Windows Güvenlik güncelleştirmelerini yüklemeli miyiz? [kapalı]

Ben sadece benim şirketler sunucularından birine RDP'd, windows güncellemeleri uyarıldı, bu yüzden tıklıyorum. Daha sonra, son güncelleme (güncelleme geçmişine göre) 16 Ocak 2014 Perşembe günü bir yıldan fazla bir süre önce yüklendiğinde 62 yüksek öncelikli güncelleme görüyorum.

Burada hangi önlemlerin alınması gerekiyor?

Kısa cevap - evet. Windows Güncelleştirmelerinin çoğu güvenlikle ilgilidir. Yamaların olmaması, savunmasız olduğun anlamına gelir.

Daha uzun cevap - bu tür şeyleri kapsayan bir prosedüre ihtiyacınız var. Bu günlerde daha nadirdir, ancak bazen bir yama işleri kırabilir veya şirketinizle ilgili olarak kırılacak şekilde davranışı değiştirebilir. Her bir yamayı yayınlandığında değerlendirmelisiniz (aylık bir program ve bazı acil olanlar), yamaya ihtiyacınız olup olmadığını belirleyin (muhtemelen evet), potansiyel kırılma hakkında biraz özen göstermek için test / hazırlama sunucularında biraz test yapın ve ardından yükler.

Ayrıca, dağıtımlara biraz dikkat etmelisiniz, çünkü işletim sistemi yama yeniden başlatma anlamına gelir, bu da tüm hizmetleriniz için iyi bir HA'nız yoksa servis kesintisi olduğu anlamına gelir. Gün içinde zeki ve yama yapacağınızı ve yeniden başlatmayı erteleyeceğinizi düşünüyorsanız, bu harika bir fikir değil - bazı dosyalar güncellenecek, ancak diğerleri olmayacak.

Microsoft, yama yönetimini onayları tek tek yapmaktan ve dağıtmaktan biraz daha kolaylaştırabilecek WSUS adlı ücretsiz bir ürün sunuyor.

Bilginize, sahip olduğunuz tüm cihaz sınıfları için bu tür bir şey yapmalısınız. Ağ aygıtı ürün yazılımı, sunucu donanım ürün yazılımı, VMware ESXi, vb. Bu yamalar eğlenmek için ortaya çıkmaz, neredeyse hepsi hataları giderir ve birçoğu güvenlikle ilgili olabilir.

Ayrıca - teknik ekibinizde sizden daha kıdemli birine sormalısınız. Oradaki tek yönetici sizseniz, siz ve kuruluşunuz çok iyi iş görmüyorsunuz. Bunu bizzat almayın, hepimiz yapmamız gereken her şeyi bilmeden başlamalıyız - ancak bu sizin sorunuzsa, bu sunucuları yöneten tek kişi olmamalısınız.

Genel cevap, sunucularınızı güncel tutmak için iyi bir uygulamadır .

Ancak birkaç şeye dikkat edin:

1. Güncelleştirmeler, yükleme sırasında sunucunun yavaşlamasına ve hatta yeniden başlatma gerektirmeleri durumunda bazı kesintilere neden olabilir. Bunları mesai saatleri dışında yapmayı planlamalısınız .

2. Güncellemelerin bazı riskleri vardır . Sunucunuzu kırabilir veya bazı uyumsuzluklara neden olabilirler. Genellikle tamamen kaldırılabilirler, ancak bunlardan 62'si ile güvenilir bir yedeğiniz olup olmadığını da düşünmelisiniz (yine de).

3. Yükseltmelere bir yıl geç kalmanızın bir nedeni var mı? Bu, bir yıl içinde o sunucuya ilk girişiniz mi yoksa başka bir şey bozuk mu?

4. Şirketiniz Excel makroları kullanıyorsa, ancak Office'i çalıştırmaması gereken bir sunucu için geçerli değilse, Office'in bazı Aralık güncellemeleriyle birlikte gelen meşhur Excel hatasına özellikle dikkat edin.

5. Birçok sistem yöneticisi, güncellemeleri yüklemeden önce, yalnızca bu güncellemelerle ilgili İnternet'te kötü bir şey olup olmadığını görmek için birkaç gün veya hafta bekler. Beklemeniz gerekip gerekmediğine karar verirken, sunucuyu daha uzun süre beklemeden bırakmanın güvenlik risklerini göz önünde bulundurun.

Mfinni'nin beni yumruk attığını biliyorum, ama WSUS için + 1'leyeceğim. özellikle:

Test ve üretim dahil olmak üzere birden çok sunucunuz olduğunu varsayalım. Ayrıca, testin üretime benzer bir donanıma sahip olduğunu varsayalım (bu güvenli bir varsayım değil, biliyorum, ama gidelim - güzel ama gerekli değil). WSUS'de aşağıdaki senaryoyu ayarlayabilirsiniz:

1. Sunucuları kendi OU'larında test edin. Grup politikası güncellemeleri yüklediğini ve rahatsız edici olmayan bir zamanda (örneğin sabah 3'te) yeniden başlattığını söylüyor.
2. Farklı bir OU veya OU'daki Prod sunucuları. Grup ilkesi indirip bildirmeyi söylüyor.
3. Düzeltme ekleri onaylandı ve test / geliştirme sunucuları düzeltme eklerini uyguladıktan birkaç gün veya bir hafta sonra, zamanlanmış bakım pencereniz sırasında sunucuları yüklemek ve yeniden başlatmak için son tarih.

Bu açık değilse, sunucularınız için tüm kritik / güvenlik yamalarını onaylar, önce test etmek için uygular ve daha sonra bunları üretime uygular. Bir güncellemenin kritik bir şeyi bir kez kırdığını gördüm, ancak bu, prod için geçerli olmadan önce testte başarısız olursa yamayı geri alma şansı verecektir.

Söz konusu sunucudaki güncellemelerin büyük yığınına gelince, yama, yama yapmamaktan daha düşük bir risktir, ancak çok fazla olduğu için hepsini kullanmadan önce yedeklerimi doğrularım. Bu bir VM ise, önce bir anlık görüntü almak isteyebilirsiniz.

Bu tamamen işletmenize ve sunucularınızı güncellemek için belirlediğiniz politikaya bağlıdır.

En azından üretim sunucularını güncellemeden önce, güvenlik güncelleştirmelerini yüklemeli ve .NET framework güncelleştirmeleri gibi diğer düzeltme eklerini bir test ortamında gerçekleştirmelisiniz.