Patchverwaltungsprozess
Phase 2: Bestimmen
Auf dieser SeiteModulübersichtIn diesem Modul wird die zweite Phase des vierphasigen Updateverwaltungsprozesses beschrieben: die Bestimmungsphase. Bei der Bestimmungsphase handelt es sich um das zuverlässige Auffinden neuer Softwareupdates sowie die Entscheidungen, ob neue Updates für Ihre Produktionsumgebung relevant sind und ob ein Update eine normale Änderung ist oder einen Notfall darstellt. Ziel dieses Moduls ist eine Beschreibung der Bestimmungsphase des Updateverwaltungsprozesses. Ferner werden die Aufgabentypen vorgestellt, mit deren Hilfe die Identifizierung mit Microsoft Windows Server Update Services (WSUS) und Microsoft Systems Management Server (SMS) durchgeführt werden kann. Hinweis: Beta 2 der nächsten SMS-Version namens System Center Configuration Manager 2007 ist jetzt unter http://www.microsoft.com/technet/sms/2007/evaluate/download.mspx (möglicherweise in englischer Sprache) als Download verfügbar. Verbesserungen wurden vor allem in den Bereichen Einfachheit, Konfiguration, Bereitstellung und Sicherheit vorgenommen. Dadurch wurde die Systembereitstellung, die Automatisierung von Aufgaben, die Kompatibilitätsverwaltung und die richtlinienbasierte Sicherheitsverwaltung in Configuration Manager 2007 sehr vereinfacht, was Unternehmen wiederum erhöhte Flexibilität ermöglicht. Nach Lektüre dieses Moduls sind Sie in der Lage, die Planung für folgende Aufgaben durchzuführen:
Ohne die Bestimmungsphase wissen Sie nicht, welche Softwareupdates verfügbar sind, welche Updates Sie benötigen, wie Sie virenfreie, überprüfte und getestete Updates abrufen und ob ein Update im Rahmen einer geplanten Einführung oder eines Notfalls bereitgestellt werden muss. ZielsetzungThemenbereiche:
Geltungsbereich:Die Informationen in diesem Modul gelten für folgende Produkte und Technologien:
Verwendung dieses ModulsIn diesem Modul wird die Bestimmungsphase des vierphasigen Updateverwaltungsprozesses beschrieben. Es enthält eine Beschreibung der grundlegenden Aufgaben, die zur Bestimmung mithilfe von Microsoft Windows Server Update Services (WSUS) und Microsoft Systems Management Server (SMS) erforderlich sind. Ausführliche Anweisungen finden Sie in den unten aufgeführten technischen Bibliotheken zu WSUS und SMS. Empfehlungen für eine erfolgreiche Arbeit mit diesem Modul:
ÜbersichtDie Bestimmungsphase ist die zweite Phase des Updateverwaltungsprozesses, siehe Abbildung 1.  Abbildung 1: Der Patchverwaltungsprozess Die Bestimmungsphase umfasst folgende Aufgaben:
Im Folgenden werden diese Ziele genauer beschrieben. Es wird außerdem erläutert, wie Sie diese Ziele im Notfall schneller erreichen können. Ermitteln eines neuen SoftwareupdatesZur Bestimmungsphase eines Softwareupdates gehört zunächst eine sichere und zuverlässige Ermittlung des Updates. Die Ermittlung besteht aus zwei Hauptkomponenten:
Benachrichtigung über ein neues SoftwareupdateZur Ermittlung eines Softwareupdates ist zunächst eine Benachrichtigung erforderlich. Die Benachrichtigung sollte entweder über ein Abonnement bei einer zuverlässigen Quelle für Überprüfungen und Berichte oder über ein anderes zuverlässiges Benachrichtigungsverfahren erfolgen. Zu den häufigsten Benachrichtigungsverfahren gehören die folgenden:
E-Mail-BenachrichtigungenBenachrichtigungen per E-Mail sind die häufigste Form der Updatebenachrichtigung. Wenn Sie per E-Mail benachrichtigt werden möchten, können Sie unter der folgenden Adresse den Microsoft Security Notification Service abonnieren: http://www.microsoft.com/technet/security/bulletin/notify.mspx (möglicherweise in englischer Sprache). Wenn aktualisierte Produktversionen oder Softwareupdates verfügbar sind, werden Sie in der Regel per E-Mail darüber informiert, dass neue Softwareupdates auf der Microsoft-Website zur Verfügung stehen. Ein Beispiel für eine E-Mail, die Administratoren über neue Softwareupdates informiert, finden Sie in Abbildung 2.  Abbildung 2: Beispiel-E-Mail zur Benachrichtigung von Administratoren über neue Softwareupdates Einschätzen der Vertrauenswürdigkeit der Quelle und BenachrichtigungEs ist wichtig, vorsichtig mit E-Mail-Benachrichtigungen umzugehen. Die folgenden Richtlinien sollen Ihnen helfen, jede Benachrichtigung zu überprüfen und sicherzustellen, dass es sich um die jeweils aktuellen Informationen des Sicherheitsbulletins handelt:
Hinweis: Es kursieren zahlreiche gefälschte E-Mails, die angeblich Benachrichtigungen von Microsoft sind. Wenn Sie ein Microsoft-Sicherheitsbulletin erhalten, sollten Sie das Bulletin und sämtliche Hyperlinks zu Softwareupdates auf der Website zur Sicherheitsbulletin-Suche überprüfen. Diese finden Sie unter http://www.microsoft.com/technet/security/current.aspx (möglicherweise in englischer Sprache). Weitere Informationen über diese Art von Falschmeldungen finden Sie unter dem Artikel zum Erkennen und Vermeiden betrügerischer E-Mails, die scheinbar von Microsoft stammen unter der Adresse http://www.microsoft.com/technet/security/bulletin/info/patch_hoax.mspx (möglicherweise in englischer Sprache). Wenn Sie WSUS verwenden, können Sie sich beim Updatebenachrichtigungsdienst anmelden, der Sie per E-Mail über neue Updates informiert. Zum Bestimmen dieser Updates müssen Sie eine Synchronisierung zwischen dem WSUS-Server und dem öffentlichen Windows Update-Server erzwingen, wenn Sie per E-Mail über ein Update benachrichtigt werden. Dazu verwenden Sie auf der Seite zur WSUS-Serververwaltung die Option „Jetzt synchronisieren“. Ausführlichere Informationen zur Verwendung von WSUS in der Bestimmungsphase finden Sie im Modul unter Technische Bibliothek für Windows Server Update Services (WSUS). Wenn Sie SMS verwenden, müssen Sie bei jeder neuen E-Mail-Benachrichtigung überprüfen, ob SMS 2003 erkennen kann, dass das Update auf Systeme in Ihrer Produktionsumgebung angewendet werden kann:
Weitere Informationen zur Verwendung von SMS in der Bestimmungsphase finden Sie unter Technische Bibliothek für Systems Management Server 2003. Programme zum Überprüfen auf SicherheitslückenWie in diesem Modul bereits erwähnt, können Administratoren mithilfe von MBSA und WSUS nach fehlenden und installierten Sicherheitsupdates auf lokalen und Remotecomputern suchen und bestimmen, ob ein Computer bekannte Sicherheitslücken wie ein leeres Administratorkennwort aufweist. Ausführlichere Informationen zur Verwendung von WSUS in der Bestimmungsphase finden Sie unter Technische Bibliothek für Windows Server Update Services (WSUS). Weiterhin können Sie Komponenten der in SMS 2003 enthaltenen Funktion zur Softwareupdateverwaltung dazu verwenden, fehlende oder angewendete Softwareupdates in Ihrer gesamten Umgebung zu suchen und in einem Bericht zusammenzufassen. Weitere Informationen zu SMS finden Sie unter Technische Bibliothek für Systems Management Server 2003. Bestimmen, ob Softwareupdates relevant sindFür den IT-Betrieb (Information Technology) wird regelmäßig eine große Anzahl von Softwareupdates veröffentlicht. Diese Aktualisierungen stammen aus verschiedenen Quellen und wurden aus unterschiedlichen Gründen erstellt, z. B. zur Behandlung von Problemen, die eventuell zu Sicherheitsvorfällen führen könnten. Grundsätzlich muss bei allen Softwareupdates zunächst gründlich überprüft werden, ob sie für die IT-Infrastruktur des Unternehmens relevant sind. Durch das in diesem Abschnitt erläuterte Prüfungsverfahren können die meisten nicht relevanten Softwareupdates herausgefiltert werden, doch wahrscheinlich sind noch weitere überflüssig. Jedes Softwareupdate sollte auf seine Relevanz geprüft werden. Wenn eine Benachrichtigung Informationen zu mehr als einem Softwareupdate enthält, muss jedes Softwareupdate einzeln auf seine Relevanz für das Unternehmen überprüft werden. Überprüfen Sie zunächst, ob das Softwareupdate für die in Ihrem Unternehmen verwendeten Betriebssysteme und Anwendungen bestimmt ist. Wenn Sie das Softwareupdate als relevant für Bestandteile Ihrer Produktionsumgebung eingestuft haben, müssen Sie anschließend prüfen, ob das von Ihnen verwendete Betriebssystem bzw. die Anwendung die Sicherheitslücke aufweist, die durch das Softwareupdate behoben werden soll. Ein Softwareupdate bezieht sich zum Beispiel auf alle unter dem Betriebssystem Windows Server™ ausgeführten Microsoft Internetinformationsdienste (Internet Information Services, IIS) mit aktivierten Active Server Pages (ASP). Selbst wenn in Ihrer Umgebung einige Windows Server-Betriebssysteme vorhanden sind, ist das Sicherheitsupdate nur dann relevant, wenn in Ihrem Unternehmen tatsächlich auf einem IIS-Server ASP aktiviert ist. Nicht jedes Softwareupdate, das sich auf ein in Ihrer Umgebung vorhandenes Betriebssystem oder eine Anwendung bezieht, muss für Sie relevant sein. Es ist wichtig, alle vorhandenen Softwareupdates und ihre Funktionen zu kennen. Dennoch sollten Sie nur die Softwareupdates bereitstellen, die für Ihre Umgebung relevant sind. Auf diese Weise minimieren Sie den Aufwand für das Aktualisieren und Sichern Ihrer Umgebung. Da Informationen zu Softwareupdates für die Problembehandlung wichtig sein können, sollten Sie Ihre Mitarbeiter auch über momentan als irrelevant erachtete Softwareupdates informieren. Wenn das Softwareupdate später erforderlich wird, hat Ihr Unternehmen Zugriff auf die Informationen aus der ursprünglichen Quelle. Es gibt verschiedene Methoden, mit denen Sie prüfen können, ob ein Softwareupdate auf Ihre IT-Infrastruktur anwendbar ist.
Lesen Sie die Sicherheitsbulletins und KB-ArtikelDie Informationen in den Sicherheitsbulletins auf der Microsoft-Website sind in Abschnitte unterteilt, in denen Sie erkennen können, wie kritisch die beschriebene Sicherheitslücke für Ihre Umgebung ist. Sie sollten zwar sämtliche Informationen eines Sicherheitsbulletins lesen, vor allem aber auf die in Tabelle 1 aufgeführten Abschnitte achten. Tabelle 1: Sicherheitsbulletins: wichtige Informationen
Weitere Informationen zum Veröffentlichungsverfahren für Sicherheitsbulletins finden Sie im Whitepaper „Verbesserung des Veröffentlichungsverfahrens für Sicherheitsbulletins“ unter folgender Adresse: http://www.microsoft.com/technet/security/bulletin/revsbwp.asp (möglicherweise in englischer Sprache). Mithilfe der Informationen aus der ursprünglichen Benachrichtigung, dem Sicherheitsbulletin sowie dem KB-Artikel können Sie entscheiden, ob ein Softwareupdate für Ihr Unternehmen relevant ist. Die Kurzbeschreibungen im Abschnitt „Zusammenfassung“ des Sicherheitsbulletin ermöglichen Ihnen eine schnelle Beurteilung der potenziellen Auswirkungen einer Sicherheitslücke auf Ihre Umgebung, ohne dass Sie den gesamten Inhalt des Bulletins lesen müssen. In der Zusammenfassung sind die Art der Sicherheitslücke, eine Liste betroffener Software sowie die empfohlenen Maßnahmen aufgeführt. Nach dem Lesen der Zusammenfassung sollten Sie einschätzen können, ob es sinnvoll ist, sich eingehender mit den restlichen Abschnitten des Sicherheitsbulletins zu befassen. Durch Relevanzüberprüfungen der höchsten Stufe müssten Sie die Computer in Ihrer Umgebung isolieren können, die wahrscheinlich von der Sicherheitslücke betroffen sind. Zusätzlich zu den in Tabelle 1 beschriebenen Elementen hat das Microsoft Security Response Center (MSRC) das Maximum Severity Rating System implementiert, um Sie dabei zu unterstützen, die Wichtigkeit eines Updates für Ihr Unternehmen schneller einzuschätzen. Diese Bewertungen basieren auf den potenziellen Auswirkungen der Sicherheitslücke und sollen Sie darüber informieren, wie dringend Maßnahmen erforderlich sind. In jeder Umgebung kann es schwierig sein, die Relevanz technologiespezifischer Softwareupdates festzustellen. Durch auf Clients und Servern installierte Technologien wie Microsoft Data Engine (MSDE) oder IIS kann die Ermittlung der Relevanz eines Softwareupdates für eine bestimmte Teilmenge von Computern in Ihrer Umgebung erschwert werden. Es ist daher umso wichtiger, eine möglichst genaue Inventur Ihrer Umgebung vorzunehmen und zu pflegen. Prüfen individueller SoftwareupdatesJedes per Benachrichtigung erhaltene Softwareupdate sollte genau überprüft werden. Dabei sind die dazugehörige Dokumentation, die z. B. mit dem Softwareupdate gesendet wurde, sowie weiterführende Informationen, etwa auf der Microsoft TechNet-Website, zu überprüfen. Sobald Sie eine E-Mail-Nachricht erhalten, in der anwendbare Softwareupdates aufgeführt sind, sollten Sie jemanden beauftragen, diese Angaben zu überprüfen. Dieses Teammitglied ist dann für das Softwareupdate verantwortlich. Der Verantwortliche muss den entsprechenden Artikel in der Knowledge Base lesen, um nachvollziehen zu können, welches Problem durch das Softwareupdate behoben werden soll. Unter Umständen gilt das Update nur für bestimmte Szenarien oder Konfigurationen. Die verantwortliche Person sollte überprüfen, ob in der Produktion tatsächlich die Szenarien bzw. die Konfigurationen gelten, die im KB-Artikel beschrieben sind. Außerdem stellen sich Fragen zu möglichen Abhängigkeiten beim Softwareupdate:
Das Bestimmen dieser Abhängigkeiten ist wichtig, da sich dies direkt auf Ihre Versions- und Bereitstellungsplanung für das Softwareupdate auswirkt. Dokumentieren Sie, zu welchem Service Pack (SP) das Softwareupdate gehört und ob abhängig vom aktiven Service Pack eine andere Version des Softwareupdates erforderlich ist. (Diese Angaben sind wichtig, falls beim Aktualisieren von einem Service Pack auf ein anderes durch einen Benutzer Kompatibilitätsprobleme auftreten.) Sie können die von den Softwareupdate-Verwaltungsfunktionen in SMS 2003 erstellten Prüfergebnisse und -berichte verwenden, um spezifische und relevante Informationen für ein Softwareupdate anzuzeigen. Wenn Sie WSUS verwenden, können Sie über die WSUS-Serververwaltungsseite auf diese Dokumentation zugreifen. Weitere Informationen zu WSUS und SMS finden Sie unter Technische Bibliothek für Windows Server Update Services (WSUS) und Technische Bibliothek für Systems Management Server 2003. Abrufen und Überprüfen von Quelldateien für SoftwareupdatesSobald ein Softwareupdate bestimmt und seine Relevanz bestätigt wurde, müssen Sie die Quelldateien für das Softwareupdate abrufen und überprüfen, dass sie sicher sind und erfolgreich installiert werden können. Bei dieser Überprüfung wird die Authentizität von Sicherheitsupdates bestätigt bzw. es werden die Updates angezeigt, deren Sicherheit nicht gewährleistet werden kann. Beim Empfang einer Benachrichtigung über ein ungültiges Update sollten Informationen darüber an den Verantwortlichen für das Abonnement und an das Sicherheitsteam zur weiteren Überprüfung gesendet werden. Wenn eine Benachrichtigung aus einer sonst verlässlichen Informationsquelle stammt, aber diese spezielle Benachrichtigung fehlerhaft validiert wurde, wirft dies die Frage auf, ob die Qualität der Benachrichtigungen dieses Anbieters ausreichend ist. Sie sollten weitere Informationen über diese Quelle sammeln und eventuelle Probleme beheben. Die Überprüfung eines Softwareupdates sollte mindestens die folgenden Schritte umfassen:
Ermitteln und Überprüfen des SoftwareupdatesMicrosoft benachrichtigt Administratoren per E-Mail über neue Softwareupdates, hängt aber niemals Softwaredateien an diese Nachrichten an. Die wichtigsten Vorgehensweisen von Microsoft in Bezug auf die Benachrichtigung und die Gewährleistung, dass das Softwareupdate von Microsoft stammt:
Weitere Informationen zu Microsoft-Richtlinien für die Softwareverteilung finden Sie unter http://www.microsoft.com/technet/security/bulletin/info/swdist.mspx (möglicherweise in englischer Sprache). Überprüfen der gesamten zugehörigen DokumentationBevor Sie ein neues Softwareupdate anwenden, sollten Sie sowie ein weiterer Mitarbeiter Ihrer Abteilung die gesamte relevante Dokumentation genau durchlesen. Die Überprüfung durch zwei Personen ist sehr wichtig, da dadurch die Wahrscheinlichkeit verringert wird, dass bei der Evaluierung des Updates kritische und relevante Punkte ignoriert werden. Machen Sie sich beim Lesen der Dokumentation über die folgenden Punkte Gedanken:
Im Sicherheitsbulletin finden Sie in dem in Tabelle 1 beschriebenen Abschnitt Informationen, die Ihnen bei der Beantwortung dieser Fragen behilflich sind Gewährleisten, dass das Softwareupdate sicher istUm Ihre IT-Infrastruktur vor Virenbefall oder schädlichem Code zu schützen, sollten alle Dateien eines Softwareupdates in einer isolierten Umgebung (Quarantäne) geprüft werden. Diese Quarantäne gilt für die gesamte Software und Dokumentation. Die Quarantäneumgebung sollte streng kontrolliert und von einer Spezialgruppe im Unternehmen durchgeführt werden. In seltenen Fällen sind bei Softwareupdates lediglich Änderungen an der Registrierung, an Konfigurationsdateien oder an Anwendungseinstellungen vorzunehmen. In der Regel müssen für Softwareupdates jedoch Dateien heruntergeladen werden. Stellen Sie die heruntergeladenen Dateien stets unter Quarantäne, indem Sie sie von Ihrem Produktionsnetzwerk isolieren und anschließend auf Viren überprüfen und ihre digitale Authentizität bestätigen. Wenn Sie WSUS verwenden, wird jedes Update signiert. Es wird ein Hash berechnet und zusammen mit den Metadaten (die den Nutzen eines Updates beschreiben) gesendet. Beim Herunterladen eines Updates überprüft WSUS die digitale Signatur und den Hash. Wurde das Update manipuliert, wird es nicht installiert. Ausführlichere Informationen zur Verwendung von WSUS in der Bestimmungsphase finden Sie unter Technische Bibliothek für Windows Server Update Services (WSUS). Hinweis: Das Microsoft Download Center, Microsoft Update und SMS 2003 mit Funktionen zur Verwaltung von Softwareupdates stellen nur authentische Microsoft-Softwareupdates bereit. Wenn Sie auf anderen Wegen ein Softwareupdate von Microsoft erhalten, überprüfen Sie seine Gültigkeit und digitale Signatur. Überprüfen der Softwareupdate-InstallationsverfahrenFür die Überprüfung der Softwareupdate-Installationsverfahren gelten folgende Richtlinien:
Trotz dieser Maßnahmen können nach der Installation des Softwareupdates Probleme auftreten, sodass es deinstalliert werden muss. Daher ist es wichtig, die Deinstallationsfunktion zu testen. Nach der Deinstallation sollten Sie überprüfen, ob der Server weiterhin ordnungsgemäß funktioniert, und das Ereignisprotokoll sowie den Systemmonitor überwachen. Nicht alle Updates von Microsoft verfügen über einen Deinstallationspfad. Mithilfe der technischen Details des Sicherheitsbulletins im Abschnitt zu den Sicherheitsupdateinformationen können Sie feststellen, welche Softwareupdates deinstalliert werden können. Entscheiden über die Art des Softwareupdates und Einreichen eines RFCBisher haben Sie das Softwareupdate ermittelt, die Relevanz für Ihr Unternehmen bestimmt, die Quelldateien für das Softwareupdate abgerufen und bestätigt, dass das Update sicher ist und erfolgreich installiert werden kann. Der nächste Schritt besteht darin, einen Änderungsantrag (RFC, Request for Change) zu senden, um die Evaluierungs- und Planungsphase des Softwareupdates einzuleiten. Der Änderungsantrag muss die folgenden Informationen enthalten:
Wenn ein Softwareupdate ein wichtiges Sicherheitsproblem oder eine Systeminstabilität behandelt, sollte die Priorität des RFC als „Notfall“ gekennzeichnet werden. Ein Notfall-RFC sollte nur dann erstellt werden, wenn das Bereitstellen eines Softwareupdates oder das Implementieren einer Sicherheitsgegenmaßnahme (zum Beispiel das Schließen von Netzwerkports) dringend erforderlich ist. ZusammenfassungIm folgenden werden die Kernpunkte der Bestimmungsphase zusammengefasst:
Übergang zur Evaluierungs- und PlanungsphaseSie haben die Anforderungen der Bestimmungsphase abgeschlossen und können zur Evaluierungs- und Planungsphase übergehen, wenn folgende Bedingungen erfüllt sind:
Weitere Informationen zur Bewertungs- und Planungsphase finden Sie im Modul Updateverwaltungsphase 3: Evaluieren und Planen.
|
In diesem Beitrag
|
