Aktualisiert: 05. Mai 2004
Auf dieser Seite
.gif)
Zielsetzung
Betrifft
Verwendung dieses Moduls
Zusammenfassung
Erforderliche Kenntnisse
Vorbereitung:
Erkennen
Beurteilen
Beschaffen
Testen
Bereitstellen
Warten
Weitere Überlegungen
Weitere Informationen
Zielsetzung
-
Themenbereiche:
-
Patchverwaltungsprozesse: Erkennen, Beurteilen, Beschaffen, Testen, Bereitstellen und Warten.
-
Die Rolle von Microsoft Baseline Security Analyzer (MBSA), Microsoft Software Update Services (SUS) und Microsoft Systems Management Server (SMS) im Patchverwaltungszyklus
-
Implementieren einer Patchverwaltungslösung in Ihrem Unternehmen
-
Registrierung für Sicherheitsbenachrichtigungen über die von Microsoft veröffentlichten Security Bulletins
-
Automatisierung von Patchverwaltungsprozessen
Betrifft
Die Informationen in diesem Modul gelten für folgende Produkte und Technologien:
-
Microsoft Windows® 2000 Server
-
Microsoft Baseline Security Analyzer (MBSA)
-
Microsoft Software Update Services (SUS)
-
Microsoft Systems Management Server (SMS)
Verwendung dieses Moduls
Mithilfe dieses Moduls können Sie einen Patchverwaltungsprozess entwickeln und automatisieren. Ein Patchverwaltungsprozess setzt sich aus folgenden Teilprozessen zusammen:
-
Erkennen: Mithilfe von entsprechenden Tools können Sie Ihre Systeme auf fehlende Sicherheitspatches durchsuchen. Der Erkennungsprozess muss automatisiert werden und den Patchverwaltungsprozess auslösen.
-
Beurteilen: Wenn die erforderlichen Updates nicht installiert sind, bestimmen Sie die Brisanz der Probleme, zu deren Lösung der Patch gedacht ist, und die verbeugenden Faktoren, die sich möglicherweise auf Ihre Entscheidung auswirken. Durch den Vergleich des Problems mit den vorbeugenden Faktoren finden Sie heraus, ob die Sicherheitsrisiken eine Bedrohung für Ihre derzeitige Umgebung darstellen.
-
Beschaffen: Erfassen die vorhandenen Sicherheitsmaßnahmen das Sicherheitsrisiko nicht, laden Sie zum Testen den Patch herunter.
-
Testen: Installieren Sie den Patch in einem Testsystem, um die Auswirkungen des Updates auf Ihre Produktionskonfiguration zu prüfen.
-
Bereitstellen: Stellen Sie den Patch für Produktionscomputer bereit. Stellen Sie sicher, dass keine negativen Auswirkungen auf Ihre Anwendungen vorliegen. Implementieren Sie bei Bedarf Ihren Rollback- oder Sicherungsreaktionsplan.
-
Verwalten: Abonnieren Sie Benachrichtigungen über Warnhinweise zu neu entdeckten Sicherheitslücken und beginnen Sie erneut mit dem Patchverwaltungsprozess.
Bevor Sie beginnen, benötigen Sie die im Abschnitt "Vorbereitung" dieses Moduls beschriebenen Tools.
Zusammenfassung
Bei der Patchverwaltung handelt es sich um die Aktualisierung Ihrer Server mit den neuesten Sicherheitspatches und Service Packs.
In diesem Modul wird eine Verfahrenssammlung und ein Framework zur Patchverwaltung vorgestellt. Sie lernen, wie Sie einzelne oder mehrere Server auf dem neuesten Stand halten. Sie benötigen keine weitere Software, abgesehen von den von Microsoft zum Download bereitgestellten Tools. In Ihren Geschäftsbetrieb und Ihre Sicherheitsrichtlinie sollte ein Patchverwaltungsprozess integriert werden. In diesem Modul werden die erforderlichen Prozesse zum Erstellen eines fehlerfreien Patchverwaltungssystems definiert. Der Patchverwaltungsprozess kann mithilfe der Anleitungen in diesem Modul automatisiert werden.
Erforderliche Kenntnisse
Bevor Sie diesen Abschnitt durcharbeiten, sollten Sie sich mit folgenden Problemen und Vorüberlegungen beschäftigen.
Der Patchverwaltungsprozess
Die Patchverwaltung ist ein Umlaufprozess, der ständig ausgeführt werden muss. In der Realität müssen Sie leider oft nach dem Anwenden eines Patches bereits am nächsten Tag eine neue Sicherheitslücke schließen.
Entwickeln und automatisieren Sie einen Patchverwaltungsprozess mit folgenden Schritten:
-
Erkennen. Mithilfe von entsprechenden Tools können Sie Ihre Systeme auf fehlende Sicherheitspatches durchsuchen. Der Erkennungsprozess muss automatisiert werden und den Patchverwaltungsprozess auslösen.
-
Beurteilen. Wenn die erforderlichen Updates nicht installiert sind, bestimmen Sie den Schweregrad der Probleme, zu deren Lösung der Patch gedacht ist, und die vorbeugenden Faktoren, die sich möglicherweise auf Ihre Entscheidung auswirken. Durch den Vergleich des Problems mit den vorbeugenden Faktoren finden Sie heraus, ob die Sicherheitsrisiken eine Bedrohung für Ihre derzeitige Umgebung darstellen.
-
Beschaffen. Erfassen die vorhandenen Sicherheitsmaßnahmen das Sicherheitsrisiko nicht, laden Sie zum Testen den Patch herunter.
-
Testen. Installieren Sie den Patch in einem Testsystem, um die Auswirkungen des Updates auf Ihre Produktionskonfiguration zu prüfen.
-
Bereitstellen. Stellen Sie den Patch für Produktionscomputer bereit. Stellen Sie sicher, dass keine negativen Auswirkungen auf Ihre Anwendungen vorliegen. Implementieren Sie bei Bedarf Ihren Rollback- oder Wiederherstellungsplan.
-
Verwalten. Abonnieren Sie Benachrichtigungen, über Warnhinweise zu neu entdeckten Sicherheitslücken, und beginnen Sie erneut mit dem Patchverwaltungsprozess.
Die Rolle von MBSA in der Patchverwaltung
Das Tool Microsoft Baseline Security Analyzer (MBSA) wurde für zwei Aufgaben konzipiert: Erstens zum Durchsuchen eines Computers auf ungeschützte Konfigurationen und zweitens zum Feststellen der Verfügbarkeit von Sicherheitsupdates, die von Microsoft herausgegeben wurden.
In diesem Abschnitt wird MBSA eingesetzt, ohne nach angreifbaren Konfigurationen zu suchen. Bei Verwendung der grafischen Benutzeroberfläche (GUI) legen Sie dies fest, indem Sie von den in Abbildung 1 dargestellten Optionen nur die Option Auf Sicherheitsupdates überprüfen aktivieren.
.jpg)
Abbildung 1
MBSA-Überprüfungsoptionen
Bei Verwendung der Befehlszeilenoberfläche (Mbsacli.exe) können Sie mit dem folgenden Befehl nach fehlenden Sicherheitsupdates suchen.
Mbsacli.exe /n OS+IIS+SQL+PASSWORD
Über die Option /n werden die zu überspringenden Prüfpunkte festgelegt. Durch die Auswahl von OS+IIS+SQL+PASSWORD wird die Überprüfung auf Sicherheitslücken und schwache Kennwörter übersprungen.
Weitere Informationen über die Verwendung von MBSA und das Durchsuchen der Sicherheitskonfigurationen finden Sie unter "Verwenden von MBSA" im entsprechenden Abschnitt dieser Anleitung.
Sicherungen und Patchverwaltung
Vor dem Implementieren eines Updates auf Produktionsservern müssen Sie eine Sicherung ausführen. Testen Sie Sicherungen sowie Ihren Sicherungsvorgang regelmäßig. Wenn Sie erst bei der Wiederherstellung bemerken, dass Ihr Sicherungsvorgang nicht funktioniert, kann dies verheerende Folgen haben.
Vorbereitung:
In diesem Abschnitt finden Sie Informationen über Downloads und Dokumentationen, die Sie vor dem Bearbeiten der einzelnen Schritte dieser Anweisung benötigen.
Benötigte Tools
Sie benötigen die folgenden Tools, um die einzelnen Schritte dieser Anweisung auszuführen:
Erkennen
Mit MBSA können Sie feststellen, welche Sicherheitspatches für Microsoft Windows NT® 4.0, Windows 2000 und Windows XP fehlen. MBSA kann in zwei Modi verwendet werden: grafische Benutzeroberfläche (GUI) und Befehlszeile. Beide Modi dienen zum Durchsuchen einzelner oder mehrerer Computer. Mithilfe eines Skriptes kann die Befehlszeile nach einem Zeitplan ausgeführt werden.
Hinweis: Das zum Ausführen von MBSA verwendete Anmeldekonto muss auf den Zielcomputern Mitglied der Administratorgruppe sein. Zum Überprüfen der ordnungsgemäßen Zugriffsrechte und Berechtigungen verwenden Sie den Befehl net use \\computername\c$. Dabei bezieht sich "computername" auf den Netzwerknamen des Computers, den Sie auf fehlende Patches durchsuchen. Beseitigen Sie alle Probleme hinsichtlich des Zugriffs auf die administrative Freigabe, bevor Sie mit MBSA den Remotecomputer durchsuchen.
Wie bereits erläutert, besteht der Vorteil der Befehlszeilenmethode darin, dass sie ein Skript verwendet und nach einem Zeitplan ausführt. Welche Planung Sie wählen, ist von Ihrer Sicherheitsrichtlinie und dem Grad der Bedrohung Ihres Systems von außen abhängig.
Erläuterungen zur MBSA-Ausgabe
Das folgende Beispiel wurde unter Verwendung von MBSA Version 1.1 durchgeführt.
.jpg)
Abbildung 2
Screenshots der Berichtsdaten für einen durchsuchten Computer
Der in Abbildung 1 gezeigte oberste Teil des MBSA-Screenshots ist ohne Erläuterung zu verstehen.
Durch rote Kreuze wird angezeigt, dass ein schwerwiegendes Problem gefunden wurde. Zum Anzeigen der Liste mit den fehlenden Patches klicken Sie auf den zugehörigen Link für die Ergebnisdetails.
Die Suche nach Sicherheitsupdates kann zwei Problemtypen zutage bringen:
Für beide Typen werden Links zu den relevanten Hotfix- und Security Bulletinseiten angezeigt, die Informationen über den Patch sowie Downloadanleitungen bereitstellen.
Fehlende Patches werden durch ein rotes Kreuz angezeigt. In Abbildung 3 sehen Sie ein Beispiel.
.jpg)
Abbildung 3
Anzeige fehlender Patches
Durch ein blaues Sternchen wird angezeigt, dass ein Patch nicht bestätigt werden kann. Dieser Fall tritt ein, wenn Ihr System über eine Datei verfügt, die aktueller ist als die Datei des Security Bulletins. Dies kann vorkommen, wenn Sie eine neue Version eines Produkts installieren und dadurch eine gemeinsam verwendete Datei aktualisiert wird.
.jpg)
Abbildung 4
Angabe von Patches, die nicht bestätigt werden können
Falls es Updates gibt, die nicht bestätigt werden können, überprüfen Sie die Informationen im Bulletin und folgen Sie den Anweisungen. Darunter können das Patchinstallationen oder Konfigurationsänderungen fallen. Weitere Informationen zu Patches, die nicht von MBSA überprüft werden können, finden Sie im Microsoft Knowledge Base-Artikel 306460, "HFNetChk Returns Note Messages for Installed Patches".
Beurteilen
Anhand der Liste mit den durch MBSA festgestellten fehlenden Patches müssen Sie abschätzen, ob die Sicherheitslücken ein erhebliches Risiko darstellen. Security Bulletins von Microsoft enthalten technische Informationen, anhand derer Sie den Grad der Bedrohung bestimmen können, die die Sicherheitslücke für Ihre Systeme darstellt.
Mithilfe der folgenden Security Bulletins können Sie das Risiko eines Angriffs abschätzen:
-
Technische Informationen zu Anforderungen, die ein Angreifer benötigt, um die vom Bulletin aufgezeigte Sicherheitslücke auszunutzen. Beispielsweise kann für einen Angriff ein physischer Zugriff erforderlich sein, oder der Benutzer muss einen schädlichen E-Mail-Anhang öffnen.
-
Abschwächungsfaktoren, die Sie gegen Ihre Sicherheitsrichtlinie abwägen müssen, um herauszufinden, inwieweit Sie der Sicherheitslücke ausgesetzt sind. Es kann sein, dass aufgrund Ihrer Sicherheitsrichtlinie die Anwendung eines Patches nicht zwingend notwendig ist. Wenn der Indexdienst beispielsweise auf Ihrem Server nicht ausgeführt wird, müssen Sie keine Patches installieren, um gegen Sicherheitslücken in diesem Dienst vorzugehen.
-
Einschätzen der Gefahren zur Festlegung von Prioritäten. Einschätzungen zum Schweregrad beruhen auf mehreren Faktoren, darunter auf der Rolle der Computer, deren Sicherheit gefährdet sein kann, sowie dem Grad, zu dem diese der Sicherheitslücke ausgesetzt sind.
Weitere Informationen über das System der Risikoeinschätzung, das in den Security Bulletins zur Anwendung kommt, finden Sie im TechNet-Artikel "Microsoft Security Response Center Security Bulletin Severity Rating System" (in englischer Sprache) unter http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/policy/rating.asp
Hinweis: Wenn Sie ein betroffenes Produkt verwenden, müssen Sie Patches, die gegen Sicherheitslücken mit den Attributen kritisch oder wichtig gerichtet sind, fast immer anwenden. Als kritisch bewertete Patches sollten Sie so bald als möglich installieren.
Beschaffen
Um Patches zu erhalten, gibt es folgende Möglichkeiten:
-
Verwenden von MBSA-Berichtsdetails. In MBSA gibt es Links zu Security Bulletins, die die Patches oder Anweisungen zum Beschaffen der Patches enthält. Über den Link können Sie den Patch herunterladen und in Ihrem lokalen Netzwerk speichern. Danach können Sie den Patch auf mehrere Computer anwenden.
-
Windows Update. Halten Sie eine Liste der zu installierenden Updates bereit und geben Sie auf dem Server, auf dem der Patch benötigt wird, die Adresse http://windowsupdate.microsoft.com ein. Wählen Sie dann die erforderlichen Updates für die Installation. Die Updates werden von der Website aus installiert, können aber nicht heruntergeladen werden, um sie auf einem anderen Computer zu installieren. Für das Windows Update ist die Installation eines ActiveX-Steuerelements auf dem Server erforderlich. (Sie werden beim Besuch der Website dazu aufgefordert, wenn das Steuerelement nicht gefunden wird.) Diese Methode eignet sich hervorragend für eigenständige Arbeitsstationen oder wenn nur eine geringe Anzahl von Servern beteiligt ist.
-
HotFix - Security Bulletin-Suche. MBSA enthält die Microsoft Knowledge Base-Artikel-ID des Artikels für das entsprechende Security Bulletin. Mithilfe der Artikel-ID können Sie auf der HotFix- und Security Bulletin-Website das zutreffende Security Bulletin finden. Die Suchseite befindet sich unter Microsoft Security Bulletin Search. Das Bulletin enthält die Daten für die Beschaffung des Patches.
Testen
Wenn Sie nach der Einschätzung zu dem Ergebnis kommen, dass ein Patch installiert werden muss, müssen Sie diesen Patch auf Ihrem System testen. Damit soll gewährleistet werden, dass keine Unterbrechungen auftreten. Sind diese zu erwarten, erfahren Sie, wie Sie die Unterbrechungen umgehen.
Methoden zum Testen von Sicherheitspatches
Es gibt folgende Methoden zum Testen der Installation von Sicherheitspatches in Ihren Systemen:
-
Testen von Sicherheitspatches durch eine Testspiegelung Ihrer aktuellen Serverkonfiguration und Ihres Szenarios. Mit dieser Methode können Sie einerseits die Installation offline und ohne Dienstunterbrechung testen. Andererseits können Sie Problemumgehungen testen, wenn Unterbrechungen auftreten - gleichfalls ohne Dienstunterbrechung.
-
Testen des Patches in ein paar ausgewählten Produktionssystemen vor dem vollständigen Implementieren des Updates. Wenn kein Testnetzwerk verfügbar ist, das mit Ihrer aktuellen Konfiguration übereinstimmt, ist dies die sicherste Methode zum Testen des Sicherheitspatches. Wenn Sie diese Methode anwenden, müssen Sie vor der Installation des Updates eine Sicherung ausführen.
Überprüfen der Installation eines Patches
Bevor Sie einen Patch auf Produktionsserver anwenden, müssen Sie prüfen, ob der getestete Patch die erwarteten Änderungen auf den Testservern vollzogen hat. Jedes Security Bulletin enthält die erforderlichen Informationen zur Bestätigung, dass der Patch installiert wurde. In den einzelnen Bulletins ist im Abschnitt Zusätzliche Informationen über diesen Patch der Eintrag Überprüfen der Patchinstallation enthalten. Dort finden Sie Registrierungswerte, Dateiversionen oder ähnliche Konfigurationsänderungen, über die Sie prüfen können, ob der Patch installiert ist.
Deinstallieren eines Sicherheitspatches
Verwenden Sie zum Deinstallieren eines Patches die Option Software in der Systemsteuerung. Wenn es für den Patch keine Deinstallationsroutine gibt und bei seiner Installation Unterbrechungen auftreten, müssen Sie Ihr System über eine Sicherung wiederherstellen. Stellen Sie sicher, dass beim Testprozess immer auch die Deinstallationsroutine des Patches eingeschlossen ist.
Im Security Bulletin wird die Verfügbarkeit einer Deinstallationsroutine im Abschnitt Weitere Informationen über diesen Patch aufgeführt.
Bereitstellen
Wenn Sie herausgefunden haben, dass die Installation des Patches sicher ist, müssen Sie das Update zuverlässig und effizient auf Ihren Produktionsservern implementieren. Sie verfügen über eine Reihe von Möglichkeiten zum Implementieren von Patches im gesamten Unternehmen. Hierzu zählen:
Verwenden von Software Update Services (SUS)
SUS bieten eine Möglichkeit zum automatischen Implementieren von wichtigen Updates und Sicherheits-Rollups auf Computern im gesamten Netzwerk, ohne dass Sie die einzelnen Computer persönlich aufsuchen oder ein Skript schreiben müssen. Weitere Informationen über die Verwendung von SUS finden Sie unter "Software Update Services, Part 1" (in englischer Sprache) unter:
Microsoft Software Update Services: Frequently Asked Questions.
Verwenden von Systems Management Server (SMS)
SMS ist ein Tool für die Konfigurations- und Änderungsverwaltung für Windows-Betriebssysteme für Server und Arbeitsstationen von Microsoft.
Warten
Zum Patchverwaltungszyklus gehört auch, dass Sie Ihre Server mithilfe der neuesten Patches auf den aktuellen Stand bringen. Der Patchverwaltungszyklus beginnt erneut, wenn Sie erfahren, dass neue Sicherheitslücken gefunden wurden und fehlende Sicherheitsupdates verfügbar sind.
Um Ihre Server mit den aktuellen Sicherheitspatches auf dem neuesten Stand zu halten, müssen Sie diesen gesamten Zyklus ausführen. Um den Zyklus erneut zu beginnen, gehen Sie wie folgt vor:
Durchführen von Sicherheitsbewertungen
Prüfen Sie mithilfe von MBSA regelmäßig auf Sicherheitslücken und stellen Sie fehlende Patches und Updates fest. Planen Sie so, dass MBSA täglich ausgeführt wird, und analysieren Sie die Ergebnisse, um entsprechende Maßnahmen ergreifen zu können. Weitere Informationen zum Automatisieren von MBSA finden Sie unter " Verwenden von MBSA" im entsprechenden Abschnitt in dieses Handbuchs.
Verwenden von Sicherheitsbenachrichtigungsdiensten
Registrieren Sie sich, um Benachrichtigungen über von Microsoft veröffentlichte Security Bulletins zu erhalten. Verwenden Sie die folgenden Dienste:
Weitere Überlegungen
Wenn Sie auf einem vorhandenen Server einen neuen Dienst online schalten, führen Sie MBSA aus, um zu prüfen, ob die Patches für den Dienst angewendet wurden, bevor Sie den Server und den Dienst für das Netzwerk freigeben. Trennen Sie beispielsweise das Netzwerkkabel oder wenden Sie Netzwerkregeln an, die die Ports der neu hinzugefügten Dienste blockieren.
Weitere Informationen
Weitere Informationen zu diesen Themen finden Sie in den folgenden Quellen: