Bei SecurityFocus ist nun Teil 3 der Artikelserie zu Automating Windows Patch Management online. Diesmal geht es um alternative Tools zum Patch Management, Teile 1 & 2 haben den SUS vorgestellt, damit hat sich der Assistant BLfH schon in diesem Post beschäftigt.

Es ist soweit - auf AspxHeute wurden die Artikel bis dato mehr als 5 Millionen Mal gelesen (Stand brandaktuell: 5.020.826).

Slides zu folgenden Themen können downgeloadet werden:

• Essentials of Application Security
• Implementing Application Security Using the Microsoft .NET Framework
• Writing Secure Code – Best Practices
• Writing Secure Code – Threat Defense

Gerade die Broschüre zum FlyNet der Lufthansa bekommen; das ist das Onboard-WLAN bei Transkontinentalflügen über den Service Connexion by Boeing.

Ja sind die denn vom bösen Affen gebissen? 802.11b ohne WEP oder irgendwelche sonstige Sicherung?

Kannst Dir sicher sein daß ich da bei nächster Gelegenheit AirSnort dabei habe und mir die Daten der diversen unbedarften Management-Typen aus der Businessklasse abgreife. Ist wohl ein Scherz ein blöder, was denken die sich eigentlich?

Ob Cain mit ARP Poisoning auch eine kreative Lösung wäre? Snicker... gehen wir halt auf "Fehlersuche"...

http://www.lyricsdownload.com/albert-hammond-it-never-rains-in-southern-california-lyrics.html

So wie der gestrige Tag aufgehört hat so fängt der heutige an - I steh' in der Kältn aber der Bus kummt ned, kummt ned. Aspro: http://www.skv.at/kultur/download/Lieder.rtf absolute Kulturgüter darunter, wie "Es gibt kein Bier auf Hawaii", "Fürstenfeld", "Griechischer Wein", ... und, hey, das Kufsteinlied! Wildschütz!

Wie immer fängt der Tag mit Spam^H^H^H^HEmail-lesen an. Wenn ich die Spam sehe, habe ich genug Kalorien für den ganzen Tag. Aus purer Fadesse in den Talk über Mobile Web Services gesetzt, und draufgekommen, daß das heute doch glatt heise.de Thema war. In Aktion ist die Sache spannend und auch überaus nützlich, außerdem werden bei den Mobile Vorträgen Goodies verlost. Wie immer gewinne ich nichts, aber es zählt ja der Versuch, und der war immerhin schon der zweite.

Geplantermaßen weiter ging's mit Erik Olsen zum Thema Troubleshooting, Auditing und Tracing von ASP.NET Whidbey, und hey, da kommen einige coole Sachen auf uns zu. Wie zB Success / Failure Einträge im Eventlog für Formsbasierte Authentifizierung und dergleichen. Und nochwas habe ich gelernt: StringBuilder ist nicht notwendigerweise schneller als Response.Write (vor allem weil letzteres mit einem preallocated Buffer arbeitet, sohin am GC vorbei).

Sorry, es muß sein, ich halte es nicht mehr aus. Hast Du, geneigter Leser, schon mal bewußt den Amerikaner beim Hinrichten des Essens zugesehen? Mit welcher Hingabe ein Putensteak mit der Gabel zerteilt wird (bei uns nennt man das åbapfergitzen), oder das Vorschneiden des Essens und dann Handwechsel der Gabel gefolgt von bagger-bagger? Da läuft es mir einfach kalt den Rücken runter.

Hernach ist mir Miguel de Icaza (und ich kann mir das übliche me casa su casa nicht verkneifen) über den Weg gelaufen (Mono Projekt, http://www.go-mono.com/). Ich glaube wir haben uns in weniger als 1 Minute mehr als fünf Mal per Handschlag verabschiedet. Egal, er war excited. Mental note: mexikanische Pilze besorgen.

Die Mittagspause mit einer Repeatsession zum Thema Data und XML in VS.NET Whidbey vertrieben. Außer cool nur noch kuhl, wir bekommen einen XSLT Debugger! Nebenbei bemerkt wird das Programmieren mit Typed Datasets und Data Tier Komponenten zu einem Pointy-Clicky Spiel. Einfach Tier-isch.

Das Dessert (in die 1s-Variante würde ich die Spammer am liebsten schicken) des Tages sowie der Konferenz war die Panel Discussion zum Thema Rocking the Web with ASP.NET Whidbey. ScottGu, NikhilKo, ErikOl et al haben Fragen beantwortet. Einiges davon: ab der Beta kann man Master Pages (mehr dazu bei den NCC Events in KA und Wien - anmelden unter http://www.dotnetcommunityconference.com) on the fly wechseln, sowie daß ein Embedded SQL Server kommen wird. Ach ja, und weil es immer wieder aufkommt, sowie auch heute hier, das berühmte Problem Website auf CD, diesmal ASP.NET, ist gelöst und dokumentiert:

http://www.microsoft.com/belux/nl/msdn/community/columns/desmet/hostaspnet2.mspx

Alles hat ein Ende (nur die Wurscht hat zwei), und somit ist auch die heurige PDC wieder rum. Wie der Kaiser schon (nasal) zu sagen pflegte: Es war sehr schön, es hat uns sehr gefreut.

Caramel Popcorn? Bier aus der Plastikflasche? Bier???

Sehen wir die Entwicklung in Richtung Longhorn einmal positiv: ab sofort kann uns der Finanzer die Hochleistungsgrafikkarte nicht mehr rauswerfen, weil wir brauchen sie ja für die Arbeit. Und wenn MS Research so weitermacht wie Rick Rashid das heute in der Keynote (hat eigentlich von Euch schon mal wer den Autoschlüssel als Spickzettel mißbraucht???) gezeigt hat, dann steht uns in den Bereichen Presentation, Storage und Communication noch so einiges ins Haus.

So zum Bleistift im Bereich Storage - hier zeigt Jim Gray das Virtual Observatory, das aus Skyserver (http://skyserver.sdss.org sowie http://www.skyserver.org) und SkyQuery (http://www.skyquery.net) entsteht. Und so nebenbei kann man einige .NET Demos für die lokale Maschine ziehen, um sich mal selber ein "Bild" davon zu machen. Der TerraServer in the sky, sozusagen.

Frauen und die Technik. Schlimm wenn du nervös bist, und dir durch die langen Haare fährst, vor allem wenn dort das Mikro verankert ist. Strafe: Handmikro. Nur kannte dort scheint's keiner die Episode aus dem österreichischen Parlament. Und ich wollte damit nicht auffallen. Zurück zum Thema: Communication mit wallop, einem experimentellen Tool, das Beziehungen von Personen (gruppen) mappen kann. Irgendwo cool, langsam frage ich mich aber, ob der Ansatz soziale Beziehungen via EDV zu pflegen nicht doch ein wenig krank ist. Gut, ok, ich finde Webchats schon dümmlich, ich bin also bereits als asozial einzustufen.

SPOT - Smart Personal Objects. Die tollen neuen Programme die dadurch möglich werden! Location-based Spam war immer schon mein Traum (Du gehst an Beate Uhse vorbei und Deine Uhr beginnt zu vibrieren). Wir werden es erleben oder auch nicht (wer erinnert sich noch an Hailstorm?).

Ab Ende der Keynote war ASP.NET TOTAL angesagt, da fühlt man sich doch gleich wie der Zahnarzt in der Süßigkeitenfabrik. 2 Talks ASP.NET Data Controls (hey, habe ich schon erwähnt, daß ich den Talk gestrafft bei http://www.dotnetcommunityconference.com/ bringen werde?), einer von ScottGu zu Cools Tips & Tricks, den ich wahrscheinlich bei der NCC in Wien noch unterbringen werde, weil die Sachen so absolut coolbeans sind. Abgerundet wird der Tag mit 2 Talks rund um die neuen Möglichkeiten der Server Controls durch Nikhil Kothari (wer mal ein Server Controls Buch braucht, um seines führt da kein Weg herum).

Heute ist Attendee Party Tag. Fehler gemacht und hingegangen. Warum, frägst Du? Bin gegen besseres Wissen in den Jahrmarkt für erwachsene Amerikaner - Universal City - mitgegangen. Bei solchen Events fühle ich mich immer irgendwie heftig deplaziert. Und MGD in einer Plastikbottle, da fällt mir nur der berühmte Witz ein, was amerikanisches Bier und... ach lassen wir das, die Liste soll doch kinderfreundlich bleiben. Dafür CoDe Party versäumt, weil die Shuttlebusse retour nicht supertoll organisiert waren. SchaDe.

Und nochwas lernt man: kommen 2 Busse Teilnehmer im Hotel an, dauert es lange, bis Du per Aufzug oben bist. Und runter geht es auch nur stoppend (jedes Stockwerk ab dem 15ten!), wenn 10 Minuten später alle zur Party wollen.

Last but not least möchte ich noch einen Terminus technicus mit dem geneigten Leser teilen: Art (engl., Kunst). Im Sinne von wenn man in einer Demo ein Verzeichnis mit Passwortabfrage absichert, und ein Teilnehmer dann fragt, ob das Absichern auch für "Art" funktioniert. Alles klar. Und die porträtierten Personen gehören der Berufsgruppe der Akteure an.

Lage 1.

Fatman vs Batman

Nicht nur ich habe die Tendenz, einen Vortrag zu überziehen. Eric Rudder hat es bei einem einstündigen Vortrag heute um eine halbe Stunde geschafft, allerdings sei es ob der coolen Demos des Toolsteam verziehen. Allerdings finde ich es doch bedenklich, wenn man Batman mit seinem Toolbelt bemüht, um Smartdevices vorzustellen. Ebenfalls allerdings muß ich sagen, daß das neue Programmiermodell - sprich SDK - für Smartphones absolut cool ist. Haben will.

Die "Retourkutsche" kam dann mit Gordon Mangione (SQL Server) und Tom Rizzo, wo Gordon zum  Fatman und Longhorn am Expense Report für den Chef zu Longjohns wurde. Bei WinFS gab es dann Finger-Referenzen zu Dr. Evil, und schon war es Mittagsessenszeit, weil knapp nach 11 bezeichnet man wohl nicht als Mittagszeit.

In weiser Voraussicht vorzeitig einen Platz für den Indigo-Vortrag besetzt, mampfe da gerade Skittles vor mich hin. Hätte ich mir sowieso nicht von der Süssigkeitentheke gekrallt, wenn sie mir nicht von http://crazyengineer.net/projects/skittle.php in Erinnerung gewesen wären. Das Graffel hat doch glatt 240 Kalorien pro "serving size"... und das bei M&M Größe. What shalls, Don Box halte ich auch mit einem Zuckerschock aus.

Nach dem Vortrag entschieden, daß ich nicht nochmal Sardine spiele, und bin dafür in einen PocketPC/SmartPhone Vortrag gegangen. Noch mehr haben will als nach der Keynote. Wenn ich mal bösartig sein soll: MS ist da wieder im Begriff einen Bereich über die Bereitstellung totaler cooler Plattformen und Entwicklertools aufzurollen. Bin gespannt, wann Nokia und Konsorten das Lachen einfriert über diesen neuen Mitbewerber.

Als Abschluß des (Vortrags)Tages noch bekanntes absolviert, also Plattform & ASP.NET Überblicke. Man muß sich ja informieren, worüber man bei der demnächst stattfindenden .NET Community Conference (http://www.dotnetcommunityconference.com/) reden darf. Wir sind also beim täglichen schamlosen werben für dieses Event angekommen

Das Ende des (Konferenz)Tages markiert ein ATE (Ask the Experts, sprich fragt ja alle anderen außer mich), und dort treffe ich weitere Bekannte von Rob Howard über Andrew Duthie bis hin zu Michael Amundsen. Abends ist spielen mit Longhorn angesagt, zuvor aber noch mit ein paar Büchern aus dem eCompanyStore eindecken. Man braucht ja im Winter was zum Heizen <gd&rvvf />

Good morning Las Vegas! Beware of geeks wearing gifts.

Daß auch Group Vice Presidents zu Demos überredet werden können hat der heutige Tag bewiesen, vor allem dann wenn die Demos wieder Mal Don Box leitet (und unter Zuhilfenahme von Chris "Mr. Anderson" wird's auch nicht besser). Von Emacs über Vi und SlickEdit haben wir uns schließlich zu VS.NET hochgedient in den jeweiligen Samples. Aber ich bin schon wieder zu weit, beginnen wir am Beginn.

Begonnen hat der Tag mit einer Keynote von His Billness, der die Motivationen für Longhorn und Konsorten festgelegt hat. Ohne Code und Pause ging es dann mit Jim Allchin weiter, jenem eben vorgenannten VP für die Windows Client Gruppe, die uns Longhorn bringen wird (ach ja, das sollte ich heute Nacht mal auf den Notebook installieren versuchen). Berüchtigt wie immer waren die auch schon angesprochenen Demos von Don und Chris, von Avalon (neue UI Api's) über Indigo (neues Messaging) hin zur Integration in die Shell, genauer den neuen Sidebar, ging die Zeitreise (in die Zukunft).

Auf dieser Konferenz sind 7000 Teilnehmer. Wieso schaffe ich es, jedem über den Weg gelaufen zu sein, den ich kenne? Von Hannes Preishuber, Patrick Lorenz, Michiel und anderen CodeWise-Bekannten waren auch Dirk & Uwe darunter, die gemeinsam mit Patrick und mir in Karlsruhe die Community Conference bestreiten werden - http://www.dotnetcommunityconference.com für diejenigen, die sich noch nicht angemeldet haben. Ach ja, mit Scott Guthrie und Mark Anders ein kleines Pläuschen gehalten (die Herrschaften, die uns ASP.NET gebracht haben, sozusagen).

Des Nachmittags eine Avalon Session, leider hakt es mit den DHCP Servern und somit ist Essig mit Internet am eigenen Notebook. Zumindest für jetzt. Mal sehen ob und wann das wieder was wird, vielleicht wenn ich vom Meeting wieder retour bin (genau, man fährt zu Konferenzen um bei Meetings zu völlig anderen Themen teilzunehmen...)

Damit ist es bereits Abends, und irgendwie wird das eine lange Woche werden.

Motto des Tages: Chicken-deprived demos

Was ich an Konferenzen immer so liebe ist das frühe Aufstehen das er mir abnötigt. Da was sein muß sein muß, war ich um viertel nach sieben in der Früh im Convention Center, um (a) die Registrierung hinter mich zu bringen, (b) das CommNet auszuchecken, (c) mal gründlich die Goodies durchzugehen, die im obligaten Konferenzrucksack drinnen sind. Überraschung: ein volles Office 2003 Professional! NFR, aber das ist nebensächlichst.

Zweck des Tages ist es, den Pre-Conference Track über XML und Web Services zu überstehen. Sechs Stunden immerhin, aber mit einem Don Box als Vortragenden sollte das zu ertragen sein. Einige Tidbits gefällig? Nun, er meinte "Did you know that Martha Stewart dated Charles Symoni?" (wer die beiden nicht kennt soll gefälligst googlen), oder "HTTP is the cockroach of network protocols" - wäre angeblich auch nach einem Nuklearkrieg noch anzutreffen...

Als alpha male hat er vor dem Spa Web Service (mit einer tollen Pamper Methode) noch das Message Routing anhand eines chicken-deprived Web Services erklärt (nein, nicht fragen). Tim Ewald hat eine Lebensweisheit eines Consultants, eigentlich die erste goldene Regel, mitgeteilt: "Make it easy for your customers to pay you." You go girlfriend - man sollte während man gerade redet vielleicht doch schauen, was die Kollegen gerade am Schirm herumtippen - vor allem wenn der federführende Schurke ein gewisser D. Box ist.

Kommen wir zu den "Social Events". Mittags bin ich über die RD's Christian Weyer und Christian Nagel "gestolpert", ebenso über Klaus Aschenbrenner (INETA UG Graz). Egal wie groß die Konferenz ist, man trifft einfach die Leute die man kennt. Genauso war's dann beim Marketplace Event: Al & Dave (die Ex-Wrox Autoren), Gary Gray  und Julian (beide Apress), sowie wieder Christian Nagel und Thomas Fickert (ja, ich hab's ausgerichtet). Und gechattet habe ich mit einem MSler zum Thema Managed C++, implizit gings auch um warum C++ besser ist als C# und anderes, wie eben die Pyramide der Wichtigkeit in Building 41. Bei der Busfahrt war dann mein Sitznachbar Clemens Vasters, dem wir ja DasBlog.net zu verdanken haben.

Die BOF's schenke ich mir, ein SDK Review wartet noch auf mich. Aber das ist eine andere Geschichte.

Warnung des Gesundheitsministers: Darüber sollte man Gras wachsen lassen.

Diese Email erreicht Dich, geneigter Leser, aus dem 30 Grad warmen Los Angeles, wo heuer zum zweiten Mal in Folge eine Professional Developers Conference abgehalten wird. Heuer gibt es nicht nur ein Thema, sondern gleich drei ganz große: Longhorn (Lange Zähne), Yukon (.NETter Goldrausch) sowie Whidbey (Reif für die Insel).

Heinrich oder nicht, mir graut bereits davor wann ich in den nächsten Tagen mein Hotelzimmer zu Gesicht bekommen werde, BOF (Birds of a Feather, nein, nicht der allseits beliebte BOfH) Sessions sind bis zur Geisterstunde hin angesetzt - und das bei einer Konferenz, wo sie sich erdreisten doch glatt für halb neun Keynotes anzusetzen. Unchristlich, und das, obwohl die doch den General Gottes in Amt und Würden haben.

Heute war Anreisetag, was bedeutet, um fünf aus dem Bett und ab nach München, zum Direktflug in die Stadt der Engel. Wen man nicht so aller in einem Samstagsflieger ab München zu einer Microsoftkonferenz allen treffen kann: von Ralf Westphal über Thomas Fickert von MS alles was Rang und Namen hat (schließlich bin ja auch ich im Flieger). 12 Stunden Fünf-Buchstaben-Breitsitzen ist angesagt, auch wenn ich das nicht für angesagt halte, besonders wenn ich in das Land des Fast Foods fliege.

What goes around comes around - oder so ähnlich dachte ich mir bei der Immigration Control. Die Zeit die ich in Washington letztes Mal nicht gebraucht habe hole ich heute wieder auf. Wenn man drauf steht....

Die Tüchtigen haben das Glück (andere argumentieren mit dem proverbialen Dummen). Mein Hotel liegt in Little Tokyo, und einmal rund ums Eck ist ein japanischer Supermarkt. Raten anhand der Bildchen ist angesagt, weil meistens gibt's nicht mal einen englischen Kurztext. To-Fu! Da wird mal ein längerer Bummel fällig, das Maracuja-Orange Kracherl aus Hawaii war schon ganz gut, nächstes Mal traue ich mich über die esoterischern Varianten drüber. Was ist Kyonouta? Egal, gekauft, sah' lecker aus.

Der Internetzugang im Hotel ist gesalzen, preislich würde ich sagen war's Importsalz. Was soll's, bevor ich den Notebook durch die Gegend (read: zur Konferenz) schleife, beißen wir in die Zitrone und lassen uns den Tequila schmecken.

Morgen ist Tag 1, der Preconference Tag. Oft wird das auch als Precon geführt. Heißt das dann daß die Vortragenden bei Konferenzen Con-Artists sind? Nun ja, vorgetäuscht wird ja in allen Lebenslagen (Movie-xref: Harry und Sally), warum nicht auch hier?

Das ist aber schon weit in der Zukunft, vorher muß ich noch rausfinden, für welche Precon ich mich angemeldet habe (ja, Alzheimer ist was schlimmes). Ergo, vis-a-vis, etcetera p.p. liest man sich morgen wieder, von Deinem Freund vom anderem Ufer des Teiches.

Wenn Security Bulletins zum Viren- und Würmerschreiben verwendet werden, dann wird das Fenster zum Patchen eines Systems immer kleiner. Auch diesmal wieder passiert mit MS04-011.

ZDNN und andere haben sich des Problems angenommen, auch MS hat Infos zum Disablen von PCT (wenn man den Patch nicht einspielen will). Patch Tuesday läßt grüßen.

Und wir haben was interessantes im Eventlog unserer Dedi-Box gefunden (dieses Blog läuft zB auf der Box):

Fünf Stück haben wir bis dato, und wir sind's definitiv nicht die das Auslösen...

Der SUS ist eine feine Sache wenn man mehr als einen Windows-arbeitsplatz aktuell halten muss. Welcher User installiert schon freiwillig einen Patch? Falls er die Rechte dazu überhaupt hat, versteht sich. Welcher Administrator geht schon gerne von einem Arbeitsplatz zum Anderen um die Patches einzuspielen? Eben.

Der SUS nimmt einem die Mühsal ab, hat aber auch so seine 'Momente'. Gut daß die Jungs von SecurityFocus sich dieses Themas angenommen haben. In einer zweiteiligen Serie wird beschrieben was der SUS ist und wie man ihn betreibt. Natürlich ist das Deployment Whitepaper von MS Pflichtlektüre, aber die beiden Artikel ergänzen einige interessante Dinge. In Teil I wird die Installation ausführlich besprochen. Teil II beschäftigt sich mit dem Verhalten der Clients, Logging von Updateprozessen und Troubleshooting. Ein dritter Teil über ergänzende Tools ist in Arbeit. Ergo: wieder mal bei SecurityFocus vorbeischauen.

Im Attachment zu diesem Blogeintrag zeige ich wie ich mir ein .NET Golfturnier vorstelle, der eigentliche Tester und der Abschlag des Golfers sind hierbei für das einfachere Verständnis miteinander gemischt.

In der #develop Combine sind 3 Projekte enthalten:

* Tees: da drinnen sind die Interfaces definiert, dagegen linkt jede Aufgabe. Pro Aufgabe gibt es ein Interface das von ITee ableitet (für spätere Erweiterungen im Tester gedacht). Das aktuelle Turnier ist durch ITeeGroupTransform abgebildet.

* GroupTransformTeeOffSample: hier habe ich Peter's Schlag in den Bunker implementiert, in der Datei TeeOff.cs. Die Klasse *muß* immer Tee heißen sowie das Turnierinterface implementieren. Der Rest ist Sache des Golfers...

* GroupTransformTester: das ist unsere (Referee) Applikation. Im echten Leben wird das alles von der Kommandozeile aus gemacht: TeeOff.cs [oder wie auch immer die Einreichung des Golfers dann heißt], Interfaces.cs und Tester.cs werden mittels csc zu einer Assembly kompiliert, und dann vom Kommandozeilen-NUnit getestet. Der Einfachheit halber verwende ich heute aber das NUnitPad das im aktuellen #develop drinnen ist (http://svn.sharpwt.net/dev/). Damit wird es perfekt automatisierbar.

Das ist einmal die Basis - Reflection und dynamisches Laden einer Assembly habe ich mir mit dieser Lösung erspart. Kommentare?

Es ist Sonntag und ausnahmsweise bin ich im Büro aber nicht in Schnirchlaune. Die RBLs machen das Leben tatsächlich leichter. Nur noch ein bis zwei unerkannte Spams pro Liste und Tag ist ein sensationell angenehmes Gefühl beim Administrieren. Gepriesen sei der Erfinder der RBLs! Gelobt sei Markus für die Aktivierung!

So, und jetzt widme ich mich wieder angenehmen Dingen. Da wartet noch 'Downsize This!' von Michael Moore aufs Gelesenwerden.

Seit Mittwoch sind auf unserem Mailinglistenserver glengamoi.com drei RBLs aktiv: Spamhaus, DSBL List und ORDB. Diese Maßnahme ist leider notwendig, weil das Administrieren der Listen aufgrund des hohen Spamaufkommens immer zeitaufwendiger wurde (teilweise 20+ Spams / Liste / Tag obwohl wir SpamAssassin laufen haben).

Danke an Markus Oestreicher der dem BLfH und seinem Assistenten bei der Low-Level Administrierung des Mailservers helfend zur Hand geht.