„Umarła poprawka! Niech żyje aktualizacja…”

W ciągu ostatnich dwóch dekad departamenty IT zostały przyzwyczajone do regularnej aktualizacji systemów. Producenci oprogramowania najpierw udostępniali poprawki dla pojedynczych podatności bez konkretnych wytycznych. Potem wielu dostawców udostępniało szeroki i stale rosnący wachlarz łatek bezpieczeństwa co miesiąc, w tzw. Patch Days. Działy IT samodzielnie ustalały priorytety ich wdrażania. Poprawki krytyczne były testowane i instalowane, podczas gdy łatki mniej ważne lub poprawki funkcjonalne były często pomijane.

Następnie Microsoft opracował aktualizacje zbiorcze. Owe comiesięczne pakiety aktualizacji zawierają najnowsze poprawki bezpieczeństwa i aktualizacje funkcjonalne, jak również łatki i poprawki z poprzednich zestawów. Takie podejście oszczędza czas, ale pozbawia opcji wyboru lub selektywnej instalacji poszczególnych poprawek.

Ten krótki rys historyczny pokazuje, że wytwórcy oprogramowania ciągle zmieniają sposoby udostępniania poprawek i aktualizacji, przy czym najlepsze z nich uwzględniają typowe metody pracy administratorów IT. Jasne jest również, że większość działów IT przystosowuje swoje praktyki zarządzania aktualizacjami do potrzeb ich firm.

Microsoft dostarcza aktualizacje na różne sposoby, z których każdy ma swoje zalety i wady. Z jednej strony firma udostępnia usługi „Microsoft Update” i „Windows Update”. O ile „Microsoft Update” zawiera aktualizacje dla wszystkich wspieranych produktów Microsoftu (Exchange Server, MSSQL Server, itd.) to w „Windows Update” znajdują się tylko aktualizacje do właściwego systemu operacyjnego.

Z drugiej strony, Microsoft oferuje komponenty oprogramowania poprzez usługę „Windows Server Update Services” (WSUS), które mogą być używane do tworzenia kopii lustrzanych usług online Microsoft we własnej sieci. Oznacza to, że dane niezbędne do przeprowadzenia aktualizacji mogą być dostarczone lokalnie.

Specjaliści IT dysponują szerokim wachlarzem opcji pozyskiwania aktualizacji w zależności od dostępności, wymogów w zakresie pamięci masowej, połączenia internetowego i innych czynników. Kwestii do rozważenia jest dużo i nie ma jednej, właściwej drogi. Najważniejsze, aby wybrany sposób odzwierciedlał konkretne potrzeby firmy.

Aby zapewnić spójną i wydajną dystrybucję aktualizacji do urządzeń w obrębie pierścienia warto zastosować automatyzację, która oszczędza czas i zmniejsza liczbę błędów zwykle związanych z metodami manualnymi. baramundi moduł Update Management oprogramowania baramundi Management Suite w spójny sposób automatyzuje wdrażanie aktualizacji w ramach koncepcji pierścieni z dodatkiem profili aktualizacji.

Umożliwia również wyłączanie z procesu pojedynczych poprawek, jak również całych linii produktowych, a nawet kategorii urządzeń. Dzięki funkcji czarnej listy, ręczna dystrybucja aktualizacji nie jest już potrzebna. Nowe aktualizacje są automatycznie instalowane w fazach, zgodnie z ustalonymi przez dział IT interwałami czasowymi, począwszy od najmniej krytycznego pierścienia.

Należy tu zaznaczyć, że aktualizacje definicji nie są opóźniane przez baramundi Management Suite, ponieważ naruszyłoby to działanie programu Windows Defender Antivirus.

Rzecz jasna zmiany te mają nie tylko wpływ na dystrybucję, ale również bezpośrednio na zasoby. W dowolnym momencie możesz sprawdzić dla każdego punktu końcowego czy brakuje aktualizacji lub czy są opóźnione bądź zablokowane.

Podsumowanie wszystkich właściwych działań na punktach końcowych znajduje się w kroku „Manage Microsoft updates”. Można tam wybrać zarówno inwentaryzację, jak i aktualizację. Inwentaryzacja powinna znajdować się na liście „do zrobienia” regularnie (przynajmniej raz w tygodniu). Dzięki temu znany jest bieżący status aktualizacji punktu końcowego bez instalowania poprawek.

W obu przypadkach możesz wybrać spośród trzech wymienionych wcześniej źródeł (Microsoft Update Online, Windows Update Online oraz WSUS). Zapewnia to największą możliwą elastyczność. Zalecany jest jednak wybór jednego źródła i konsekwentne jego stosowanie. Łączenie źródeł online i offline jest natomiast zdecydowanie odradzane. Dane z WSUS różnią się czasem od danych z innych źródeł online, co prowadzi do niezgodności. Jest to szczególnie problematyczne w odniesieniu do daty wydania i opóźniona wysyłka poprawki nie zadziała.

Do instalacji poprawek służy akcja „Distribute Microsoft updates”. Należy upewnić się, że wybrane jest to samo źródło, które zostało poprzednio wskazane do inwentaryzacji. W wyjątkowych przypadkach możliwe jest wstrzymanie ponownego uruchomienia urządzenia, zwykle wymaganego przy aktualizacjach. Jednakże nie jest to zalecane ze względu na to, że niektóre poprawki mogą nie być prawidłowo rozpoznane aż do momentu następnego uruchomienia. Zwłaszcza aktualizacje systemowe zazwyczaj nie są w pełni zainstalowane do czasu restartu.

Z drugiej strony, końcowa inwentaryzacja jest mocno zalecana. Zapewnia ona, że obecny status aktualizacji jest prawidłowo przesłany do serwera baramundi Management Server i uwzględniony w ewaluacjach.

W następnym kroku można zdefiniować specyfikacje aktualizacji:

• Ręczna konfiguracja: można szczegółowo dostosować wszystkie ustawienia, takie jak klasyfikacja, uwzględnione i wyłączone produkty/poprawki i opóźnienie czasowe.
• Profil aktualizacji: proces aktualizacji bazuje na ustawieniach w profilu aktualizacji przypisanym do urządzenia końcowego. Jeżeli nie został przypisany żaden profil, krok zadania jest przerywany, a urządzenie nie zostanie zaktualizowane.

Stosowanie profili aktualizacji jest wysoce rekomendowane pod kątem spójnej i przewidywalnej strategii aktualizacji. Ręczna konfiguracja jest zalecane wyłącznie w indywidualnych przypadkach lub na potrzeby testów.

Profile aktualizacji służą nie tylko do wydawania/blokowania i opóźniania aktualizacji. Można ich używać również do oceny statusu aktualizacji, np. czy punkt końcowy spełnia wymagania profilu aktualizacji, czy wszystkie punkty końcowe przypisane do profilu aktualizacji są zgodne lub czy zachodzi potrzeba podjęcia działania.

Wyświetlanie statusu aktualizacji punktów końcowych według przynależności do grupy ułatwia ocenę zarówno poszczególnych grup (np. działów) jak i oddziałów (np. lokalizacji). Już na pierwszy rzut oka można zobaczyć czy urządzenia spełniają wymagania profilu aktualizacji, czy i ile aktualizacji brakuje oraz kiedy były ostatnio inwentaryzowane lub aktualizowane. Możliwe jest także filtrowanie według statusu i aktualizacji profilu.