Aktualisieren oder nicht aktualisieren?

Seit ich dort arbeite, wo ich jetzt arbeite, habe ich endlose Probleme mit meinem Chef und meinen Kollegen, Systeme zu aktualisieren.

Ich stimme natürlich voll und ganz zu, dass jedes Update (sei es Firmware, Betriebssystem oder Anwendung) nicht nachlässig angewendet werden sollte, sobald es herauskommt, aber ich bin auch der festen Überzeugung, dass es zumindest einen Grund geben sollte, wenn der Anbieter es veröffentlicht hat; und der häufigste Grund ist normalerweise das Beheben eines Fehlers ... den Sie vielleicht gerade nicht erleben, aber Sie könnten es bald erleben, wenn Sie nicht mithalten.

Dies gilt insbesondere für Sicherheitsupdates. Hätte jemand einfach ein Patch angewendet, das schon seit Monaten verfügbar war , wäre der berüchtigte SQL SlammerWurm harmlos gewesen.

Ich möchte Updates testen und auswerten, bevor ich sie bereitstelle. Ich bin jedoch nicht einverstanden mit dem Ansatz "Wenn es nicht kaputt ist, berühren Sie es nicht" für die Systemverwaltung, und es tut mir wirklich weh , wenn ich Windows 2003 SP1- oder ESX 3.5 Update 2-Produktionssysteme vorfinde. Die einzige Antwort, die ich bekommen kann, ist "Es funktioniert, wir wollen es nicht brechen".

Was denkst du darüber?
Was ist Ihre Politik?
Und wie lauten Ihre Unternehmensrichtlinien , wenn sie nicht Ihren eigenen entsprechen?

Was ist mit Firmware-Updates (BIOS, Speicher usw.)?
Was ist mit den wichtigsten Betriebssystemupdates (Service Packs)?
Was ist mit kleineren Betriebssystem-Updates?
Was ist mit Anwendungsaktualisierungen?

Mein Hauptinteresse gilt natürlich der Aktualisierung von Servern, da die Verwaltung von Client-Patches in der Regel einfacher ist und es bekannte Tools und Best Practices gibt, um damit umzugehen.

Sicherheit und Flexibilität sollten bei der Festlegung Ihrer Patch-Strategie im Verhältnis zu Stabilität und Verfügbarkeit stehen. Ihr Push-Back-Ansatz sollte in etwa so lauten: "Okay, aber Sie müssen wissen, dass wir jetzt das Risiko haben, dass diese Server kompromittiert werden und unsere Daten gestohlen werden oder die Server funktionsunfähig werden." "Okay, aber Sie müssen wissen, dass sich dies auf die Unterstützung unserer Lieferanten für dieses System und auf die zukünftige Fähigkeit auswirkt, dieses System mit neuen Systemen interagieren zu lassen."

Gegen die längerfristige Mentalität "Nicht pleite, nicht auf den neuesten Stand bringen" sollten Sie klarstellen, dass:

• Die Migration eines nicht gepatchten Legacy-Systems, das weit hinterher auf ein modernes System zurückgefallen ist, ist ein sehr viel teurerer und schmerzhafter Prozess als die schrittweise Aktualisierung dieses Systems im Laufe der Zeit.
• Erfahrene und qualifizierte IT-Mitarbeiter suchen aktiv nach neuen Technologien und Unternehmen, die ihre IT-Systeme ständig weiterentwickeln. Umsatzkosten, Chancenverlust und Wissensverlust sind sehr real, wenn ein Unternehmen sein hochengagiertes, kreatives IT-Personal verliert, weil seine Systeme stagnieren und die Arbeit mit ihnen unattraktiv wird. Dann bleiben dir nur noch die "Lifers".

Ich hoffe, dies gibt Ihnen eine Hebelwirkung und viel Glück, wenn Sie die oben genannten Personen davon überzeugen, die Dinge ernst zu nehmen. Erstellen Sie wie immer einen Papierpfad, der nachweist, dass Sie das Management der Risiken, die sie eingehen, gebilligt haben.

Dies ist eine endlose Debatte und vernünftige Leute werden anderer Meinung sein. Ich bin damit einverstanden, dass Benutzer-PCs aktualisiert werden müssen. Wenn Sie über Server sprechen, ziehen Sie eine separate Richtlinie für Server in Betracht, die mit dem Internet in Verbindung stehen, und für Server, die dies nicht tun. Ich kenne Ihre Server nicht, aber in meiner Umgebung haben vielleicht 10% unserer Server Ports zum Internet. Diese mit dem Internet verbundenen Server haben höchste Priorität, wenn es um Sicherheitspatches geht. Server, die nicht mit dem Internet verbunden sind, haben eine niedrigere Priorität.

Sicherheitsgurus werden argumentieren, dass dieser Ansatz problematisch ist, denn wenn ein Hacker jemals in Ihr Netzwerk eindringt, lassen die ungepatchten Server Exploits wie ein Lauffeuer durch das Netzwerk laufen, und das ist ein vernünftiges Argument. Wenn Sie jedoch die mit dem Internet verbundenen Server dicht verschlossen halten und Ihre Firewall so konfigurieren, dass nur die Ports geöffnet werden, die unbedingt benötigt werden, funktioniert dieser Ansatz meiner Meinung nach und kann häufig verwendet werden, um Manager zu beruhigen, die Angst vor Patches haben.

Wenn Sie sich nur auf Windows Update für Patches verlassen (Sie haben nicht erwähnt, welches Betriebssystem Sie verwenden, aber ich bin hauptsächlich ein Windows-Benutzer, dies ist meine Referenz), schauen Sie sich die aktuellen Hotfixes an, die jeden Monat veröffentlicht werden . Ich habe einige Server, auf denen mir mitgeteilt wird, dass ich mehr als 50 Patches benötige, wenn ich jedoch durch diese Patches scrolle und nach ihnen recherchiere, stelle ich fest, dass 90% der Elemente, die Patches sind, nicht sicher sind verwandt, aber Fehler behoben, die sich auf Dienste auswirken, die ich auf dieser Box nicht ausführe. In größeren Umgebungen, in denen Sie ein Patch-Management-System verwenden, wird häufig alles überprüft, was veröffentlicht wird, und es wird nur das absolut Notwendige überprüft, was normalerweise etwa 10% der von Microsoft veröffentlichten Versionen ausmacht.

Mein Argument ist, dass diese Debatte über "Patchen oder Nicht-Patchen" darauf hindeutet, dass man die eine oder andere Seite haben muss, wenn dies wirklich eine riesige Grauzone ist.

Ich kann nur über Server sprechen, aber wir haben ein "Vierteljährliches Update" -Regime. An vier festgelegten und angekündigten Terminen pro Jahr sammeln wir Update-Anfragen, wenden sie auf unsere Referenzumgebung an, führen sie einen Monat lang aus, um die Stabilität zu testen und bei guter Verfügbarkeit einzuführen während der folgenden n Tage / Wochen. Darüber hinaus wenden wir eine Notfallaktualisierungsrichtlinie an, mit der wir dringende Aktualisierungen innerhalb von ein oder zwei Tagen bereitstellen, testen und einführen können, wenn dies der Fall ist - obwohl dies in der letzten Zeit nur zwei bis drei Mal verwendet wurde 4 Jahre oder so.

Dieser doppelte Ansatz stellt sicher, dass unsere Server angemessen, aber nicht dumm auf dem neuesten Stand sind, dass Updates von Fachleuten (z. B. Firmware, Treiber, Betriebssysteme, App-Mitarbeiter) und nicht von Anbietern durchgeführt werden erforderlich. Natürlich können wir uns glücklich schätzen, dass es im gesamten Unternehmen nur sehr wenige verschiedene Hardwaremodelle gibt (<10 Servervarianten) und große und aktuelle Referenzplattformen, mit denen getestet werden kann.

Ich habe bei verschiedenen Firmen gearbeitet, die über das gesamte Kontinuum hinweg Richtlinien hatten, von "Patches so schnell wie möglich anwenden" bis "nichts wird ohne zwei Wochen angewendet" des Testens. " Beide Extreme (und Punkte dazwischen) sind in Ordnung , solange das Unternehmen die Kompromisse versteht .

Das ist der wichtige Punkt: Auf diese Frage gibt es keine richtige oder falsche Antwort. Es geht darum, das Gleichgewicht zwischen Stabilität und Sicherheit oder den Merkmalen in Ihrer speziellen Umgebung zu finden . Wenn Ihre Managementkette versteht, dass das Verzögern von Patches zum Testen dazu führen kann, dass sie anfälliger für Malware werden, ist das in Ordnung. Ebenso ist es in Ordnung, Patches anzuwenden, sobald sie verfügbar sind. Probleme bestehen, wenn diese Kompromisse nicht verstanden werden.

Meiner Meinung nach liegt der beste Kurs ziemlich genau in der Mitte Ihrer beiden Extreme. Beispiel: Warum möchten Sie unbedingt ein ESX-Upgrade durchführen, wenn es keinen nachweisbaren Grund dafür gibt, wodurch möglicherweise funktionierende Systeme beschädigt werden? Sicher, es könnte anfällig sein, wenn es öffentlich zugänglich ist, aber es sollte keine Möglichkeit geben, von außerhalb Ihres Netzwerks direkt darauf zuzugreifen. Wo liegt also das Risiko? Gibt es irgendwelche Fehler oder fehlende Funktionen, die Ihnen tatsächlich einen Grund für ein Upgrade bieten ?

Ein Upgrade für die willen, das ist wirklich , was Sie vorschlagen ( „aber Sie könnten bald erleben“), auch wenn Sie behaupten , es nicht sind , ist eine absurde und gefährliche Straße zu reisen. Sofern Sie nicht einen tatsächlichen Grund vorlegen können, der nicht theoretisch möglich ist, werden Sie andere niemals davon überzeugen, wenn sie gegen das Upgrade sind.

Wenn Sie der Meinung sind, dass es einen echten Grund gibt, ein Upgrade durchzuführen, sollten Sie sowohl die Vor- als auch die Nachteile dokumentieren, und es gibt immer Nachteile, und diese denjenigen weiter oben im Baum präsentieren. Ordnungsgemäß dokumentiert sollte es wenig Widerstand geben. Wenn Sie kein überzeugendes Argument liefern können, dann lehnen Sie sich zurück und denken Sie ernsthaft darüber nach.

Bearbeiten

Ich dachte, ich sollte klarstellen, dass ich einen großen Unterschied zwischen dem Anwenden der erforderlichen Sicherheits- und Stabilitäts-Patches und dem Durchführen von Software- oder Betriebssystem-Upgrades sehe. Das implementiere ich erst nach ordentlichem Testen. Letzteres mache ich nur, wenn es einen echten Nutzen gibt.

Sicherheitsupdates werden an einen Staging-Server gesendet und anschließend nach dem Nachweis, dass sie nichts in die Luft jagen, produziert. Es sei denn, es gibt einen echten Piep- Notfall (den ich ein paar Mal getroffen habe :(), in diesem Fall PRODUCTION NOW. Andere Updates nur nach Bedarf, nachdem sie einige Zeit in der Inszenierung verbracht haben.

Ich denke, das erste, was zu tun ist, ist, Updates nach Schweregrad zu "klassifizieren" und einen Patch-Zeitplan basierend auf der Klassifizierung zu haben. Es besteht kein Zweifel, dass Zero-Day-Sicherheitsupdates sofort angewendet werden müssen. Während Service Pack nach sorgfältigen Bewertungen warten kann.