Proceso de administración de revisiones
En esta página
Descripción del módulo
En este módulo se proporciona una introducción a la administración de revisiones y se explica el motivo por el que es esencial la administración de revisiones para los sistemas empresariales. En este módulo se introducirá la terminología de seguridad, así como las descripciones de las vulnerabilidades comunes y los tipos de amenazas. También se describen los procesos utilizados en Microsoft® para desarrollar y liberar las actualizaciones de software y se muestra el modo en que estos procesos se relacionan con los pasos que se deben seguir para la administración proactiva de revisiones de seguridad. Finalmente, se analiza el enfoque de cuatro fases del proceso de administración de revisiones que recomienda Microsoft, que se explica más detalladamente en los siguientes módulos.
El objetivo de este módulo es indicar los temas clave para la administración de revisiones en un entorno de sistema operativo basado en Microsoft Windows® y describir las herramientas principales, tecnologías y procesos que recomienda Microsoft para admitir esta tarea.
Objetivos
Utilice este módulo para:
| • | Revisar la administración segura de TI y el costo de contar una seguridad deficiente. |
| • | Comprender el término "administración de revisiones" y la terminología clave de seguridad. |
| • | Analizar las vulnerabilidades clave y el modo en que éstas se relacionan con las clasificaciones de gravedad de Microsoft, categorías de agentes de amenaza y los tipos de amenazas que existen actualmente. |
| • | Observar la manera en que Microsoft corrige el software después de haberlo publicado y la terminología de Microsoft para las actualizaciones de software. |
| • | Consultar ejemplos de la importancia de la administración proactiva de revisiones de seguridad. |
| • | Determinar cuáles son las mejores herramientas y tecnologías de administración de revisiones para su entorno. |
| • | Describir los elementos básicos del enfoque de cuatro fases para la administración de revisiones. |
Marco de aplicación
Este módulo se aplica a todos los productos y tecnologías de Microsoft.
Uso del módulo
En este módulo se proporciona una introducción sobre la administración de revisiones de seguridad, se analizan los términos y conceptos clave, herramientas y tecnologías, así como una descripción del proceso de administración de revisiones de cuatro frases recomendado. Se proporcionan ejemplos de ataques históricos, además de las maneras en que se hubieran evitado si se hubiera llevado a cabo la administración proactiva de revisiones de seguridad.
Para sacar el máximo partido de este módulo:
| • | Consulte "MOF Executive Overview", en http://www.microsoft.com/technet/itsolutions/techguide/mof/mofpm.mspx. En estas notas de producto se describe el origen de Microsoft Operations Framework (MOF), se analizan los objetivos del diseño y se resume su modelo de proceso, modelo de equipo y modelo de riesgos. Asimismo, se incluyen vínculos a otras notas del producto de MOF, que tratan el Modelo de proceso de MOF, las funciones de administración de servicio de MOF (SMF) y el Modelo de equipo de MOF; también se proporcionan instrucciones para las operaciones eficaces de TI. Tres de las SMF, La Administración del cambio, Administración de configuración y Administración de versión son de especial importancia para la administración de revisiones. | ||||||||
| • | Consulte las notas del producto "Standardizing the Patch Experience", en http://www.microsoft.com/technet/security/topics/patch/stdpatex.mspx. En estas notas se detallan las mejoras que realizan los grupos de productos de Microsoft para simplificar y estandarizar la tarea de mantener los sistemas completamente revisados. Las notas de producto también sirven como una guía para ayudar a planear y aprovechar las mejoras en el proceso de administración de revisiones cuando estén disponibles. | ||||||||
| • | Consulte las notas del producto "Deploying Microsoft Software Update Services"; se pueden descargar del sitio Software Update Services (SUS), en http://www.microsoft.com/windowsserversystem/sus/default.mspx. | ||||||||
| • | Lea la introducción de "Microsoft Baseline Security Analyzer", en http://www.microsoft.com/mbsa. | ||||||||
| • | Consulte "SMS 2003 Concepts, Planning and Deployment Guide", en http://www.microsoft.com/smserver/techinfo/productdoc/default.asp | ||||||||
| • | Consulte los cuatro módulos siguientes; en ellos se describe detalladamente el proceso de administración de versión de cuatro fases:
| ||||||||
| • | Utilice los artículos de instrucciones que acompañan a la guía. Se incluyen:
|
Descripción general de la administración de revisiones
La administración de revisiones es el proceso de control de la implementación y mantenimiento de las versiones de software interinas en los entornos de producción. Ayuda a mantener la eficacia operativa, solucionar las vulnerabilidades de seguridad y mantener la estabilidad de su entorno de producción.
Si su organización no puede determinar ni mantener un nivel conocido de confianza en su software de aplicación y sistemas operativos, puede presentar varias vulnerabilidades de seguridad; si se abusa de ellas, se puede producir la pérdida de beneficios y propiedad intelectual. Para reducir esta amenaza se debe disponer de sistemas configurados correctamente, utilizar el software más reciente e instalar las actualizaciones recomendadas.
Se deben tener en cuenta las áreas siguientes al determinar el potencial impacto financiero de una mala administración de las revisiones:
| • | Tiempo de inactividad: |
| • | Tiempo de corrección: |
| • | Dudosa integridad de los datos: |
| • | Pérdida de credibilidad: |
| • | Relaciones públicas negativas: |
| • | Protección legal: |
| • | Robo de la propiedad intelectual: |
El primer paso clave para contar con una seguridad adecuada de la información, sin que importen las restricciones de acceso físico a un equipo, es la valoración y mantenimiento de la integridad del software en un entorno de red por medio de un programa de administración de revisiones bien definido.
Terminología de seguridad
En esta sección se introduce la terminología que se debe conocer al participar en un proceso de administración de revisiones de seguridad. En la Tabla 1 se describen los términos de seguridad clave utilizados en estos módulos.
Tabla 1: Términos importantes de seguridad
| Término | Definición |
Vulnerabilidad | Software, hardware, debilidad de procedimiento, característica o configuración que puede ser un punto débil aprovechado durante un ataque. También recibe el nombre de área de riesgo. |
Ataque | Agente de amenaza que intenta aprovechar la vulnerabilidad para propósitos no deseados. |
Contramedida | Configuraciones de software, hardware o procedimientos que reducen el riesgo en el entorno informático. También se denomina salvaguarda o mitigación. |
Amenaza | Fuente de peligro. |
Agente de amenaza | Persona o proceso que aprovecha una vulnerabilidad para atacar un sistema de forma que infringe su directiva de seguridad. |
Vulnerabilidades
Hay varias maneras con las que el software puede ser vulnerable a un ataque. En la tabla 2 se enumeran varias vulnerabilidades comunes del software.
Tabla 2: Vulnerabilidades de software
| Término | Definición |
Desbordamiento de búfer | Búfer no comprobado en un programa que puede sobrescribir su código con nuevos datos. Si se sobrescribe el código del programa con un código ejecutable nuevo, cambiará el funcionamiento del programa según lo previsto por el atacante. |
Aumento de privilegios | Permite a los usuarios o atacantes obtener mayores privilegios en determinadas circunstancias. |
Falla de validación | Permite que los datos mal formados tengan consecuencias no planeadas. |
Clasificaciones de gravedad de la vulnerabilidad de MSRC
Microsoft Security Response Center (MSRC) utiliza las clasificaciones de gravedad como ayuda para determinar la urgencia de las vulnerabilidades y actualizaciones de software correspondientes. En la tabla 3 se incluyen las clasificaciones que MSRC utiliza para clasificar la gravedad de una vulnerabilidad.
Tabla 3: Clasificaciones de la gravedad de la vulnerabilidad
| Clasificación | Definición |
Crítica | Vulnerabilidad que puede permitir la propagación de un gusano de Internet sin la acción del usuario. |
Importante | Vulnerabilidad que puede poner en peligro la confidencialidad, integridad o disponibilidad de los datos de los usuarios, o bien, la integridad o disponibilidad de los recursos de procesamiento. |
Moderada | El abuso podría reducirse en gran medida mediante factores como una configuración predeterminada, auditoría o dificultad de abuso. |
Baja | Vulnerabilidad muy difícil de aprovechar o cuyo impacto es mínimo. |
Para obtener más información sobre las clasificaciones de severidad de la vulnerabilidad de MSRC, consulte Microsoft Security Response Center Security Bulletin Severity Rating System: http://www.microsoft.com/technet/security/bulletin/rating.mspx.
Categorías de amenazas
Microsoft desarrolló el modelo STRIDE, incluido en la tabla 4, para clasificar las amenazas de software. Estas categorías se utilizan con frecuencia en los boletines de seguridad de Microsoft para describir la naturaleza de una vulnerabilidad de seguridad.
Tabla 4: Modelo STRIDE de las categorías de amenazas
| Término | Definición |
Suplantación de identidad | Obtener acceso ilegalmente y utilizar la información de autenticación de otra persona, como el nombre o contraseña de usuario. |
Alteración de datos | Modificación malintencionada de los datos. |
Rechazo | Se asocia con los usuarios que niegan haber realizado una acción, aunque no se puede probar lo contrario. (No rechazo significa la capacidad de un sistema para responder a las amenazas de rechazo; se incluyen técnicas como la firma de recepción para que la recepción firmada se pueda utilizar como prueba). |
Revelación de información | Exposición de la información a personas que no deben tener acceso a ella; por ejemplo, acceso a archivos sin los derechos correspondientes. |
Denegación del servicio | Intento explícito para impedir que los usuarios legítimos utilicen un servicio o sistema. |
Aumento de privilegios | Se produce cuando un usuario sin privilegios obtiene acceso a ellos. Un ejemplo de ello puede ser un usuario que ingenia una forma de agregarse al grupo de administradores. |
Nota: Para obtener más información sobre el modelo STRIDE y el modo en que Microsoft forma a los desarrolladores para crear códigos de seguridad, consulte Howard, Michael y David LeBlanc, Writing Secure Code, Second Edition, Redmond, WA: Microsoft Press, 2002. (http://www.microsoft.com/mspress/books/5957.asp).
Agentes de amenaza
Las amenazas malintencionadas son ataques desde dentro o fuera de la red con la intención de dañar o afectar a una organización. Por lo general, las amenazas no malintencionadas proceden de empleados sin la debida capacitación, conscientes de las vulnerabilidades y amenazas. En la tabla 5 se describen varios agentes de amenaza malintencionados.
Tabla 5: Agentes de amenaza
| Término | Definición |
Virus | Programa intruso que infecta los archivos informáticos al insertar copias de códigos de autorreplicación y elimina archivos con información importante para ocasionar daños a los datos en el equipo o al equipo en sí. El virus se adjunta a un programa host. |
Gusano | Programa de autorreplicación, malintencionado como el virus, que se puede propagar de equipo a equipo sin infectar antes los archivos. |
Troyanos | Software o correo electrónico que parece ser útil y benigno, pero en realidad actúa de forma destructiva o proporciona acceso a un atacante. |
Correo bomba | Correo electrónico enviado a un destinatario confiado. Cuando el destinatario abre el correo electrónico o ejecuta el programa, el correo bomba actúa de forma malintencionada en su equipo. |
Atacante | Persona u organización que lleva a cabo un ataque. |
Nota: a diferencia de las amenazas automatizadas, como los virus, creados para aprovechar las vulnerabilidades específicas, un atacante cuyo objetivo es su organización no tiene tales limitaciones. Intentará poner en peligro el entorno de cualquier forma.
Los ataques dirigidos se pueden ejecutar de forma local o remota y pueden incluir una búsqueda exhaustiva de una de varias vulnerabilidades posibles, entre las que se incluyen vulnerabilidades del software, contraseñas inseguras, configuraciones de seguridad débiles y vulnerabilidades de capacitación o directivas de seguridad.
Correcciones de Microsoft para el software tras su liberación
Microsoft se compromete a proteger sus clientes de las vulnerabilidades de seguridad. Para ello proporciona versiones de actualización de software periódicamente. Para obtener más información, consulte las notas del producto "Trustworthy Computing", en http://www.microsoft.com/mscorp/innovation/twc/twc_whitepaper.asp.
Todos los grupos de productos de Microsoft cuentan con un equipo de ingeniería de apoyo, que desarrolla las actualizaciones de software para los problemas localizados cuando el producto ya se ha lanzado.
Una vez localizada una vulnerabilidad de seguridad, MSRC y los grupos de productos correspondientes evalúan y comprueban el problema. A continuación, el equipo de ingeniería de apoyo del grupo de productos crea y prueba una revisión de seguridad para solucionar el problema, mientras MSRC trabaja con quien detectó la vulnerabilidad para coordinar la publicación de información pública por medio de un boletín de seguridad que incluye los detalles de la revisión de seguridad.
Posteriormente Microsoft distribuye la actualización de software a través de Microsoft Download Center y otros servicios, entre los que se incluyen:
| • | Microsoft Windows Update |
| • | Microsoft Office Update |
| • | Microsoft Software Update Services (SUS) |
| • | Microsoft Systems Management Server (SMS) 2.0 con SUS Feature Pack |
| • | Microsoft Systems Management Server (SMS) 2003 |
Una vez que aparece la actualización de software, MSRC publica el boletín de seguridad correspondiente.
Nota: las revisiones de seguridad se desarrollan para varias versiones del sistema operativo y aplicaciones. Para conocer los niveles de compatibilidad con los que puede contar para las diferentes versiones de software, consulte las directivas del ciclo de vida de soporte del producto Microsoft en: http://support.microsoft.com/default.aspx?scid=fh;[LN];lifecycle.
Por lo general, las revisiones de seguridad están disponibles para los productos con soporte, no sólo para el Service Pack actual, sino también para el anterior. Sin embargo, no siempre es así, por lo que para asegurarse debe revisar las directivas del ciclo de vida de soporte de su producto.
Terminología de la actualización de software
En la tabla 6 se enumeran los términos estándar actuales de Microsoft para las actualizaciones de software, que entraron en vigor a partir del 30 de junio de 2003. Observe que Microsoft ya no utiliza el término revisión para describir una actualización de software, excepto como parte del término revisión de seguridad o cuando se describe el proceso de administración de revisiones (que es bien conocido en la industria de software).
Tabla 6: Terminología de Microsoft para actualizaciones de software
| Término | Definición |
Revisión de seguridad | Corrección muy extendida para un producto específico, dirigida a una vulnerabilidad de seguridad. Con frecuencia se considera que una revisión de seguridad tiene una gravedad, que en realidad hace referencia a la clasificación de gravedad de MSRC de la vulnerabilidad a la que va dirigida la revisión de seguridad. |
Actualización crítica | Corrección ampliamente extendida para un problema específico, dirigida a un error crítico relacionado con la falta de seguridad. |
Actualización | Corrección muy extendida para un problema específico, dirigida a un error que no es crítico pero que está relacionado con la falta de seguridad. |
Reparación | Paquete simple que incluye uno o varios archivos utilizados para solucionar un problema de un producto. Las reparaciones tratan situaciones específicas del cliente; sólo están disponibles a través de una relación de asistencia con Microsoft y puede que no se distribuyan fuera de la organización del cliente sin la autorización legal por escrito de Microsoft. Anteriormente se utilizaban los términos QFE (actualización de ingeniería de corrección rápida), revisión y actualización como sinónimos de reparación. |
Conjunto de actualizaciones | Conjunto de revisiones de seguridad, actualizaciones críticas, actualizaciones y reparaciones que se publican como una propuesta acumulativa o dirigida a un componente del producto como, por ejemplo, Microsoft Internet Information Server (IIS) o Microsoft Internet Explorer. Permite la fácil implementación de varias actualizaciones de software. |
Service Pack | Conjunto acumulado de reparaciones, revisiones de seguridad, actualizaciones críticas y actualizaciones desde la publicación del producto que incluye varios problemas resueltos que no se han puesto a disposición por medio de ninguna otra actualización de software. Los Service Pack también pueden incluir una cantidad limitada de características o cambios de diseño a solicitud de los clientes. Su distribución es muy amplia y Microsoft los prueba más que cualquier otra actualización de software. |
Service Pack integrado | Combinación de un producto con un Service Pack en un solo paquete. |
Feature pack | Nueva característica publicada para un producto que agrega funcionalidad. Por lo general, se integra en el producto en la siguiente versión. |
Nota: estas definiciones son recientes, por lo que algunos recursos y herramientas actuales no utilizan los términos tal y como se definen en la tabla anterior.
Importancia de la administración proactiva de revisiones de seguridad
Ha habido varias vulnerabilidades y ataques muy difundidos relacionados con el software de Microsoft. Estos ataques no afectaron a organizaciones que disponen de la administración proactiva de revisiones de seguridad, ya que antes del ataque se tomaron medidas en función a la información proporcionada por Microsoft.
En la tabla 7 se identifican varios ataques históricos, junto con sus fechas. En todos los casos, MSRC había publicado con anterioridad un boletín en el que se identificaba la vulnerabilidad y se describía cómo impedir su abuso en el futuro (por medio de actualizaciones de software y otras contramedidas). En la última columna de la tabla, Días de divulgación antes del ataque, se indica la cantidad de días en que las organizaciones debían implementar las recomendaciones para evitar el próximo ataque.
Tabla 7: Ejemplos de ataques históricos y boletines de MSRC relacionados
| Nombre del ataque | Fecha de localización | Gravedad del MSRC | Boletín del MSRC | Fecha del boletín del MSRC | Días de divulgación antes del ataque |
Trojan.Kaht | 5 de mayo de 2003 | Crítico | MS03-007 | 17 de marzo de 2003 | 49 |
SQL Slammer | 24 de enero de 2003 | Crítico | MS02-039 | 24 de julio de 2002 | 184 |
Klez-E | 17 de enero de 2002 | * | MS01-020 | 29 de marzo de 2001 | 294 |
Nimda | 18 de septiembre de 2001 | * | MS00-078 | 17 de octubre de 2000 | 336 |
Code Red | 16 de julio de 2001 | * | MS01-033 | 18 de junio de 2001 | 28 |
*Boletines publicados antes indicar las gravedades del MSRC.
Estos módulos están diseñados para ayudarle a evitar ataques como estos en el futuro; concretamente la atención se centra en la columna Días de divulgación antes del ataque de la tabla.
Nota: la administración proactiva de revisiones de seguridad es una manera eficaz de limitar los ataques destinados a vulnerabilidades conocidas del software. La tabla anterior no incluye los ataques deliberados y directos perpetrados por personas dentro o fuera de la organización a la que se destinan, quienes buscan una vulnerabilidad de seguridad para aprovecharla con intenciones delictivas.
Para comprender mejor la relación entre los boletines de MSRC y las oportunidades que éstos ofrecen a las organizaciones que desean un entorno seguro, en las siguientes secciones se describen brevemente dos ataques históricos:
| • | Code Red |
| • | Gusanos SQL Slammer |
Evasión de los ataques, Ejemplo 1: Code Red
Code Red es un gusano de rápida propagación con potencial para un gran impacto. El 16 de julio de 2001, el gusano Red Code original se propagó en 250.000 equipos en tan solo nueve horas. Entre los diferentes efectos estaban la reducción de la velocidad de Internet, destrucción e interrupciones temporales de las páginas Web y la interferencia de aplicaciones personales y empresariales, como correos electrónicos y comercio electrónico.
Code Red se aprovechaba de una vulnerabilidad de desbordamiento del búfer dentro de IIS para ejecutar un código en los servidores Web. IIS se instala de forma predeterminada con Microsoft Windows Server 2000 y lo utilizan varias aplicaciones.
Algunas organizaciones lo evitaron con las instrucciones de MS01-033 y el boletín de seguridad de MSRC publicado el 18 de junio de 2001, 28 días antes de la aparición de Code Red.
Para obtener más información sobre estos boletines de seguridad, aspectos técnicos y contramedidas, consulte: http://www.microsoft.com/technet/security/bulletin/MS01-033.mspx.
Evasión de los ataques, Ejemplo 2: SQL Slammer
SQL Slammer (o Sapphire) es un gusano dirigido a los sistemas Microsoft SQL Server ™ 2000 y Microsoft Data Engine (MSDE) 2000, que provocó un elevado volumen de tráfico en la red, tanto en Internet como en las redes internas privadas; se comporta (algunos podrían decir que no deliberadamente) como una denegación eficaz del ataque al servicio.
Aproximadamente a las 9:30 p.m. hora del pacífico, viernes del 24 de enero de 2003, SQL Slammer ocasionó un gran aumento del tráfico en la red a nivel mundial. Un análisis sobre el gusano SQL Slammer muestra que:
| • | Necesitó apenas 10 minutos para propagarse a nivel mundial, convirtiéndose en el gusano más rápido hasta la fecha. |
| • | En las primeras etapas, la cantidad de hosts involucrados se duplicó en tamaño cada 8,5 segundos. |
| • | En su punto máximo, alcanzado aproximadamente tres minutos después de su aparición, exploró la red a más de 55 millones de direcciones del Protocolo de Internet (IP) por segundo. |
| • | Infectó al menos a 75.000 servidores y probablemente muchos más. |
SQL Slammer aprovechó una vulnerabilidad de desbordamiento de búfer, que Microsoft identificó por primera vez en el boletín de seguridad MS02-039 (julio de 2002), 184 días antes del ataque y fue identificado nuevamente en el boletín de seguridad MS02-061. En cada boletín se incluyó una revisión de seguridad, así como las contramedidas correspondientes.
Para obtener más información sobre estos boletines de seguridad, aspectos técnicos y contramedidas, consulte: http://www.microsoft.com/technet/security/bulletin/MS02-039.mspx.
Lecciones aprendidas tras SQL Slammer
Uno de los retos que enfrentaron las organizaciones para evitar SQL Slammer fue el alto uso de MSDE y hasta de SQL Server, debido a que se instalan y utilizan en muchos productos.
Con el ataque de SQL Slammer se destacaron tres puntos importantes sobre la naturaleza de las vulnerabilidades de seguridad:
| • | Un prerrequisito importante para el éxito de la administración de revisiones de seguridad es contar con una idea precisa de todos los equipos, productos y tecnologías que hay en su entorno. |
| • | Un ataque eficaz no necesita vulnerabilidades en los activos de gran valor. SQL Slammer interrumpió con eficacia las operaciones importantes a través de equipos vulnerables de poco valor que estaban en la misma red. |
| • | Implementar una revisión de seguridad una sola vez puede no ser suficiente para eliminar una vulnerabilidad. Resulta de igual importancia la exploración periódica para identificar la repetición de vulnerabilidades, junto con la administración de incidentes para solucionarlos. |
Requisitos para una administración de revisiones correcta
La administración de revisiones fue diseñada para brindar control a la organización sobre las actualizaciones de software que implementa. Las organizaciones que planeen hacer revisiones de su entorno operativo deben asegurarse de contar con:
| • | Operaciones eficaces y personal que conozcan sus funciones y responsabilidades. |
| • | Herramientas y tecnologías adecuadas para una administración de revisiones efectiva. |
| • | Procesos eficaces de administración de proyectos. |
Operaciones eficaces
MOF, el modelo de proceso MOF, las funciones de administración de servicios MOF (SMF) y el modelo de equipo MOF proporcionan una guía para las operaciones de TI efectivas. Tres de las SMF, La Administración del cambio, Administración de configuración y Administración de versión, son de especial importancia para la administración de revisiones.
Herramientas y tecnologías
En esta sección se examinarán las herramientas automatizadas que pueden utilizar todas las organizaciones, sin importar el tamaño, para administrar y controlar la instalación de la actualización de software. Existen dos importantes tecnologías de Microsoft a disposición de la administración de revisiones empresariales cuyos sistemas se basan en Windows.
| • | Software Update Services 1.0 con Service Pack 1 |
| • | Systems Management Server 2003 |
Software Update Services 1.0 con Service Pack 1
SUS es una herramienta gratuita para instalar un servicio que descarga todas las actualizaciones importantes, actualizaciones de seguridad y Service Packs, a medida que se publican en el sitio Microsoft Windows Update Web, en http://windowsupdate.microsoft.com.
Cuando se aprueben estas actualizaciones, SUS las pondrá de forma automática a disposición de todos los servidores preconfigurados que ejecutan Microsoft Windows Server™ 2003 y Windows 2000, así como para los equipos de escritorio que ejecutan Windows XP Professional y Windows 2000 Professional. SUS sólo admite actualizaciones de seguridad y críticas, entre las que se incluyen Service Packs, que correspondan al sistema operativo y componentes incluidos con el mismo. Todas las demás actualizaciones de software, incluso las de las aplicaciones, necesitan una administración a través de un mecanismo diferente.
Microsoft Security Response Center (MSRC) establece la prioridad de las actualizaciones de seguridad. Para obtener información general sobre MSRC y el conjunto de reglas utilizado para el proceso de toma de decisiones, consulte http://www.microsoft.com/technet/archive/community/columns/security/essays/sectour.mspx.
SUS incluye las siguientes capacidades:
| • | Las actualizaciones de software sólo se pueden aprobar en cada servidor SUS; se habilita la prueba en un entorno distinto, así como la implementación por fases en toda la empresa. |
| • | Las actualizaciones se pueden distribuir a través de SUS (se ahorra ancho de banda en conexiones de Internet compartidas) o se pueden configurar clientes SUS para que puedan descargar actualizaciones de software del sito Windows Update. |
| • | SUS puede proporcionar actualizaciones de software en Windows Update para equipos que no tienen acceso a Internet. |
| • | SUS puede ampliarse a entornos de gran tamaño, ya que la arquitectura del servidor SUS consta de una relación principal y secundaria y cada servidor SUS puede admitir hasta 15.000 clientes. |
| • | Las actualizaciones de software se pueden copiar mediante CD de un servidor SUS conectado a Internet a una arquitectura de servidor SUS que no tenga acceso a Internet. |
Los servidores SUS necesitan el sistema operativo Microsoft Windows Server™ 2003 o Windows 2000 Server, Internet Information Server y el puerto 80 para la comunicación con los clientes SUS. Todos los servidores SUS se pueden configurar para sincronizar las autorizaciones y los paquetes de actualización de software, ya sea manual o automáticamente desde su servidor SUS principal, lo que permite que la forma de mantener el entorno sea flexible.
Los clientes SUS utilizan el cliente Actualizaciones automáticas (también se utiliza en Windows Update). Los clientes están configurados para que se conecten a servidores específicos y se pueden configurar para instalaciones de actualizaciones de software automáticas o para avisar al usuario final.
Nota: SUS únicamente proporciona revisiones de seguridad, actualizaciones críticas, actualizaciones, conjuntos de actualizaciones y Service Packs, disponibles a través de Windows Update. SUS no ofrece actualizaciones para el controlador de dispositivo.
La versión actual de SUS (SUS 1.0 con Service Pack 1) no proporciona las funciones de exploración y auditoría, por lo que una solución de administración de revisiones basada en SUS también requerirá el uso de la herramienta Microsoft Baseline Security Analyzer.
Para obtener más información, consulte http://www.microsoft.com/sus.
En los siguientes módulos encontrará un resumen de la información sobre el uso de SUS y MBSA que servirá de ayuda en la administración de revisiones:
| • | "Fase 1 de la administración de revisiones (Valoración)" |
| • | "Fase 2 de la administración de revisiones (Identificación)" |
| • | "Fase 3 de la administración de revisiones (Evaluación y planeación)" |
| • | "Fase 4 de la administración de revisiones (Implementación)" |
Para obtener información detallada sobre el uso de SUS y MBSA que sirva de ayuda en la administración de revisiones, consulte el módulo "Administración de revisiones con SUS".
Microsoft Baseline Security Analyzer v1.1.1
Para determinar si algún equipo no pudo instalar las actualizaciones disponibles a través de SUS, debe ejecutar Microsoft Baseline Security Analyzer (MBSA) de forma periódica.
MBSA explora si faltan informes y actualizaciones de seguridad sobre el cumplimiento del equipo de las mejores prácticas comunes de seguridad (como contraseñas seguras) e identifica cualquier opción de configuración que deje al equipo desprotegido frente posibles vulnerabilidades de seguridad. MBSA también se puede configurar para informar sobre actualizaciones que se hayan aprobado en un servidor SUS, pero que no se hayan instalado.
Aunque MBSA permite identificar qué se requiere para asegurar un equipo en concreto a nivel de dominio o subred, no proporciona ningún método para la distribución de las actualizaciones a esos equipos o para la configuración de los mismos. Por ello, MBSA se debe utilizar junto con SUS para que constituya una solución de administración de revisiones. Sin embargo, MBSA sí proporciona información sobre cómo solucionar las vulnerabilidades localizadas e incluye vínculos a las notas del producto y artículos de Knowledge Base.
MBSA se ejecuta en los sistemas Windows Server 2003, Windows XP y Windows 2000 y explora en varios equipos las vulnerabilidades de seguridad comunes y actualizaciones de seguridad que falten, de acuerdo con la siguiente tabla.
Tabla 8: Capacidades de exploración de MSBA 1.1.1
| Producto | ¿Vulnerabilidades de seguridad comunes? | ¿Actualizaciones de seguridad que faltan? |
Windows NT® 4.0 | Sí | Sí |
Windows 2000 | Sí | Sí |
Windows XP | Sí | Sí |
Windows Server 2003 | Sí | Sí |
Internet Information Server 4.0, 5.0 y 6.0 | Sí | Sí |
SQL Server 7.0 y SQL Server 2000 | Sí | Sí |
Internet Explorer 5.01 y posteriores | Sí | Sí |
Exchange Server 5.5 y 2000 | Sí | |
Windows Media Player 6.4 y posteriores | Sí | |
Office 2000 y Office XP | Sí | * |
*Consulte la siguiente nota para obtener información sobre MBSA 1.2 y Office.
MBSA proporciona una interfaz gráfica para ver los informes que genera cada equipo y también puede proporcionar una línea de comandos. MBSA copia un archivo XML almacenado en Microsoft Download Center para asegurar que éste utilice una lista actual de detalles de valoración para las nuevas actualizaciones de software relacionadas con seguridad.
Nota: MBSA 1.2 incluirá las capacidades de exploración de la actualización de Office de Office Update Inventory Tool.
Para obtener más información sobre MBSA, consulte http://www.microsoft.com/mbsa.
Systems Management Server 2003
Microsoft Systems Management Server (SMS) 2003 es el mecanismo más adecuado para la implementación y administración de la distribución de actualizaciones de software para un gran número de clientes. Éste proporciona la siguiente funcionalidad, es esencial para una implementación correcta:
| • | Funciones de inventario para determinar la cantidad de equipos distribuidos e identificar las funciones y ubicación de los mismos. |
| • | Funciones de inventario para identificar qué aplicaciones de software y actualizaciones de software se instalaron y cuáles se deben instalar en los equipos distribuidos. |
| • | Funciones de programación que permiten que una organización implemente las actualizaciones de software fuera del horario normal de trabajo o en el momento en que se produzca una mínima influencia en las operaciones empresariales. |
| • | Informe de estados que permite a los administradores controlar el avance de la instalación. |
Los programas de exploración de inventarios de SMS 2003 son claves para la administración eficaz de las actualizaciones de software. Se utilizan para crear inventarios de las actualizaciones instaladas y aplicables para cada equipo cliente, mediante el uso de una fuente automatizada de lógica de detección. Los datos obtenidos se incluyen en el inventario del Systems Management Server y se proporciona una visión completa del estado por medio de capacidades de informe basadas en Web. Generalmente, los datos del inventario se limitarán a los elementos que se publican en los boletines de seguridad de Microsoft.
SMS 2003 incluye las siguientes herramientas (también disponibles en SMS 2.0 Software Update Services Feature Pack):
| • | Security Update Inventory Tool |
| • | Microsoft Office Inventory Tool for Updates |
| • | Distribute Software Updates Wizard |
Security Update Inventory Tool
Security Update Inventory Tool incluye capacidades de inventario de SMS y aprovecha la capacidad de MBSA para explorar las actualizaciones de seguridad de cada cliente. Los datos obtenidos se incluyen en el inventario de SMS y se proporciona un estado completo a través de informes basados en Web. Esta herramienta no se instalada de forma predeterminada en los sitios SMS, pero es parte de SMS 2003 Software Update Scanning Tools y se puede descargar en http://www.microsoft.com/smserver/downloads/2003/default.asp.
Microsoft Office Inventory Tool for Updates
Microsoft Office Inventory Tool for Updates utiliza Microsoft Office Inventory Tool para realizar las exploraciones automatizadas en curso de los clientes SMS en las actualizaciones de Office aplicables o instaladas. Estos datos se convierten y se incluyen en el inventario de SMS y también se pueden ver a través de informes basados en Web. Esta herramienta no se instala de forma predeterminada en los sitios SMS, pero es parte de SMS 2003 Software Update Scanning Tools y se puede descargar en http://www.microsoft.com/smserver/downloads/2003/default.asp.
Distribute Software Updates Wizard
Distribute Software Updates Wizard compara las actualizaciones disponibles con el inventario de equipos cliente para determinar las actualizaciones que faltan o las instaladas anteriormente. Sólo se instalan las actualizaciones necesarias, ya que las innecesarias o redundantes se ignoran o posponen, de modo que se reduce la carga del sistema.
Distribute Software Updates Wizard proporciona las siguientes capacidades:
| • | Se agrega al inventario del estado de la actualización de software de todos los clientes, con base en la información de la nueva actualización de seguridad. |
| • | Revisa y autoriza las actualizaciones que se identificaron como ausentes. |
| • | Ajuste de los paquetes y avisos para cada actualización o conjunto de actualizaciones. |
| • | Distribución de avisos de actualización a los equipos que utilizan las capacidades de distribución del software SMS. |
| • | Notificaciones estilo Windows Update y una experiencia valiosa para el usuario final. |
| • | El uso de contadores para permitir que los usuarios guarden y cierren aplicaciones y, opcionalmente, permitir que los usuarios pospongan las actualizaciones o decidan no reiniciar sus sistemas. |
Puede obtener más información sobre SMS 2003 en http://www.microsoft.com/smserver.
En los siguientes módulos encontrará un resumen de la información sobre el uso de SMS 2003 que servirá de ayuda para la administración de revisiones:
| • | "Fase 1 de la administración de revisiones (Valoración)" |
| • | "Fase 2 de la administración de revisiones (Identificación)" |
| • | "Fase 3 de la administración de revisiones (Evaluación y planeación)" |
| • | "Fase 4 de la administración de revisiones (Implementación)" |
Para obtener información detallada sobre el uso de SMS 2003 para apoyar la administración de revisiones, consulte el módulo "Administración de revisiones con SMS".
Comparación de herramientas y tecnologías
En la Tabla 9 se comparan las capacidades que proporciona SMS 2003 y SUS 1.0 con Service Pack 1.
Tabla 9: Capacidades de la administración de revisiones - SUS 1.0 con SP1 frente a SMS 2003
| Capacidad | SUS 1.0 con Service Pack 1 | SMS 2003 |
Plataformas admitidas para contenido | Windows 2000, Windows Server 2003, Windows XP | Windows NT 4.0, Windows 2000, Windows Server 2003, Windows XP, Windows 98 |
Tipos de contenido admitido | Únicamente revisiones de seguridad y conjuntos de revisiones de seguridad, actualizaciones críticas y Service Packs para las plataforma anteriores. | Todas las revisiones, Service Packs y actualizaciones para las plataformas anteriores. Además admite las instalaciones de revisiones, actualizaciones y aplicaciones para Microsoft y otras aplicaciones. |
Enfoque del contenido para los sistemas | No | Sí |
Optimización del ancho de banda de red | Sí, para la implementación de revisiones | Sí, para la implementación de revisiones y sincronización del servidor |
Control de la distribución de las revisiones | Básico | Avanzado |
Instalación de revisiones y flexibilidad de programación | Controlada por el administrador (automático) o por el usuario (manual) | Controlado por el administrador con amplias capacidades de programación |
Informe del estado de la instalación de la revisión | Limitado: historial de instalación del cliente y registros de instalación basada en el servidor. | Completo: estado de la instalación, resultado y detalles de cumplimiento. |
Planeación de la implementación | No se aplica | Sí |
Administración de inventario | No se aplica | Sí |
Comprobación del cumplimiento | No se aplica | Sí |
Procesos eficaces de la administración de proyectos
Para obtener los mejores resultados, debe tratar el proceso de administración de revisiones que se describe en este módulo como un proyecto, mediante un proceso eficaz de administración de proyectos.
Muchas organizaciones tienen sus propias metodologías que pueden ser compatibles con la guía que se proporciona en este módulo. Microsoft recomienda el uso de Microsoft Solutions Framework (MSF) como guía para la administración de proyectos. Puede obtener más información sobre MSF en http://www.microsoft.com/msf.
Enfoque de cuatro fases para la administración de revisiones
El proceso de administración de revisiones recomendado por Microsoft consta de cuatro fases para administrar actualizaciones de software; se ha diseñado para proporcionar el control de la organización para la implementación y mantenimiento de las versiones de software interinas en su entorno de producción.
Las cuatro fases son:
Valoración
El proceso empieza con la valoración de lo que se incluye en su entorno de producción, las vulnerabilidades y amenazas de seguridad a las que se podría enfrentar y si su organización está preparada para responder a las nuevas actualizaciones de software.
Para obtener información más detallada sobre la fase de valoración, consulte el módulo "Fase 1 de la administración de revisiones (Valoración)".
Identificación
Su objetivo durante esta fase es descubrir las nuevas actualizaciones de software de manera confiable, determinar si éstas son de importancia para su entorno de producción y determinar si una actualización representa un cambio normal o de emergencia.
Para obtener información más detallada sobre la fase de identificación, consulte el módulo "Fase 2 de la administración de revisiones (Identificación)".
Evaluación y planeación
Su objetivo durante esta fase es tomar una decisión para seguir o no con la implementación de la actualización de software, determinar las necesidades de la implementación y probar la actualización de software en un entorno similar al de producción para confirmar que éste no pone en riesgo las aplicaciones y sistemas empresariales importantes.
Para obtener información más detallada sobre la fase de evaluación y planeación, consulte el módulo "Fase 3 de la administración de revisiones (Evaluación y planeación)".
Implementación
Su objetivo durante la fase de implementación es integrar a su entorno de producción las actualizaciones de software autorizadas de forma que cumpla con todos los requisitos de los contratos de nivel de servicio (SLA) de la implementación con los que cuenta.
Para obtener información más detallada sobre la fase de Implementación, consulte el módulo "Fase 4 de la administración de revisiones (Implementación)".
La Figura 1 muestra el proceso y sus cuatro fases.
Este proceso se basa en las funciones de administración de servicio Administración del cambio MOF, Administración de versión y Administración de configuración Management (SMF), que se encuentran en http://www.microsoft.com/technet/itsolutions/techguide/msm/default.mspx.