被忽视的补丁管理难题
文章同时发表在： [url]http://media.ccidnet.com/art/2615/20080403/1410251_1.html[/url]
随着互联网的逐步普及和技术的不断发展，黑客和恶意攻击者的技术水平也快速提高。一个IT系统的漏洞从被发现到攻击代码实现，再到蠕虫病毒产生，几年前可能需要几个月甚至半年多，而现在几周甚至一天就可以完成。在微软发布MS04-011公告时，NGS的David在看到公告的8分钟后写出了攻击代码。因此及时、有效的补丁管理对企业信息系统的正常、稳定运行至关重要。
尽管越来越多的企业已经认识到及时打好补丁的重要性，但面对日益增多的补丁，某些企业及其员工在部署补丁管理的过程中往往容易陷入种种误区；尽管有些企业已经安装补丁分发工具，但是由于缺乏有效的补丁管理的保障机制和技术手段，它们仍然无法控制IT架构内的服务器和客户端的补丁情况，而且无法预料升级补丁对IT系统带来的风险是什么。
三大误区
现在，越来越多的企业已经认识到及时打好补丁的重要性。但是，由于某些企业缺乏有效的制度保障和补丁管理的实施流程，而且企业信息化系统的多样性导致补丁的种类和数量繁多，致使它们在实施补丁管理的时候往往容易走向极端，陷入种种误区。
误区１：打补丁就找网管
对于一些网络管理员来说，多而繁的补丁程序，已经成为他们的工作负担。也许有人认为打补丁并不是一件难度很大的事情，登录相关网站，按几次确认键就很容易完成了。但是，对管理员来说，每一次发布新的补丁，就需要登录相关网站，确定一下补丁的类别与等级；每打一次补丁，就得加一次班，监督安装、确认、检查。有时候，即便打了补丁，也有可能被攻击。
此外，如果企业想要改变系统配置，就得重新安装补丁。现如今，打补丁似乎已经喧宾夺主，成为大部分系统管理员最重要的日常工作。
而事实上，安全问题是关乎企业所有员工的事情，如果一个员工的电脑出现安全问题，很可能将导致整个企业的IT系统瘫痪。企业全体员工的补丁管理意识很重要，这种意识代表的是公司从上到下对系统安全问题的重视，同时也意味着良好的安全习惯。
误区２：补丁无须测试
企业对所打补丁通常不进行测试，照单全收。这种对待补丁管理的宁多勿缺的态度，通常会产生两个问题：一个是无谓的部署补丁会消耗大量的资源，另一个是部署补丁后反而引发新的问题。第一个问题很好解决，企业只要将补丁管理的机械式的重复行动抽出来自动化就可以了，代价是需要一套自动化的补丁部署工具。第二个问题就很麻烦，因为安装的补丁很有可能导致企业现有业务系统的不稳定或效率下降。由于厂商资源的局限性，厂商在发布补丁程序前不可能针对业务系统所有的应用环境都进行过针对性测试，因此难免会遇到新安装的补丁程序与现有系统中的某些应用软件之间产生冲突的问题。
此外，新安装的补丁程序可能会修改业务系统中的一些参数，从而导致企业面临法规遵从风险。例如，某项规定要求关闭企业业务系统的文件共享功能，但在升级补丁程序后，可能重新开启了该功能，这就给企业留下了严重的法律法规遵从风险。
误区３：打了补丁就安全
尽管补丁管理是ＩＴ系统安全策略的一个重要方面，但是补丁管理并非唯一途径。对于企业而言，在一个选定的计算机群组中进行的补丁管理和更新往往将ＩＴ员工的注意力从保护企业ＩＴ 系统的整体安全转移到单纯依靠补丁上来。而且补丁更新对于那种野蛮攻击（通过发送大量的访问请求的攻击方式，使企业的ＩＴ系统对其他请求无法做出响应）是无能为力的。
对于大多数野蛮攻击来说，企业必须为几乎所有的计算机更新补丁程序才能够避免较为严重的后果。大多数通过更新补丁来防范风险的做法往往要求覆盖到几乎８０％的计算机系统，这个比例几乎相当于对大多数野蛮攻击，不作任何补丁更新的时候，该攻击所能够波及的计算机系统。
因此，企业应该重新考虑单靠打补丁来确保ＩＴ系统安全的问题。对于使用协同控制的安全方法就已经防范到的漏洞来说，企业完全没有必要更新那些本来不需要的补丁，从而避免因部署补丁所带来的资源浪费和未知的风险。
如果企业没有详细的补丁升级流程，无论其采用的补丁分发工具多么先进，还是会给企业的ＩＴ系统带来麻烦。
四个典型问题
梁林
对很多企业来说，它们所面临的最大问题并不是所部署的自动化补丁程序分发方案本身，而目前市场上能够找到的自动化补丁程序分发方案，也大都能够比较好地执行补丁程序的下载、排序和分发工作。它们面临的最大问题是它们往往没有一个详细制定的补丁升级流程，也无法获知部署补丁分发方案能够给企业带来多少投资回报。补丁升级流程的缺失引发了很多问题。
问题１：补丁方案冗余低效
这是绝大部分企业都面临的问题。企业的IT架构中往往存在大量来自不同厂商的业务系统和软件产品。此外，不断发展的业务和外部法律法规要求不断部署新的解决方案。面对这些来自不同厂商的业务系统，企业通常同时采用多套补丁分发方案。
例如：在一个中等规模的制造业企业中，部署了以Red Hat Linux为操作系统的多台应用服务器，这些服务器上又运行着基于Java技术的ERP系统，企业内部网络的构建采用了Microsoft的活动目录和Windows操作系统，还在设计部门的客户端上部署了一套网络版的CAD软件，同时，该企业内部网络中的所有基于Windows的系统都安装了网络版的Symantec防病毒软件。因此，为了尽可能及时有效地将补丁程序分发到这些主要的业务系统上，企业的IT部门就需要制定多套补丁升级方案：Red Hat Linux服务器使用Red Hat提供的RHN补丁升级服务，ERP系统采取厂商现场维护的方法进行补丁升级，设计部门客户端上的CAD系统则采取下载补丁离线升级的方式。企业的IT部门还在内部网络中专门架设了一台Microsoft WSUS服务器来提供所有Windows 系统的补丁分发任务，同时，内部网络中还运行一台Symantec防病毒的管理及升级服务器。
上述企业同时使用多套补丁分发方案，尽管能够满足当前的IT环境的补丁升级需求，但多套补丁分发方案往往很难整合到一个统一的企业补丁管理流程中，从而导致企业很难对现有补丁分发方案的效能进行有效提升。随着企业业务的发展和越来越多新系统加入到企业的IT架构中，多套补丁分发方案的使用不单会使企业的IT环境变得更为复杂和难于维护，还会使企业用于IT架构维护和补丁管理的开支不断增加，企业IT部门的负担也越来越重。
如果企业在安全策略的层面上重新制定一个更为全面，操作等级也更高的统一补丁管理策略，多套补丁分发方案并存导致的各种弊端就能尽可能地得到减小和消除。
问题２：补丁记录缺失
企业IT部门用手工或自动化补丁分发工具对业务系统安装补丁程序后，往往没有对是否安装成功进行记录。尽管目前针对Windows操作系统的自动化补丁分发方案大都带有补丁程序安装结果的记录功能，但从整个企业的层次上看，企业IT架构中的大部分业务系统和软件产品的补丁安装记录都处于空白状态，只有少数的关键服务器或软件产品有少量的补丁程序安装记录。
企业的IT部门时常会遇到与下面的案例类似的情况：企业内部网络中已经部署了一套自动化的补丁分发方案Microsoft WSUS，每到Microsoft发布定期或临时性的补丁程序时，该补丁分发方案都会自动地从Microsoft的补丁发布站点上下载补丁，进行分类后向企业内部网络中的相应软件系统推送补丁程序。这个补丁流程从部署好开始，就一直很平稳地执行，没有出过什么大的问题。直到有一天，企业的IT部门接到来自其他各个部门的用户的大量求助电话，内容都是关于自己的系统自动安装最新的补丁之后，出现系统反应缓慢、不断反复重新启动、开机无法登入系统等问题。IT部门花费了大量时间去用户现场进行技术支持，都无法解决用户的问题，最后只能在WSUS服务器上禁用了该补丁的自动分发功能，并在受影响的用户的系统上卸载已升级的补丁程序。事后发现，这是由多个月前某个补丁程序因为软件冲突而安装失败，而现在的补丁程序又需要之前补丁程序的支持，所以现在的补丁程序反复尝试安装之前的补丁程序，最终导致用户的系统停止响应。
显然，如果企业IT部门能够实时地掌握IT架构中系统的补丁程序的安装结果，上述案例中出现的问题是完全可以避免的。
问题３：补丁的实施风险高
企业在使用手工或自动化的补丁分发方案时，往往没有事先对补丁程序与现有的IT架构的兼容性进行过测试，因此，对某些关键系统安装补丁程序往往是一件高风险的行为。
例如，在电子商务企业中，保存用户及交易数据的后台数据库系统是IT架构中最为核心的组成部分，该后台数据库系统的服务延时和停机将对该企业的业务和商业信誉造成严重的损失。如果生产该数据库系统的厂商推出了新的补丁程序，企业的IT部门是否应该立刻对该数据库系统进行升级？这对IT部门来说是一件很难决定的事情――如果立刻进行补丁程序的安装，很有可能遇到软件兼容性问题，导致该数据库系统的服务延时、停机和众多高价值数据丢失；如果不立刻进行补丁程序的安装，或者直接禁用补丁程序的安装，尽管能够保证企业业务的持续进行，但却又有日后被恶意软件或非法用户利用理应由补丁程序修补上的漏洞侵入系统的危险。因此，权衡利弊，企业IT部门往往先安装补丁程序，这就导致企业业务和高价值数据在补丁程序安装过程中面临了很高的风险。
如果企业IT部门在分发和安装补丁程序之前，能够掌握补丁程序和现有IT架构的兼容性情况，那么，在关键的业务系统上安装补丁程序就不是件隐含很高的业务中断和数据丢失风险、又令人望而生畏的任务了。当然，各个企业IT架构的组成以及IT部门的技术能力都各不相同，要求企业都自行架设补丁程序的测试环境是不现实的，但企业也能够采取小规模地在生产环境试用补丁程序、委托第三方机构进行预先测试等变通的方法来评估补丁程序的兼容性，从而对在关键系统上应用新的补丁程序更有把握，并减少和消除新补丁程序对业务和数据造成的威胁。
问题４：没有补丁撤销策略
企业在制定自己的补丁升级策略时，通常更为关注如何快速地获得关键信息系统的补丁程序，如何有效地将补丁程序分发到每一个相关系统中，如何在不中断现有业务和不过多影响用户使用的前提下安装补丁程序。这种补丁升级策略忽视了一个重要的点，即如果补丁程序在安装之后，现有业务系统的服务响应发生延时或中断，企业的IT部门应该如何来解决？
这种情况出现的概率并不小，如在去年初Microsoft推出Windows Server 2003的SP2升级补丁包，有些用户使用之后反映安装SP2之后，部份原来能够流畅执行的业务应用的响应速度大大降低，在某些关键系统上还出现系统频繁重启的现象。如果企业在制定补丁升级策略的时候，没有考虑到补丁程序在使用中出现问题的可能性，如何进行撤销操作，也没有做好相应的准备，将会对企业的业务和高价值数据造成难以估量的损失，收拾这样的烂摊子也将是企业IT部门的噩梦。
企业还必须意识到，补丁程序的撤销策略并非简单地卸载有问题的补丁程序。由于卸载了修补某些漏洞的有问题的补丁程序，相当于在系统中留下了一个恶意软件或非法用户能够利用的严重漏洞。企业要部署对应的安全配置或其他安全软件，来保护系统不受利用这些漏洞的攻击行为的威胁。此外，企业还应该对该补丁程序的安装结果进行详细的文档记录，并在补丁自动分发方案上禁止分发有问题的补丁程序，防止日后不知情的用户或意外的自动安装导致业务中断的情况再一次出现。
补丁管理与系统管理、监控、备份和配置管理一样，对系统安全至关重要。
注：文章为J0ker和中计报编辑李超共同完成，J0ker完成的为第二部分“4个问题”
 |
 |
 |
0人
|
了这篇文章 |
类别： Enterprise┆阅读(
0)┆评论(
0) ┆ 返回博主首页┆ 返回博客首页
上一篇 3月第4周安全回顾 企业IM隐患多 Google助黑客.. 下一篇 基于ITIL的补丁管理
文章评论
[1楼]
[匿名]jack 回复
[匿名]jack 回复
2008-04-07 11:45:40
一味的打补丁 没有选择也是不行的
[2楼]
[匿名]tom.c 回复
[匿名]tom.c 回复
2008-04-08 15:12:43
在更新重大�a丁前�o系�y�浞菔呛苤匾�的�u
有几�N方法���建�a丁的�y��h境呢�t
有几�N方法���建�a丁的�y��h境呢�t
[3楼]
张琦 回复
张琦 回复
2008-04-12 18:10:15
讨论，值得讨论，我测试了很多产品，都说能撤销补丁，但没有哪家撤销成功过，汗
[4楼]
[匿名]呵呵 回复
[匿名]呵呵 回复
2008-04-16 11:12:33
补丁照单全收，在校园网最典型，我在我们学校部署的Microsoft WSUS服务器只要有更新就照单全收，所以下面的学生机器也照单全收，校园网病毒太泛滥、漏洞百出，这也是无奈之举！！
发表评论
- 昵 称：
- 登录 快速注册
- 验证码：
-
点击图片可刷新验证码请点击后输入验证码博客过2级，无需填写验证码
- 内 容：
同时赞一个
每日博报 精彩不止一点
Copyright By 51CTO.COM 版权所有
