Internet Security Systems (ISS) warnt ausdrücklich davor, nach Bekanntwerden einer Schwachstelle einen nicht von dem betroffenen Softwarehersteller entwickelten Patch auf unternehmenskritische Systeme aufzuspielen.

Nach Aussage der Sicherheitsexperten riskieren Unternehmen damit, die mit dem jeweiligen Lösungsanbieter abgeschlossene Lizenzvereinbarung zu verletzen. Dies ist insofern kritisch, da sie damit ihren Anspruch auf Supportleistungen aufs Spiel setzen. Sollte es trotz des vermeintlichen Schutzes ihrer Systeme durch die Installation eines inoffiziellen Updates zu einem erfolgreichen Angriff kommen, können Unternehmen wahrscheinlich mit keinerlei Hilfestellung rechnen. Vielmehr müssen sie die Konsequenzen selber tragen und für möglicherweise entstandene Schäden in vollem Umfang einstehen.

Furcht vor Angriffen leistet inoffiziellen Patches Vorschub

Ein gutes Beispiel für die schnelle Veröffentlichung inoffizieller Patches von Seiten Dritter, stellt das mit dem Java-Script-Befehl "CreateTextRange" des Internet Explorers im Zusammenhang stehende Sicherheitsleck dar. Die seit Mitte Februar bekannte Schwachstelle rief in kürzester Zeit Hacker auf den Plan. Bereits kurz nachdem Informationen hierzu kursierten, fanden sich mehr als 200 präparierte Webseiten im Netz, deren Aufruf es Angreifern ermöglichte, Schadcodes auf den Systemen der Besucher ausführen und auf diese Weise die Kontrolle über ihre Rechner zu erlangen. Microsoft kündigte die Bereitstellung eines entsprechenden Updates für den 11. April an. Die Angst der Unternehmen ihre bislang ungeschützten kritischen Systeme bis zu diesem Zeitpunkt möglichen Angriffen auszusetzen, kam den Entwicklern inoffizieller Updates in diesem Fall gut zupasse: Schon nach wenigen Tagen fanden sich zwei Lösungen zum kostenfreien Download im Internet.

Das Aufspielen solcher Updates ist nach Aussage von ISS jedoch keine empfehlenswerte Strategie. Dabei führt der Hersteller von Sicherheitslösungen für den präventiven Schutz von Infrastrukturen jeder Größenordnung nicht nur das Thema Lizenzabkommen ins Feld. Vielmehr bezweifelt das Unternehmen, dass bei der Entwicklung solch inoffizieller Patches der wirksame Schutz von Systemen im Vordergrund steht und sieht deren schnelle Bereitstellung vorrangig als Maßnahme zur Steigerung des Bekanntheitsgrades an. Denn die Entwicklung qualitativ hochwertiger Updates, welche die notwendige Systemintegrität garantieren, kostet Zeit. Gerade große Hersteller wie Microsoft müssen prüfen, dass der jeweilige Patch genau auf die Anforderungen der von ihnen bereitgestellten Softwareversionen in allen denkbaren Kombinationen abgestimmt ist. Um dies zu gewährleisten, sind umfassende Tests notwendig. Nur so lässt sich garantieren, dass das Update die Lauffähigkeit der Anwendung im Zusammenspiel mit Service Packs und unter verschiedenen Betriebssystemen auf Rechner unterschiedlichster Couleur nicht beeinträchtigt. (hri)

Quelle: http://openpr.de