MSがパッチを自動インストールする製品を検討 66
ストーリー by Oliver
勝手にエンバグ 部門より
勝手にエンバグ 部門より
von_yosukeyan 曰く，"ZDnet Japan エンタープライズの記事によると、MSFTのステーィブン・バルマーCEOがGartner主催のGartner Symposiumで公演した際に、アナリストらからセキュリティーや業界における独占に関しかなりきわどいやり取りがあったという。興味深いのはセキュリティーに関する質問に対し、バルマーCEOは「NimdaとCode Redがセットで襲ってきた。これが，セキュアな環境を提供，展開させることにフォーカスする必要性があることを浮き彫りにした」とし、この対策に「年末までに，新しいセキュリティパッチを自動的にあてるセキュリティ・ツールキットをリリースする」ことを明らかにしている。
/.-Jでも以前話題になった「セキュリティーパッチを自動的にあてるワーム」に近いものだろうが、管理者のセキュリティー意識の強化には繋がらないだろう。むしろ、「IISサーバを厳重管理するためのツール」やIISそのものがAdministrator権限で走らないようにしてほしいと思うのだが、皆さんはどう思われるか？"
Re:歴史をひもといてみると (スコア:3, 参考になる)
＃・・・って、それだけじゃなんなので・・・(苦笑)。
個人的には、MSの姿勢って、「ユーザーに提供」というよりは、
「強制」するとした方がしっくり来ます(苦笑)。
＃特に、選択肢の枝を自分で切り落としておきながら、
＃「選択の自由がある」なんて、のうのうと言っちゃうところが。
個人用office PCとしての用途から発想の枠が抜け出てない時点で、
技術はさておいても発想や着想は時代遅れな気がします。
わたしの意見としてはInternetには限定しないんですけど、
MSって特にリソース管理という面での意識レベルが低いですよね。
＃OSのリソースリークに始まって謹製アプリケーションのメモリリークとか、
＃マルチユーザー環境での(メモリに限らない)リソース管理方針の
＃お粗末さとか、ぜんぶ。ついでにMSNも(苦笑)。
今回も、パッチの自動配信とか言っても、個々のユーザーの
環境なんかのリソースをちゃんと考慮して言ってるんだろうか？
＃まぁ、「考慮しない」＝「管理が甘い」では、
＃必ずしもありえませんけどね。
---- redbrick
この手の文法が (スコア:3, 興味深い)
某国のテロの後のカーニボーとか、某国の盗聴法とか。
共通点：自らの組織の失態を技術のせいにして、顧客の監視をより強めようとする所。
ガンダムの0083でもこんな話があった。
# やっぱ-1？フレームのもと？
Re:MSの猿をなんとかしたい (スコア:3, すばらしい洞察)
# 追記
とありますけども、J++やらC#、J#のような、Javaテクノロジそのものをねじ曲げた製品は「異義ある形で参加」にはなるが「意義ある形で参加」にはならない。あまつさえMS用にねじ曲げたJVMを載せているのも確信犯としかみられない。そのようなことをするから混乱が起きるし、Sunからもブーイングが出るのだ。そのくらいもわからないならJavaに首を突っ込まないで欲しいくらいだ。Re:歴史をひもといてみると (スコア:3, すばらしい洞察)
それも近視眼的にシェアにこだわるという悪い意味でのマーケティング重視....。
8月3日のパッチは、、、、 (スコア:3, 参考になる)
もしくは、該当するFIXを 直接ゲット するとか。
迷惑な話だ。
Re:MSの猿をなんとかしたい (スコア:3, おもしろおかしい)
はったりの塊なればこそつっこみどころも満載なのでしょうが、「従業員が働かないからいけない」と答えてしまう社長よりは頼りになるような気がしたのがアレです。(T-T)
IISにしがみつくのは・・・ (スコア:2, すばらしい洞察)
予言してみる (スコア:2)
そして、そのマシンの利用者にとっては異常となる動作に勝手に変更するだろう。
すると、マイクロソフトは、「仕様です。セキュリティが低い状態にいるのはユーザにとって不幸なことです。だから、パッチがあたった後の動作が正常なのです。」とコメントを発表することだろう。
この予言は当たるか当たらないか。何カノッサ賭ける?
# マイクロソフト叩きを書くと、信者が反発するんだよな。
# でも、賭けが成立しないに500カノッサ。
# 1発目なのにjokeねたですまん＞タレこんだ人
Re:サービスパックやパッチをあてることで (スコア:2)
#だから、自動インストール製品自体をインストールしないことにする管理者もかなり多くなりそう。
#はたしてＭＳの対策は効果あがるのかしら
/.configure;oddmake;oddmake install
訂正 (スコア:2)
ステーィブン・バルマーCEO ＞ スティーブン・バルマー
です。すみません
それとITProの記事によると、Microsoft Security Tool Kit日本語版の配布が10月23日から開始されるそうです。また、Betaテストはやってたもの、配布が頓挫しているWindows2000SP3の提供開始は2002年上半期になるそうです。
MSの発表は (スコア:2, 参考になる)
こっちも含めて、ちっとはましな方向に向かってると思うんですが。
結局パッチ当てるかをユーザーにまかせといたら今の惨状なので、
よくわかってない人相手には(半?)自動でやってくれたほうが迷惑は少ないんじゃないかと。
まじめな管理者にとっても、リストアップの作業が軽減されるのでありがたいはず
(少なくとも私はそう)
hack = ほげる / hacker = ほげらー
-- Rei --
歴史をひもといてみると (スコア:2)
何が言いたいかというと、要するにパーソナルコンピュータのためのソフトの会社であり、WindowsもパーソナルコンピュータのためのOSであったということです。
マイクロソフトは、この「パーソナルコンピュータ」のためのソフトの会社であるがゆえに、ユーザに迎合した使いやすさを優先し、システム管理者や開発者を含めた全てのユーザに、マイクロソフトの論理での使いやすさを提供せずにはいられないように思われます。
しかし、それがマルチユーザのネットワークコンピュータのためのソフトウェアにとって正しい方向なのか?
特に、MSNに力をいれていてインターネットに乗り遅れかけた時期に焦って作ったような製品に、まっとうなネットワークコンピュータに求められるアーキテクチャを発想できたであろうか?
これが、そもそもIISに代表される分野でマイクロソフトを信用できない一番の理由のような気がします。
なので、今あるIISに泥縄に対策をするってのはやっぱり信用ならなくて、パッチじゃそもそもどうにもならない。見つかった穴塞いでも、地盤が大谷石なんだから。
サーバーよりもクライアントのセキュリティパッチが簡 (スコア:2, すばらしい洞察)
サーバーのセキュリティパッチを簡単にすることよりまず、クライアントのセキュリティパッチを重点的に簡単にして欲しいなぁ。
サーバーの管理者は仕事としてやってる人が多いんだから多少ややこしくてもいいけどクライアントはそうもいかないし。
nimdaにしてもCodeRedにしてもダイアルアップユーザーからの攻撃が多かったから一般ユーザーが簡単にパッチを当てられるようなツールだったら有効かも。
Re:MSの発表は (スコア:2)
しかし、こうするとうちの職場では一部インターネット禁止になっているノードを microsoft には最低でもアクセス可能にしなきゃいけなくなるので、そこら辺の政治活動がだるいかぎりです。
まあ、M$の毒に首まで使っている会社だから、すぐにOK出るんでしょうけど。。。
Re:サーバーよりもクライアントのセキュリティパッチ (スコア:2)
あそこが常に最新とは限らない(ここが情けないところ)けど、「重要な更新」と「重要な更新の通知」をいれるだけでもだいぶ安全性が増すと思うのですが。
操作も「M$IEのアドレスに windowsupdate.microsoft.com ッテいれて、」「製品の更新をクリック」「重要な更新と、重要な更新の通知をクリック」「ダウンロードをクリック」「あとはハイハイと答えなさい」でいける。
杞憂？ (スコア:2, 参考になる)
てなお方が増えそうな気がします。
ぎりぎりまで自動だけど肝心なところは管理者が掴んでる、というのが理想のハズなのに、
完全自動＝完全依存の構図を簡単に作り上げてしまうおそれがあるのではないかと。
「せきゅりてぃ？わーむ？なにそれ」てな人よりかはまだマシかもしれませんが…
Re:サーバーよりもクライアントのセキュリティパッチ (スコア:2)
これに比べたら、Debian Security ははるかに情報が早いし、確実だね。コマンドも apt-get update , apt-get dist-upgrade 二発で終るし。
Re:サーバーよりもクライアントの(略 (スコア:2)
WindowsUpdate に対応した OS なら、スタートメニューにショートカットがあるんだけども。
説明の手間と Typo の危険性を同時に排除できて経済的。
Re:MSの発表は (スコア:2, すばらしい洞察)
全クライアントがいっせいにUpdateを始めたら、確実にパンクするでしょう。
そのあたりを緩和する、某社の中央アップデート機能なんかが提供されないと、恐ろしくて使えないです。
Re:MSの発表は (スコア:2, おもしろおかしい)
---- redbrick
Re:MSがやられると (スコア:2)
同意書を作るならまだマシ。もっと恐いのは
と言い張ること。宣伝文句にはなるけど、証明のタネにしている鍵を盗まれるような会社がそんなこと言ってもねぇ...
Re:MSの発表は (スコア:2)
Re:サービスパックやパッチをあてることで (スコア:2, 興味深い)
この問題については、修正ファイルを用意していますが、完全な遡行テストを行ってはいませんので、問題が発生したシステムにのみ適用してください。この問題による大きな障害が発生していない限り、この修正内容が収められたサービスパックの次のリリースを待つことをお勧めします。
みたいな恐いことが書いてあって、インストールしていいものやらどうやら...って気にさせられるんですよね。 今回の話題のシステムって、こういう「完全なテストを行っていません」ってパッチも片っ端から入れたりされちゃうのかな？
だいたい、
「NimdaとCode Redがセットで襲ってきた。これが，セキュアな環境を提供，展開させることにフォーカスする必要性があることを浮き彫りにした」
なんてふざけた事言ってますが、裏を返せば NimdaとCode Redより前に騒がれてたセキュリティ問題は、Microsoftとしてはあまり気にしてなかった ってことですよね。「セキュアな環境を提供」するために努力するのはOSに限らず、ソフトウェア開発の立場として(少なくとも建前上は)最低限の常識なのにね。
本当に反省してるのであれば、XPとか.NETとか言って浮かれてないで、セキュリティ（およびその他のバグ潰し）の方に本気で最大限の努力をして欲しいものです。
自動アップデート (スコア:2, すばらしい洞察)
実行さえすればアップデートモジュールをダウンロードしてインストールしてくれるツールはパソコンじゃ一般的なわけで（OSはもとよりその他の製品でも）、もしかしてMSはパソコンと同じレベルでサーバのセキュリティを考えているんだろうか？(^^;)
＃それにしても最近の製品に蔓延する「バグあり当然」という風潮が気に入りません。
＃ソフトをアセンブラで書いていた頃の方がバグは少なかったような。
＃有償で Bug Fix たあ、どういう了見だ？
/* Written by Takayuki Masuda */
WindowsUpdate (スコア:2, すばらしい洞察)
Win98SE + MSIE + Outlook Express という危険極まりない組み合わせを常用しているウチの弟には、パッチが出るたびに（次善の策として）「Updateを実行せよ」と指令してますが、なぜか嫌がります。
理由を訊くと「新しく何かをインストールするたびにどんどん不安定になっていく」からだそうで、なるべく「素」のままで使いたがります。
結局、安定させるのに手間がかかるという点も、セキュリティに対する意識を低下させる原因なのでは？ スキルアップして安定させるという発想も薄いみたいで。
人の迷惑よりも自分のマシンの使い勝手の方が大事、という考え方が（少なくとも一般ユーザーの間では）支配的であるような気がします。
/* Written by Takayuki Masuda */
Re:歴史をひもといてみると (スコア:2, 参考になる)
細かいところで、MS-BASICからMS-DOSときてって部分に
Xenixを入れてやって下さい。
Xenixに関して云えば、UNIX的にも評価が高かったと聞いています、MSはXenixよりも簡単に扱えるDOSを改良して一般のコンピュータ入門者へ売り込んで成功した会社です、これがＭＳのスタンスを明確にしていると思います、つまり、利用者は簡易な操作を好むもので複雑さを排除しなければならないといった思想です、おかげで、本来力を入れないといけない部分が抜けているんじゃないでしょうか、しかも、既にシンプルさを失ったシステムは複雑怪奇で簡単ではなくなり始めていますし、終焉も近いかな。
# 人生のキャリーオーバー継続中
Re:杞憂？ (スコア:2, 興味深い)
『ぱそこん』が家電製品，つまり他人には使わせないし壊れても自分が困るだけのもの，ならば完全自動が望ましいと思います．逆に言えば，サーバー的な使い方をしているマシンでは完全自動は望ましくないと思います．
サービスを提供する側(サーバー) と享受する側(クライアント) では心構えが違うと言うのは古い考え方なんでしょうか? 当り前の事だと思うんだけど，なぜか『ぱそこん』となると話が変わって来るんですよね．
Koichi
MSの猿をなんとかしたい (スコア:2)
ZDNNがどうとは言わないが、突っ込みし放題ですね。この猿コメント。
はいはい、働きモノで賢いですか、だったらあんなおかしな仕様だかバグだかわけのわからんモノは作らないでしょう。
ゴリラね、あんたのことかい。プラスの影響って何でしょうね。このおっさんは具体例という言葉を知らないのではなかろうか。
パートナーって一体誰を指すのかわからんので理解に窮するところであるが。それとも単に日本語訳がダサイのか。
そのためにもありとあらゆるバグを取り除かなければならない。でしょ。
いまさら何をおっしゃいますか。
悪あがきだけは人一倍頑張るよね。そういった点で粘り強いのは認めるが。
MSのソフトが無くても決めることくらいできるけどね。
アップグレードをやってみないと良い悪いは判断し兼ねますが。
それは今に始まったことではない。
これについては議論されていた。勝手にWeb改竄、Windows XPのスマートタグ機能 [srad.jp]を参照。
そういう結論ならMS独自のファイル形式はやめてしまえと思う。
SunもMSの尻ばっか見てないで、目を覚まして欲しいけどね。
ベンチマーク?パフォーマンス?君は堅牢性について考えたことは無いのかね。
Re:敢えてMS擁護してみます (スコア:2, すばらしい洞察)
> MSがインフラを提供してようが一社独占だろうが、
> 製品購入者及び社会に対して被害を与えないようにするべき責任を
> 免れる理屈が分かりません。
うーむ、すみません。
たしかに、読み返してみると論理が飛躍してしまっていてわかりにくかったですね。
redbrickさんの言うことはまったくそのとおり、同意見なんです。
ただ、それ(被害を与えないように責任をとらせる)を実現することが、現状だとできていない、ということです。
過去、CodeRedでも、Nimdaにしても、その危険性は既知のものであって、「責任を果たす」(具体的には、危険性が予知された時点で、それを十分に周知して、できる範囲で対応する)必要が「本来」あってしかるべきなんですが…
ただ、営利を主体とする企業体にとってみては、先にリリースしてしまった製品について、非採算的な対応は最低限にしたいはずです。
そう考えれば、(それこそ星の数ほどあるだろう)問題点について、あらかじめ先手を打って対応するコストと、自社の経済的被害を見積もってソロバンはじく必要がありますよね。
今回はその結果が「黙殺」だっただけなわけで。
計算違いはあったでしょうけど、その行為自体は理解できるものです。
(私はそれが嫌だからUN*X使ってますが…)
選択肢がたくさんある工業製品、たとえば車だったら、「あのメーカーの車は危険」という風評被害は甚大なものでしょうけど、ことOSの世界だと業界標準の製品がひとつだから、風評被害が直接収益に響きにくい構造になってます。
だからこそ、実被害が出るまでの対応が最もコストの低い(黙殺するか、「仕様です」と反論するか)ものになると思うのです。
私が言いたかったのは、今その「責任」というか、「義務」を果たさなくても、特に罰則や(製造者の経済的な)被害がないという社会構造自体に問題がある、ということです。
# 今後の消費者の利益のため、個人的にはWindowsの仕様公開を希望。
# そうしてWindows互換OSがいろいろ出てきてほしいもんです。
# 軽いのとか、堅いのとか、かわいいのとか…。
いまさらいうのもなんですが (スコア:2)
リリース後のサポートは重要ですが、それ以前にリリース時の品質をなんとかして欲しいです。
サービスパックやパッチをあてることで (スコア:1)
まあちゃんと動くパッチだけなら勝手に適用されてもいいんだけどね。
このツールは (スコア:1)
現状でも新しいUpdateが登場したらそれを報告するツールは配布されてますから、それを一歩進めた程度のものになると考えるのが現実的でしょう。
同様のツールはMacOS Xにも搭載されていますね。
Re:アップデート情報を知らせるだけなら (スコア:1)
Re:予言してみる (スコア:1)
その掛け率は 自動アップデート制度(?)が 存続する年限に 強く依存するので すぐには ベット致しかねます。戯れに予言その２：
# 個人的には alert なメールを up to date にWindows 2010 辺りで OS 自体を microsoft.com から ダウンロードするようになり 自動パッチ機能は 廃止される。 で、microsoft.com が ヤラれて 起動すらできなくなる。
# 送付いただければ十分なのですが > Microsoft 様
予言 (スコア:1)
↓
パッチ自動配布
↓
バグで自動インストール機能が動かなくなる
↓
意味ないじゃん。
Re:サービスパックやパッチをあてることで (スコア:1)
かくして、
いかなるウィルス被害もすべからくユーザーのみに責任がある。
状況が実現するわけです。(-_-#)
なにもMSだけの問題ではない。 (スコア:1)
＃MSが作った物は構造上、問題が増えるようになっているので、いつまでもMSへの集中攻撃は収まらないとは思うが。
ライバル会社の製品についても公正に扱ってくれるのであれば、非常に期待するが、そうならないのであれば、MSに依存しない体制で実現すべき問題だと考える。
具体的には、ワクチンメーカーが、実現される事を希望。
実は、同様の物をNIMDA発生前にシマンテックに提案していたのだが、どうなっただろう？
私も予言 (スコア:1)
「某社のServlet Container（か何か、M$の強力な競合技術に関係する物）だけがか動かなくなるパッチが自動配布されてしまい、パッチが十分にテストされていたかったという説明がなされる」 とか
「あるパッチを当て損ねるバグがあって、永遠にそのパッチを当て続けようとして、広範囲な損害が発生する」
ってのは？
Re:私も予言 (スコア:1, すばらしい洞察)
MSがやられると (スコア:1)
確かに、IISを管理者権限で動かしているのは (スコア:1)
そうして欲しいです。
また、サーバ版OSへは、IEを載せないで欲しい。
サーバとして最低限必要機能の最小インストールができる
ようにしてくれると、助かります。
セキュリティパッチを自動にあてる仕組みが出ても、
私の管理しているマシンでは使うつもりはないです。
(実際、MS01-044?あてる場合にも、WebDAVを有効にしないと適用失敗したし、一筋縄に自動であてられない
のではと思いますが)
セキュリティ強度を上げる為に、かなり手の込んだ
対策を施しているし、MS以外の製品を載せている
場合、動作保証ができませんし、サーバを預かる
立場としては、怖くて使えないという意見です。
---moto
予兆はすでに… (was Re:私も予言) (スコア:1)
洒落になってませんねぇ。
私の環境(複数台)では、Windows Updateに出てきた8月の「重要な更新」で、カタログの更新に失敗するために、何度パッチを当てても、「重要な更新の通知」が通知してくる、という、うざったい状況になりました。
他のHotfix当てているうちに収まったのですが…。:-(
from もなか
敢えてMS擁護してみます (スコア:1)
利益追求という点から見れば、特殊法人でもなければ慈善団体でもない、一企業体であるMSの主張は正しいと思います。
企業にとって重要なのは、第一に株主の利益であって、そのために収益をあげることを至上命題にしているのだから、MSは企業として当たり前のことをしているわけで、それ自体は良いことでも悪いことでもないのよ。
ここで現状を鑑みて、
「世界中のインフラを一社でまかなっている」
なんていう分野、他にあるでしょうか。
世界中のPCプラットホームにおいて、事実上インフラの一部となっているWindowsも、工業製品の一つとして考えれば、当然バグや仕様の問題は#必ず#あるわけです。
なので、現状に問題があるならば、それは社会構造的な問題というものです。
インフラとしての問題は(今回のCodeRedやNimdaの話も)、司法や行政の問題なわけで、怒るならそっち怒りましょう。
ただ、MSの将来は明るいとは思えません。
MSが独占禁止法の法廷で勝訴したのは、MSがIT景気の牽引役であり、現在の状態が米国国家の経済的に好ましい、という政治的判断が絡んだため、という説を聞いたことがあります(元ネタ不明、スマソ)。
逆に言うと、IT景気を減速させ、かつ、景気向上の足を引っ張る場合、今度こそ何がしかの対応を求められることになると思います。
だって今や、誰がどういうふうに見たって独占状態だもの。
「Windowsの仕様公開」を公約にして立候補する議員なんていないかなぁ(わらい
Re:敢えてMS擁護してみます (スコア:1)
・企業は利益追求が当たり前(企業の本質そのもの)
・その分野で独占状態でインフラをほとんど一社で提供してる(事実)
・インフラの問題は社会構造の問題で司法や行政の問題
(真実とは完全に言えないが現実的な命題)
各論についてはごもっともなんですが、その繋がりが全くない気がします。
MSがインフラを提供してようが一社独占だろうが、
製品購入者及び社会に対して被害を与えないようにするべき責任を
免れる理屈が分かりません。
＃・・・それって、わたしだけ(汗)？？
わたし自身はアンチMSの立場ですが、今回はそういう感情は
出来るだけ排して考えてます。
＃偏見が入ってたら訂正しますので論理立ててご指摘ください。
＃MSがインフラだってんなら主目的は「社会へのサービス提供及び円滑な運用」に
＃ならなけりゃおかしいし、管理責任はもっと厳しくチェックされて当然だしねぇ・・。
＃水道の水が途中で止まるとか、一か所だけ高圧になって破裂するとかの
＃事故が起これば、管理責任を問われるのはまず水道局だよねぇ？
＃管理が適切かどうかの査察も頻繁に定期的に入るしね。
---- redbrick
普通なら(was Re:MSの発表は (スコア:1)
#それでも間に合わないって?
追記 (スコア:1)
私は、「一社がインフラを賄っている」ということに構造的な問題があるという立場で発言しています。
インフラ企業ばんざーい、という立場ではありません。
重ねて誤解を招いてしまったことを残念に思います。
動かなくなるビジネスアプリケーションがあります (スコア:1)
ベンダに問いあわせたりして、結構大変。
# ツールと組みあわせて使う必要があるときは嫌な感じだ。
Re:サービスパックやパッチをあてることで (スコア:1)
XPなんかだとアクティベートの時にインストールされちゃったりして……。
＃「囲い込み」には反対じゃないけど、他の選択肢も残しておいてほしいなあ。
＃それが自由競争ってもんでしょ。
/* Written by Takayuki Masuda */
Re:サービスパックやパッチをあてることで (スコア:1)
重大な更新のお知らせ→インストール→エラー発生→再起動後、重大な更新のお知らせ、、、（以下略）
な状態に見舞われたことがあるので、これ以上余計な事はして欲しくないんだけどなぁ。
（しかも、毎回数メガもあるファイル読みに行かされて、、、）
バックドア？ (スコア:1)
WindowsXPのインストール時にPCの情報を全てMS$が収得しちゃう、とか有りませんでしたっけ？
MS$製品を使う以上は全てMS$の管理下で行えてことなのかな？
#自分のところのセキュリェイ管理も出来ない会社に。
共通の穴を開けたまま運用しろて言うこと？
直、その穴に攻撃する「ワーム」が出回ると思うけどね。
#それもMS$辺りから
せめて、“問題があっても保証しないよ”みたいなコメントの無いパッチのみを、パッチの内容とそれぞれのパッチ単体を元に戻す機構を同時に提供して、何時でもアップデート機能をOFFにすることが、リセットせずに出来るようにしてほしいですね。
自動アップデート機能の無いIISは保証対象外なんて状況になったら絶対に使用しないように。
#今でも仕方なく使っているんだけどね