι. Αλλά απ την άλλη δεν μπορούν να τα έχουν όλα ανοικτά γιατί δεν με ξέρουν προσωπικά ώστε να πουν "οκ, αυτός δεν θα βάλει ποτέ κάτι που θα του πει ένας άγνωστος στο WA, δώσε του admin access".

Αν το ΙΤ λοιπόν δεν δουλεύει σωστά ή είναι υποστελεχωμένο, η λύση δεν είναι να τα ανοίξουν όλα. Είναι να δουλέψουν σωστά.