Patch management je proces, ktorým organizácia riadi nasadzovanie aktualizácií softvéru. Patch (záplata) je balík zmien od výrobcu, ktorý opravuje chybu, odstraňuje zraniteľnosť alebo zlepšuje funkčnosť. Patch management určuje, ktoré záplaty a kedy sa nasadia, ako sa otestujú a čo sa stane, ak niečo zlyhá.

Ide o jeden z najúčinnejších spôsobov, ako znížiť riziko útoku – mnohé incidenty zneužívajú zraniteľnosti, pre ktoré už oprava existovala, ale nebola nasadená.

Ako prebieha

  1. Inventár – presný prehľad o serveroch, zariadeniach, operačných systémoch a aplikáciách. Bez neho nie je jasné, čo treba aktualizovať.
  2. Sledovanie a prioritizácia – vyhodnotenie nových záplat podľa závažnosti riešených zraniteľností a významu systému. Bezpečnostné opravy pre systémy dostupné z internetu majú prednosť.
  3. Testovanie – overenie na testovacom prostredí alebo pilotnej skupine, či aktualizácia nenaruší aplikácie.
  4. Nasadenie v servisnom okne – v dohodnutom čase, keď výpadok najmenej obmedzí prevádzku.
  5. Rollback scenár – pripravený postup, ako sa vrátiť do pôvodného stavu, ak záplata spôsobí problém.
  6. Overenie – kontrola, že záplata je nainštalovaná a zraniteľnosť zmizla, napríklad overovacím skenom.

Súvislosť s riadením bezpečnosti

Patch management je výkonnou časťou vulnerability managementu: ten určí, čo je potrebné opraviť a v akom poradí, patch management to bezpečne zrealizuje. PosAm v rámci tohto cyklu zabezpečuje patch management serverov Windows aj Linux vrátane servisných okien, testovania a rollback scenárov, ako opisuje článok o posilňovaní kybernetickej odolnosti organizácií.

Na koncových zariadeniach sa aktualizácie zvyčajne riadia centrálne. Služba Modern End User Services zahŕňa automatické aktualizácie zariadení spravovaných cez Microsoft Intune.

Typické chyby

  • záplatujú sa iba operačné systémy, zatiaľ čo aplikácie, firmvér a sieťové prvky sa obchádzajú,
  • chýba testovanie, a preto sa aktualizácie zo strachu pred výpadkom odkladajú,
  • zmeny sa nezaznamenávajú v procese change managementu,
  • na zariadeniach bez podpory výrobcu už záplaty nevychádzajú a nikto to nerieši.

Časté otázky

Ako rýchlo treba nasadiť kritickú záplatu?

Čo najskôr, s ohľadom na exponovanosť systému a výsledky testovania. Termíny je vhodné mať stanovené vopred v internej politike.

Čo ak záplatu nemožno nasadiť?

Použite kompenzačné opatrenia, napríklad obmedzenie prístupu, segmentáciu alebo vypnutie zraniteľnej funkcie, a plánujte náhradu systému.

Ak chcete mať aktualizácie serverov pod kontrolou bez neplánovaných výpadkov, pozrite si starostlivosť o IT infraštruktúru od PosAm alebo nás kontaktujte.