パッチ管理:定義とその理由
すべてのソフトウェアは、欠陥のある船舶、およびベンダーは、それらを継続的に修正をリリースします。 利用可能なパッチとインストール中のギャップは、攻撃者が動作するウィンドウです。パッチが既に存在する脆弱性を悪用します。 パッチ管理は、個々のマシンの更新を自分で望んでいる代わりに、そのウィンドウを体系的に閉じる規準です。
それは等しい部分の保安制御および操作上のプロセスです:あなたが露出したunmanagedのパッチを当てる葉が、制御されていないパッチ適用(あらゆる場所で、すぐに)ビジネス適用を壊します。 クラフトはバランスにあります。
パッチ管理の仕組み:パッチライフサイクル
成熟したパッチ・プロセスは連続的な周期として動きます:
1。 Discover — 車両内のあらゆるデバイス、OS、およびアプリケーションの正確な在庫を維持します。 どうしてもパッチが固形IT資産管理に依存しているのかをパッチ化できません。 2。 Assess — ベンダーのカタログや脆弱性データベースからフリートをスキャンして、どのパッチがどこにあるかを判断します。 3。 Prioritize — リリース日だけでなく、リスクによって欠落しているパッチをランク付け(CVE-driven優先順位付けを参照)。 4。 Test — 代表的、低リスクのマシンのパイロットリングにデプロイし、回帰を監視します。 5。 Deploy —承認された維持の窓の間に波で転がり、staggeredスケジューリングおよびrebootの処理を用いる。 6。 確認と報告 — インストールが成功していることを確認します, 再試行の失敗, コンプライアンスの証拠を生成する.
サイクルを繰り返す — OS のアップデートが最小限に毎月、重要なセキュリティ修正のために継続的に行われます。
OS のパッチとサードパーティのパッチ
オペレーティング・システムの更新(Windows Update、macOS、Linuxディストリビューション)は、問題の半分目に見えるものであり、ネイティブ・ツールは、隔離で適切に処理されます。 無視されたハーフはサードパーティのアプリケーション — ブラウザ、PDFリーダー、通信ツール、Javaなどのランタイム、およびビジネスソフトウェアの長いテールです。 これらの更新は、独自のスケジュールで、独自のメカニズムを介して、任意のエンドポイントで最も一般的に悪用されたソフトウェアの中にあります。
パッチ管理プラットフォームは、OS andのアプリケーションレイヤーをカバーする1つのカタログ、ポリシーエンジン、1つのレポートの両方を正規化します。 ツールを評価する場合、サードパーティのカタログの深さは、多くの場合、実際の差別化要因です。OSのパッチはテーブルスタッキングです。
#CVE主導優先順位付け
すべてのパッチが等しいわけではありません。 脆弱性は、CVE(Common Vulnerabilities and Exposures)とSeverityのスコアでカタログ化され、実際の搾取の圧倒的な大半のアカウントのほんのわずかな割合です。 したがって、現代のパッチ管理はリスク主導です。
-**既知のCVEに対してソフトウェアの在庫を一致して、環境に実際に脆弱性が存在するかを確認します。 -重度、既知の有効活用、および資産の暴露によるPrioritize — 重要なインターネット・フェース・サーバーで、積極的にCVEを悪用し、すべてのキューをジャンプします。
- 防衛 緊急事態としてすべてを処理するのではなく、通常のメンテナンスサイクルへの低リスクパッチ。
これは、カレンダー主導のchoreから測定可能な脆弱性還元プログラムへのパッチを変換し、それは「ニュースでこのCVEに暴露されているか」に対する防御可能な答えを与えますか?
パッチウィンドウと展開リング
パッチは破壊的です。リソースを消費し、頻繁に再起動する必要があります。 パッチウィンドウには、その混乱が含まれています。
-メンテナンスウィンドウは、whenデバイスがパッチと再起動(例、平日、週末)を定義し、営業時間とタイムゾーンを尊重します。 -Deployment Rings は、in what order を定義します。 パイロットマシンは、最初に、より広い波、そして、敏感なシステムが最後に、リング間の承認ゲートを持ちます。
- 防衛およびユーザーインタラクションポリシーは、エンドユーザーが自分のマシンの再起動タイミングをはるかに制御する方法を決定します。
サーバは余計な注意に値します:クラスター、プレパッチおよびポスト パッチの健康チェック、およびロールバックの不利なパッチのための計画内の驚くべき再起動。
コンプライアンス報告
レギュレータ、サイバー保険会社、およびセキュリティフレームワークはすべて同じ質問のバージョンを尋ねます: *あなたは、あなたのシステムが定義された時間枠内でパッチ適用されていることを証明することができますか?*パッチコンプライアンスレポートは、証拠とそれに答えます:デバイスパッチのステータス、ポリシーターゲットに対するタイムツーパッチメトリック、正当化と例外リスト、および歴史的トレンド。 そのレポートを作成すると、マニュアルスプレッドシートの作業日がかかる場合、プロセスは単なるレポートではなく、自動化が必要です。
自動化:政策と現実の違い
マニュアルパッチングは、いくつかのダースマシンを過ぎません。 オートメーションは、書かれたパッチポリシーを一貫した現実に変えるものです。
- 自動スキャンとデプロイメントは、機械による介入なしに、スケジュール上。 -Policyベースのターゲティング — 「7日以内に重要なセキュリティアップデート、他のすべての月」のようなルールは、フリート全体に適用されます。
- 自動retriesおよび失敗のエスカレーション従って無声に蓄積の代りに例外として表面を取付けません失敗しました。 -パッチウィンドウの間に閉じられたノートパソコンのWake-upとオフライン処理。
オートメーションは、リモート監視と管理と同じエージェントインフラストラクチャを介して配信されます。 RMMエージェントは、既にインストールされているものを知っているし、インストールを実行することができます。これは、パッチとRMMが単一のプラットフォームに収斂している理由です。 パッチの承認もITSM変更管理:標準パッチは事前承認された変更であり、影響力の高いサーバーパッチは変更レコードを通過する可能性があります。
パッチ管理ソリューションを選択する方法
1。 サードパーティのカタログの深さ — OSを超えて何のアプリケーションがカバーされ、どのように迅速に新しいバージョンが表示されるか。 2。 CVE Intelligence — 脆弱性のマッチングとリスクベースの優先順位付けだけでなく、「すべてをインストール」。 3。 スケジューリングの柔軟性 — ウィンドウ、リング、タイムゾーン、リブート制御、エンドユーザのデフェラルオプション。 4。 Reporting — 監査対応の証拠を箱から取り出します。 5。 プラットフォームインテグレーション — エンドポイント管理プラットフォームに組み込まれたパッチは、独立したエージェントでスタンドアローンツールを打つ。
お問い合わせ
Moniticがパッチ管理を行う方法を見る → Moniticパッチ管理
お問い合わせ
##よくある質問
###パッチの適用頻度は?
積極的に悪用された脆弱性を悪用するための重要なセキュリティパッチは、通常は数日間、テストとして高速にデプロイする必要があります。 ルーチンの更新は、一般的にベンダーリリーススケジュールに整列された月間サイクルに従います。 正しい答えは、重度の異なるタイムラインを持つ書かれたポリシーで、自動的に強制されます。
##パッチ管理と脆弱性管理の違いは何ですか?
脆弱性管理は、不正設定や欠損制御を含む、すべてのセキュリティの弱点を見つけることと削減の広範な規準です。 パッチ管理は、その最大の単一是正チャネルです: 実際にそれらの発見のソフトウェア欠陥部分を修正するプロセス。
デプロイ前にパッチをテストする必要がありますか?
はい。リスクに比例してあります。 代表的な機械のパイロットリングは、艦隊を大幅に遅延することなく、ほとんどの回帰をキャッチします。 長い手動テストの背後にあるすべてのパッチをブロックすると、通常は保存よりもはるかに(露出)かかります。
パッチ管理はサードパーティのアプリケーションをカバーしていますか?
ネイティブOSツールは、一般的には、正確にギャップ専用のパッチ管理プラットフォームが充填されていない。 ブラウザ、ランタイム、および生産性ツールは、任意のフリートの中で最も悪用されているソフトウェアの中で、同じ自動ライフサイクルをOSとして必要です。