Güncellemek veya güncellememek?

Şu anda çalıştığım yerde çalışmaya başladığımdan beri, güncelleme sistemleri konusunda patronum ve iş arkadaşlarımla bitmek bilmeyen bir mücadele içerisindeyim.

Tabii ki, herhangi bir güncellemenin (ürün yazılımı, işletim sistemi veya uygulama olsun), ortaya çıktığı anda dikkatsizce uygulanmaması gerektiğine tamamen katılıyorum, ancak satıcıyı serbest bırakırsa en azından bir neden olması gerektiğine kesinlikle inanıyorum ; ve en yaygın nedeni genellikle belki şimdi yaşıyor değiliz bazı hata ... sabitleme, ancak olabilir sen yetişmek yok yakında eğer yaşıyor.

Bu özellikle güvenlik düzeltmeleri için geçerlidir; bir sınav olarak, sadece aylardır mevcut olan bir yamayı uygulayan olsaydı , rezil SQL Slammersolucan zararsız olurdu.

Ben güncellemeleri dağıtmadan önce test etmek ve değerlendirmek için hepiniz; ancak "kırık değilse o zaman dokunmayın" yaklaşımını sistem yönetimine kesinlikle katılmıyorum ve Windows 2003 SP1 veya ESX 3.5 Güncelleme 2 sistemlerini ürettiğimde gerçekten acıyor ve alabileceğim tek cevap "çalışıyor, kırmak istemiyoruz".

Bunun hakkında ne düşünüyorsun?
Nedir senin politikası?
Peki kendi politikanızla uyuşmuyorsa şirket politikanız nedir?

Ürün yazılımı güncellemeleri (BIOS, depolama vb.) Ne olacak?
Ana işletim sistemi güncellemeleri (hizmet paketleri) ne olacak?
Küçük işletim sistemi güncellemeleri ne olacak?
Uygulama güncellemeleri ne olacak?

Asıl ilgim elbette sunucuları güncellemektir, çünkü istemci yama yönetimi genellikle daha basittir ve bununla başa çıkmak için iyi bilinen araçlar ve en iyi uygulamalar vardır.

Düzeltme stratejinizi belirlerken güvenlik ve çeviklik kararlılık ve çalışma süresiyle dengelenmelidir. Bunun için geri itme yaklaşımınız 'Tamam, ancak şu anda bu sunucuların güvenliğinin ihlal edilmesi ve verilerimizin çalınması veya sunucuların işlevsiz hale getirilmesi riski altında olduğumuzu bilmeniz gerekir. 'Tamam, ancak bunun bu sistem için satıcı desteğimizi ve bu sistemin yeni sistemlerle etkileşime girmesini sağlayabilme yeteneğini etkilediğini bilmeniz gerekiyor'.

Uzun vadeli 'kırılmadı, güncelleme' anlayışına karşı, şunu açıkça belirtmelisiniz:

• Modern bir sisteme geride kalmış, eski bir sisteme geçiş, bu sistemi zaman içinde kademeli olarak güncellemekten çok daha pahalı ve acı verici bir süreçtir.
• Deneyimli ve kalifiye BT personeli aktif olarak yeni teknolojiler ve BT sistemlerini sürekli geliştiren şirketler arar. Bir şirket, sistemleri durgunlaştığı ve çalışmak için cazip hale geldiği için bir şirket son derece meşgul, yaratıcı BT personelini kaybettiğinde ciro, kayıp fırsat ve bilgi kaybında çok gerçek bir dolar maliyeti vardır. Sonra kalan tek şey 'kaldırıcılar'.

Umarım bu, şeyleri ciddiye almaya ikna etmede size biraz kaldıraç ve iyi şanslar verir. Her zaman olduğu gibi, aldıkları risklerin yönetimini tuttuğunuzu kanıtlayan bir kağıt izi oluşturun.

Bu bitmek bilmeyen bir tartışma ve makul insanlar aynı fikirde değil. Kullanıcı bilgisayarlarından bahsediyorsanız, güncellenmeleri gerektiğini kabul ediyorum. Sunucular hakkında konuşuyorsanız, internete bakan ve almayan sunucular için ayrı bir politika düşünün. Sunucularınızı bilmiyorum ama çevremde, belki de sunucularımızın% 10'unda internete açık portlar var. İnternete bakan bu sunucular, güvenlik yamaları söz konusu olduğunda en yüksek önceliğe sahiptir. İnternete bakmayan sunucular düşük önceliklidir.

Güvenlik guruları bu yaklaşımın sorunlu olduğunu savunacaktır, çünkü bir bilgisayar korsanı ağınıza girerse, işlenmemiş sunucular sömürünün ağ üzerinden orman yangını gibi boşa gitmesine izin verecektir ve bu makul bir argümandır. Yine de, internete dönük sunucuları sıkıca kilitli tutarsanız ve güvenlik duvarınızı sadece kesinlikle gerekli olan portları açacak şekilde yapılandırırsanız, bu yaklaşımın işe yaradığını ve genellikle yamalardan korkan yöneticileri yatıştırmak için kullanılabileceğini düşünüyorum.

Yamalar için yalnızca Windows Update'e güveniyorsanız (hangi işletim sistemini çalıştırdığınızı söylemediniz, ancak çoğunlukla Windows adamım, bu yüzden referansım budur), her ay yayınlanan gerçek düzeltmelere bir göz atın . Onlarda Windows Update çalıştırırsam 50+ yamaya ihtiyacım olduğu söylenecek bazı sunucularım var, ancak bu yamaları kaydırıp her birini araştırırsam, yamalar olan öğelerin% 90'ının güvenlik olmadığını göreceğim ilgili ancak hizmetleri etkileyen hataları gidermek o kutuda çalıştırmayın. Bir yama yönetim sistemi kullandığınız daha büyük ortamlarda, serbest bırakılan ve yalnızca kesinlikle gerekli olanla uğraşan ve genellikle Microsoft'un yayınladığı şeyin yaklaşık% 10'una denk gelen her şeyi gözden geçirmek yaygındır.

Benim iddiam, "yama yapmak ya da yamalamamak" hakkındaki bu tartışmanın, gerçekten büyük bir gri alan olduğu zaman bir taraf ya da diğer taraf olmanız gerektiğini gösteriyor.

Sadece sunucular hakkında konuşabiliyorum ama 'Üç ayda bir güncelleme' rejimimiz var, yılda dört önceden belirlenmiş ve duyurulan tarihte güncelleme isteklerini topluyor, referans ortamımıza uyguluyor, kararlılığı test etmek için bir ay boyunca çalıştırıyoruz takip eden n gün / hafta boyunca. Bunun üzerine, eğer ciddiyet böyleyse, bir veya iki gün içinde acil güncellemeleri referans alma, test etme ve sunma yeteneğine sahip olduğumuz bir acil durum güncelleme politikası uyguluyoruz - ancak bu, son zamanlarda sadece 2/3 kez kullanıldı 4 yıl kadar.

Bu ikiz yaklaşım, sunucularımızın makul, ama aptalca değil, güncellemelerin konu uzmanları tarafından (yani bellenim, sürücüler, işletim sistemi, uygulama personeli) satıcılar tarafından değil, aynı zamanda hızlı düzeltmelere izin vermesini sağlar. gereklidir. Elbette, tüm işletme genelinde (<10 sunucu değişkeni) çok az farklı donanım modeline sahip olduğumuz için şanslıyız ve test etmek için oldukça büyük ve güncel referans platformları.

"En kısa sürede yamaları uygula" dan, çalıştığımız bir şeyi kırıp çözmemeleri umursamıyoruz - o zaman onları geri alacağız. " test. " Her iki uç (ve aradaki noktalar) , Şirket ödünleşmeleri anladığı sürece iyidir .

Önemli olan nokta budur: bu sorunun doğru ya da yanlış bir cevabı yoktur; bu , kendi ortamınızdaki güvenlik ve özelliklerin dengesine karşı bir denge meselesidir . Yönetim zinciriniz yamaların test için geciktirilmesinin onları kötü amaçlı yazılımlara karşı daha savunmasız hale getirebileceğini anlarsa, sorun değil. Aynı şekilde, yamaları hazır olur olmaz uygulama yapmanın işe yaramayabileceğini veya hatta sistem yapılandırmanızı bozmayabileceğini anlarlarsa, bu da iyidir. Bu dengesizlikler anlaşılmadığında sorunlar mevcuttur.

Benim görüşüme göre en iyi ders iki aşırı ortasında oldukça şaplak olduğunu. Örneğin, bunu yapmak için kanıtlanabilir bir neden yoksa, muhtemelen süreçteki çalışma sistemlerini bozduysanız, neden bu kadar umutsuzca ESX'i yükseltmek istiyorsunuz? Herkese açık olması durumunda savunmasız olabilir, ancak doğrudan ağınızın dışından erişilmesinin bir yolu olmamalıdır, bu nedenle risk nerede? Size yükseltme yapmak için bir neden sunan herhangi bir hata veya özellik eksikliği var mı?

Bunu yapmak için yükseltmek, gerçekten teklif ettiğiniz şeydir ("ancak yakında deneyimliyor olabilirsiniz "), olmasanız bile, seyahat etmek saçma ve tehlikeli bir yoldur. Gerçek bir neden sunmadığınız sürece , teorik olarak olası bir nedenin aksine, başkalarını, yükseltmeye karşı olmaları durumunda asla ikna edemezsiniz .

Yükseltme yapmak için gerçek bir neden olduğuna inanıyorsanız, hem artıları hem de eksileri belgelemelisiniz ve her zaman eksileri vardır ve bunu ağacın yukarısına olanlara sunun. Düzgün bir şekilde belgelenmiş az direnç olmalıdır. Eğer ikna edici bir argüman sağlayamazsanız, arkanıza yaslanın ve bu gerçeğe ciddi bir düşünce verin.

Düzenle

Gerekli güvenlik ve kararlılık yamalarını uygulama arasında, yazılım veya işletim sistemi yükseltmelerini gerçekleştirmeye kıyasla çok büyük bir fark görmem gerektiğini düşündüm. Uygun testlerden sonra ilk uyguladığım. İkincisi sadece gerçek bir fayda varsa yaparım.

Güvenlik güncelleştirmeleri bir hazırlama sunucusuna gönderilir, ardından bir şeyleri havaya uçmadıklarını gösterdikten sonra üretim yapılır. Gerçek bir uyku acil durum sürece (ki ben birkaç kez vurdum :(), bu durumda ÜRETİM ŞİMDİ.

Bence yapılacak ilk şey güncellemeleri ciddiyetle "sınıflandırmak" ve sınıflandırmaya dayalı yama çizelgesine sahip olmaktır. Hiç kuşkusuz sıfır gün güvenlik düzeltmeleri derhal uygulanmalıdır; Hizmet Paketi dikkatli değerlendirmelerden sonra bekleyebilir.