V menší firmě má aktualizace na starosti často jeden správce nebo externí dodavatel. Mezi další prací se snadno stane, že se aktualizuje nárazově. Windows se možná aktualizují samy, ale prohlížeče, čtečky PDF, klienti VPN nebo firmware routeru už tolik pozornosti nedostanou. Cílem není dokonalost, ale předvídatelný rytmus.
Americký institut NIST v publikaci SP 800-40 Rev. 4 popisuje patch management jako preventivní údržbu technologií. Tento pohled pomáhá. Aktualizace nejsou mimořádná akce, ale běžná součást provozu. Pravidelnost navíc usnadňuje komunikaci. Uživatelé vědí, kdy počítat s restartem, a vedení vidí, že proces funguje.
Začněte inventářem
Nemůžete aktualizovat to, o čem nevíte. Prvním krokem je přehled zařízení a softwaru. Nemusí být dokonalý, ale měl by být aktuální.
Do inventáře patří:
- počítače, notebooky a servery včetně verze operačního systému,
- aplikace, hlavně ty přístupné z internetu nebo pracující s dokumenty,
- síťová zařízení, firewally, brány VPN a jejich firmware,
- cloudové služby a nastavení, která spravujete vy,
- zařízení a systémy, které aktualizovat nelze nebo nesmíte.
U každé položky si poznamenejte vlastníka a způsob aktualizace. Systémy bez podpory výrobce označte zvlášť. Potřebují jiné řešení, třeba oddělení od zbytku sítě nebo plán výměny.
Inventář nemusí začínat drahým nástrojem. Pro první krok stačí export z konzole pro správu zařízení, ručně doplněný o síťová zařízení. Důležitější než forma je, aby ho někdo pravidelně aktualizoval.
Priorita podle zneužitelnosti, ne jen podle skóre
Ne všechny aktualizace jsou stejně naléhavé. Skóre CVSS popisuje technickou závažnost zranitelnosti. Samo ale neřekne, zda ji někdo skutečně zneužívá. Proto se vyplatí sledovat i další zdroje.
Americká agentura CISA vede katalog Known Exploited Vulnerabilities, tedy zranitelností, u kterých existují důkazy o zneužívání. CISA doporučuje používat ho jako jeden ze vstupů pro stanovení priorit. Katalog ale není úplný. To, že v něm zranitelnost chybí, neznamená, že je bezpečná. Doplňkem může být model EPSS od organizace FIRST, který odhaduje pravděpodobnost zneužití.
Stejně důležitý je kontext. Zranitelnost na bráně VPN přístupné z internetu je naléhavější než stejná chyba na izolovaném počítači. NIST doporučuje předem rozlišit několik situací a mít pro každou připravený postup:
- Běžné aktualizace v pravidelném, například měsíčním cyklu.
- Naléhavé aktualizace pro zneužívané zranitelnosti, hlavně na systémech přístupných z internetu. Ty nečekají na další cyklus.
- Dočasná opatření, když oprava zatím neexistuje, například vypnutí funkce nebo omezení přístupu.
- Systémy, které aktualizovat nelze, s trvalým oddělením nebo plánem výměny.
Postupné nasazení ve vlnách
Aktualizace může výjimečně něco rozbít. To ale není důvod ji odkládat. Řešením je nasazovat postupně, ve vlnách:
- Pilotní skupina. Několik zařízení IT a ochotných kolegů dostane aktualizaci jako první.
- Široké nasazení. Pokud se po dohodnuté době neobjeví problém, aktualizace jde na většinu zařízení.
- Kritické systémy. Servery a stroje s citlivým provozem přicházejí na řadu v plánovaném okně, se zálohou a postupem návratu.
Velikost vln a délku čekání přizpůsobte svému prostředí. U naléhavých oprav se cyklus zkracuje. Pilotní skupina by měla zahrnovat i lidi, kteří používají méně obvyklé aplikace. Zapište si, kdo rozhoduje o zastavení nasazení a jak se uživatelé ozvou, když něco nefunguje. Krátká cesta pro hlášení problémů zrychlí celou vlnu.
Nezapomeňte na aplikace třetích stran
Operační systém je jen část. Zranitelnosti se pravidelně objevují i v prohlížečích a jejich doplňcích, kancelářských balících, čtečkách PDF, nástrojích pro vzdálený přístup nebo běhových prostředích. Tyto aplikace mají vlastní aktualizační mechanismy a vlastní tempo.
Pomoci může nástroj, který inventář i aktualizace řídí centrálně. Jednou z možností je například Heimdal Patch & Asset Management, který APPSEC dodává a podporuje. Podobné funkce mají i jiné nástroje pro správu zařízení. Při výběru je důležité, které systémy a aplikace nástroj skutečně pokrývá a jak přehledně ukáže, co se nepodařilo nainstalovat.
Rozeslání aktualizace ale ještě neznamená, že je nainstalovaná. Pravidelně kontrolujte, která zařízení aktualizaci skutečně mají a která zůstala pozadu. Jednoduchý měsíční přehled pro vedení může obsahovat stav aktualizací, otevřené výjimky a systémy čekající na výměnu.
Kontrolní seznam pro pravidelný rytmus
- Inventář zařízení a softwaru existuje a má svého vlastníka.
- Systémy bez podpory výrobce jsou označené a mají plán.
- Pro běžné aktualizace je stanovený pravidelný termín.
- Existuje postup pro naléhavé opravy mimo běžný cyklus.
- Priority zohledňují zneužívání, například katalog KEV, i dostupnost z internetu.
- Aktualizace se nasazují ve vlnách s pilotní skupinou.
- Aplikace třetích stran a firmware jsou součástí procesu.
- Úspěšnost instalace se pravidelně kontroluje a výjimky jsou zapsané.
Pokud chcete aktualizace ve firmě postavit na pevný základ nebo zvažujete nástroj pro jejich správu, můžeme s vámi projít současný stav a navrhnout realistický postup. Domluvte si konzultaci.
