nnattalli - stock.adobe.com
Tipps für ein erfolgreiches Patch-Management
Ein sauberes Patch-Management ist eine der wichtigsten Maßnahmen, um die Angriffsfläche eines Unternehmens verringern. Folgende Tipps sorgen für reibungslose Abläufe.
Beim Patch-Management müssen Unternehmen den richtigen Mittelweg zwischen Zeit für die Vorbereitung und dem zeitnahen Einspielen der Updates nach Veröffentlichung finden. Ohne die richtigen Abläufe und Tools kann es schnell zu Problemen und Aussetzern beim Ausrollen von Updates kommen. Und wie die Vergangenheit immer wieder eindrucksvoll bewiesen hat, kann ein versäumtes Einspielen von Patches zu großen Problemen in Sachen Sicherheit oder Stabilität der Systeme, Anwendungen oder Dienste führen.
Heutzutage gibt es mehr Endpunkte als je zuvor, die im Auge behalten werden müssen. Dies reicht von Anwendungen und Servern bis hin zu Infrastruktur und IoT-Geräten. Datenverletzungen können da zum Diebstahl oder Verlust sensibler Informationen führen. Wenn diese Systeme ungeschützt bleiben, steigt zudem die Wahrscheinlichkeit von Störungen erheblich, und das Unternehmen ist möglicherweise nicht in der Lage, seine Kunden ordnungsgemäß zu bedienen.
Sich einfach nur auf netzwerk- und Perimeter basierte Sicherheitsmaßnahmen wie Firewalls, Intrusion-Prevention-Systeme (IPS) und andere Security-Tools zu verlassen, reicht nicht mehr aus. Zero-Day-Exploits tauchen regelmäßig auf, und die Fähigkeit von Perimeter-basierten Tools, vor neu entdeckten Sicherheitslücken zu schützen, nimmt von Tag zu Tag ab. Daher werden diese Arten von Schwachstellen am besten direkt durch das Patchen von Software und Firmware angegangen.
Bekanntermaßen steht Patch-Management nicht ganz oben auf der Beliebtheitsskale der Admin-Tätigkeiten. Auch wenn es auf den ersten Blick nicht zu den interessantesten Aufgaben gehört, ist ein sauber ausgeführtes Patch-Management für Unternehmen von großer Bedeutung und sehr wertvoll. Daher ist es durchaus sinnvoll, Zeit und Mühe auf diese Herausforderung zu verwenden.
Hier folgen zehn Tipps, um sicherzustellen, dass der Patch-Management-Prozess möglichst reibungslos und mit wenig Risiken abläuft.
Wissen, was mit Patches versorgt werden muss
Es ist von entscheidender Bedeutung sich bewusst zu sein, welche Ziele mit Patches versorgt werden müssen. Die Server, Endgeräte, Anwendungen und Dienste, die das IT-Team mit Updates versorgt werden müssen, befinden sich in einem ständigen Wandel. So können sich die betroffenen Ziele im eigenen Rechenzentrum, bei einem Cloud-Anbieter oder schlicht im Internet befinden. Die für das Patch-Management Verantwortlichen müssen sich über diesbezügliche Änderungen im Klaren sein. Natürlich kann man versuchen, derlei Informationen manuell zu pflegen. Sinnvoller ist der Einsatz von Tools, die sich um die Inventarisierung und Überwachung von Geräten, Anwendungen und Netzwerk kümmern. Entsprechende Scan-Tools und Patch-Management-Lösungen erkennen auch Geräte, die keine kritischen Updates erhalten. Damit wird sichergestellt, dass kein System durchs Raster fällt.
Den Anbieter einbinden
In vielen Fällen sind Fragen zu einer neuen Funktion oder einem Sicherheitspatch in der vom Hersteller veröffentlichten Dokumentation nicht ohne weiteres zu finden. Wenn Fragen auftauchen, ist es immer besser, auf Nummer sicher zu gehen und den Hersteller zu kontaktieren, bevor man Änderungen in einer produktiven Umgebung vornimmt. Dies kann zwar die Ausführung eines Patches verzögern, ist aber wahrscheinlich besser, als Patches anzuwenden, die Ihren Betrieb unnötig beeinträchtigen oder nicht die gewünschten Ergebnisse erzielen.
Einteilung der Systeme in Gruppen auf der Grundlage ihrer Kritikalität
Nicht alle Anwendungen, Systeme und Plattformen sind aus Sicht des Patch-Managements gleich. Kritische Netzwerk- und Serverinfrastrukturen können beispielsweise weitaus mehr Schaden anrichten, wenn eine Sicherheitslücke ausgenutzt wird, als nicht unternehmenskritische Anwendungen und Dienste. Aus diesem Grund sollten Unternehmen ihre Systeme sorgfältig nach ihrer Kritikalität bewerten und kategorisieren und die kritischsten Systeme vor allen anderen patchen.
Prozeduren fürs Standard- und Notfall-Patchen einrichten
Eine Strategie zum Ausrollen von Updates in Unternehmen sollte zwei Zustände umfassen: Standard und Notfall. Das Standardverfahren beschreibt, was bei normalen, regelmäßig geplanten Patches zu tun ist. Dazu gehören bestimmte Kalenderdaten und Wartungsfenster, in denen die verschiedenen Komponenten ihre Updates erhalten. So ein Zeitplan ist sehr nützlich, da Administratoren dann genau wissen, wann sie die Patches ausrollen können, ohne in Verzug zu geraten. Die Terminplanung ist zudem wichtig, da auch Abteilungsleiter und Endanwender rechtzeitig informiert werden können, falls es bei irgendeiner Komponente durch das Wartungsfenster zu Beeinträchtigungen kommt.
Das Notfallverfahren greift dann, wenn ein Patch außerhalb des Standardzeitfensters installiert werden muss. Solche Notfälle sollten immer eine Ausnahme bleiben. Es sollte sehr sorgfältig ermittelt werden, welche Schwellenwerte eingehalten werden müssen, damit so ein Notfalleinsatz genehmigt werden kann. Notfallprozesse müssen notwendigerweise auch alle Kommunikationsschritte und -kanäle umfassen. Es ist wichtig, alle betroffenen Abteilungen, Anwender und auch gegebenenfalls Kunden und Lieferanten ordnungsgemäß zu informieren.
Die Veröffentlichungsstrategie der Patch-Anbieter kennen
Die Anzahl und Art der Betriebssysteme, Anwendungen, Dienste und Geräte, die mit Updates versehen werden müssen, kann sich je nach Unternehmen nahezu beliebig komplex gestalten. Gleiches gilt für die Patch-Abläufe der Hersteller. Der wohl populärste Patch-Plan ist jener von Microsoft, der so genannte Patch Tuesday, früher auch nur Patchday genannt. Andere Anbieter haben ihre eigenen festen Regularien für Softwareupdates. Admins müssen wissen, wann welche Patches freigegeben werden und wie Anbieter über Notfallupdates informieren und diese freigeben.
Eine Testumgebung für Patches einrichten
Wenn ein Patch von einem Anbieter freigegeben wird, kann man diesen nicht einfach einspielen und darauf vertrauen, dass einfach alles so ohne Nebenwirkungen funktionieren wird. Es kommt eher regelmäßig vor, dass Patches Auswirkungen auf Funktionen oder Prozesse haben. Und diese wiederum können Abläufe im Unternehmen betreffen. Der Zweck einer Testumgebung ist es vorab zu erkennen, welche Auswirkungen ein Patch auf eine Umgebung hat, die genau der eigenen Produktionsumgebung entspricht. Eine genaue Abbildung der Produktionsumgebung zu pflegen ist jedoch leichter gesagt als getan. Die Testumgebung muss direkt mit der Produktion aktualisiert werden. Alle Änderungen an der Architektur in der Produktion, die Software-Updates betreffen könnten, müssen direkt in der Testumgebung ebenso abgebildet werden.
Dankenswerterweise ist es durch die Möglichkeiten der Virtualisierung viel einfacher geworden, Testumgebungen anzulegen, die der Produktionsumgebung sehr nahekommen. Der Faktor Zeit spielt eine entscheidende Rolle. Admins benötigen ausreichend Zeit, um neu veröffentlichte Patches zu testen, bevor diese in der Produktivumgebung ausgerollt werden. Der gesamte Ablauf kann ins Wanken geraten, wenn ein Patch nach dem Ausrollen zurückgezogen werden muss, weil es zu Problemen kommt. Es wichtig genug Zeit einzuplanen, um Updates auf unerwünschte Nebenwirkungen zu testen, bevor diese in der Produktivumgebung landen.
Die richtigen Tools für die Automatisierung der Patch-Verwaltung verwenden
Die manuelle Verwaltung der Installation von Software- und Firmware-Patches für eine Vielzahl von Unternehmensservern, -anwendungen und -Clouds kann ohne die richtigen Tools und Prozesse schnell zur Herausforderung werden. Aufgrund der schieren Anzahl verschiedener Geräte und Software, die mit dem neuesten Code auf dem neuesten Stand gehalten werden müssen, werden häufig automatisierte Patch-Management-Tools eingesetzt. Diese Tools, die immer ausgefeilter und nützlicher werden, können sich wiederholende, eintönige Aufgaben automatisieren, um die Zeit zwischen der Veröffentlichung eines Patches und seiner Implementierung zu verkürzen.
Den Patch-Prozess und die Ergebnisse auf den Prüfstand stellen
Wenn ein Update erfolgreich installiert wurde, ist der richtige Zeitpunkt den gesamten Patch-Prozess nochmal auf den Prüfstand zu stellen. Eventuell lassen sich Verbesserungen an den Abläufen vornehmen. Alles sollten immer wieder hinterfragt und weiterentwickelt werden, um eine bessere Effizienz zu erreichen.
Die gängigste Methode, die Ergebnisse der Patch-Verwaltung im Auge zu behalten, ist die Verwendung der Berichtsfunktion des Patch-Verwaltungstools, die die Ergebnisse jeder Aktualisierung in einem automatisch erstellten Bericht aufzeichnet. Die historischen Berichte können überprüft werden, um festzustellen, ob die in der Vergangenheit gewonnenen Erkenntnisse in die Patch-Management-Richtlinie aufgenommen werden sollten. Die Details in einem Bericht können Folgendes umfassen:
- eine Bestandsaufnahme der erkannten Geräte und Anwendungen;
- Anzahl der installierten Patches;
- Anzahl der fehlenden Patches;
- Namen der Systeme, die weiterhin anfällig sind, und in welchem Umfang;
- Patches, die genehmigt und geplant wurden, und
- Patches, die auf ihre Freigabe warten.
Anhand dieser Informationen können IT-Teams die Leistung bestehender Verfahren verfolgen und Anpassungen vornehmen, um Engpässe zu beseitigen oder die Durchlaufzeiten zu verbessern.
Rollback- und Disaster-Recovery-Verfahren einführen
Ein implementierter Patch kann in einer produktiven IT-Umgebung unbeabsichtigte Folgen haben, selbst wenn die richtigen Patch-Testverfahren befolgt werden. Die Erstellung und Befolgung von Rollback- und Disaster-Recovery-Verfahrensschritten ist ein absolutes Muss. Auf diese Weise können Patch-Installationsteams schnell ein Rollback durchführen oder Wiederherstellungs-Workarounds mit einem geringeren Risiko für menschliche Fehler implementieren.
Mit allen IT-Teams zusammenarbeiten
Die Auswirkungen eines Patches auf Infrastrukturkomponenten können mehrere IT-Teams betreffen. Die Kommunikation ist von entscheidender Bedeutung, da diese externen Teams Erkenntnisse liefern können, die andernfalls unbemerkt bleiben und zu einem Patch führen könnten, der andere Teile der Infrastruktur betrifft. Die Einrichtung regelmäßiger Change-Management-Sitzungen, bei denen Vertreter jedes Teams zusammentreffen und Patch-Pläne, Zeitpläne und Details besprechen, ist eine gute Möglichkeit, die Lücke in der Zusammenarbeit zu schließen.
Schnelligkeit ist wichtiger denn je
Angesichts der zahlreichen Bedrohungen, die es heutzutage gibt, und der zunehmenden Abhängigkeit des durchschnittlichen Unternehmens von der Technologie für die Aufrechterhaltung des Geschäftsbetriebs wächst das Risiko. Es ist eine immer größere Herausforderung, alle Aspekte von Aktualisierungen einzuordnen, zu erkennen und zu überwachen. Daher sollte die Implementierung von Patch-Management-Strategien, die dazu beitragen, dass die Systeme jetzt und in Zukunft sicher und optimal funktionieren, mit großer Sorgfalt und Überlegung erfolgen.
