„Der Patch ist tot! Lang lebe das Update…“

Über die vergangenen zwei Jahrzehnte wurden IT-Abteilungen hervorragend konditioniert: Eingesetzte Software muss regelmäßig aktualisiert werden. Softwarehersteller reagierten mit der Bereitstellung von Patches für einzelne Sicherheitslücken, nicht besonders übersichtlich. Später veröffentlichten viele Anbieter an sogenannten Patch Days an einem festgelegten Tag im Monat eine bunte Mischung von Sicherheitspatches. IT-Fachabteilungen zogen ihre Konsequenzen: Besonders kritische Patches wurden getestet und installiert, weniger kritische Patches und Funktionsupdates ließ man häufig aus.

Microsofts Antwort: kumulative Updates. Diese monatlich erscheinenden Updatepakete beinhalten neben den aktuellen Sicherheitspatches und Funktionsupdates gleich auch noch die Patches und Updates der vorhergehenden Pakete. Das spart Zeit, bedeutet aber auch das Ende der selektiven Installation einzelner Patches („Cherry picking“).

Deutlich wird: Die Art, wie Softwarehersteller Patches und Updates bereitstellen, verändert sich kontinuierlich und bezieht im besten Fall Admin-Arbeitsweisen ein. Klar wird außerdem in diesem kleinen historischen Exkurs: Die meisten IT-Fachabteilungen passen ihr Update Management individuell an die Bedürfnisse in ihrem Unternehmen an.

Die Wege, auf denen Microsoft relevante Updates bereitstellt, sind vielfältig und haben unterschiedliche Vor- und Nachteile. Zum einen nutzen sie dafür die eigenen Services „Microsoft Update“ sowie „Windows Update“ im reduzierten Umfang. Während „Microsoft Update“ Updates für alle unterstützten Microsoft Produkte (Exchange Server, MSSQL-Server, etc.) umfasst, sind per „Windows Update“ nur Updates für das eigentliche Betriebssystem zu finden. Zum anderen bietet Microsoft über seinen „Windows Server Update Services“ (kurz WSUS) Softwarekomponente an, mit denen sich u.a. die Microsoft Online Dienste im eigenen Firmennetzwerk spiegeln lassen. So können notwendige Daten für die Aktualisierung von Updates lokal bereitgestellt werden.

IT-Fachkräfte stehen also vor der Qual der Wahl, auf welchem Weg sie an bereitgestellte Updates kommen. Ob sofortige Verfügbarkeit, Speicherplatzanforderungen, notwendige Internetverbindung oder viele mehr, dabei gibt es einiges zu beachten. Den richtigen Weg gibt es auch hier nicht, sondern das Vorgehen erfolgt am besten für jedes Unternehmen und jeden Update-Bereich individuell.

Eine Automatisierungslösung ist hier besonders hilfreich, um – statt manuell und fehleranfällig – standardisiert und effizient Updates an Geräte innerhalb eines Rings zu verteilen. Beispielsweise das Update Management der baramundi Management Suite setzt mithilfe von Updateprofilen konsequent auf das Ringkonzept von Microsoft.

Darüber hinaus ermöglicht es, einzelne Updates, aber auch ganze Produktlinien und sogar komplette Kategorien vom Updateprozess auszuschließen. Mithilfe einer Sperrliste entfällt auf diese Weise die manuelle Freigabe der Updates. Neue Updates sind automatisch freigegeben und werden mit einem konfigurierten zeitlichen Versatz zum Veröffentlichungsdatum installiert, beginnend mit dem unkritischsten Ring.

Zu beachten ist hier, dass Definition Updates von der baramundi Management Suite grundsätzlich nicht verzögert werden, da dies die Funktion des Windows Defender Antivirus beeinträchtigen würde.

Selbstverständlich wirken sich diese Freigaben nicht nur auf die Verteilung, sondern auch direkt auf die Inventarisierung aus. Dann ist jederzeit für jeden Endpoint ersichtlich, ob Updates fehlen und ob diese verzögert oder blockiert sind.

Alle am Endpoint relevanten Aktionen sind im Jobschritt „Microsoft Updates verwalten“ zusammengefasst. Dort lässt sich sowohl eine Inventur als auch die Aktualisierung auswählen. Eine Inventur sollte regelmäßig (mindestens einmal pro Woche) auf der To-do-Liste stehen. Hierbei ermittelt man lediglich den aktuellen Updatestatus des Endpoints, ohne Updates zu installieren.

In beiden Fällen stehen die oben genannten drei Quellen zur Auswahl (Microsoft Update Online, Windows Update Online und WSUS). Das ermöglicht zwar größtmögliche Flexibilität. Es ist jedoch empfehlenswert, sich im Vorfeld für eine Quelle zu entscheiden und diese beizubehalten. Von einem Mischbetrieb mit Online- und Offlinequellen wird dringend abgeraten. Denn die Daten des WSUS weichen teils von den Daten der Onlinequellen ab wodurch Inkonsistenzen auftreten. Gerade in Bezug auf das Veröffentlichungsdatum ist das problematisch und das verzögerte Ausrollen funktioniert dann nicht.

Zur Installation der Updates dient dann die Aktion „Microsoft Updates verteilen“. Hier unbedingt die gleiche Quelle wählen, die zuvor auch für die Inventarisierung verwendet wurde. Es ist in Sonderfällen zwar möglich, den für Updates im Normalfall benötigten Neustart zu unterdrücken. Das ist jedoch nicht zu empfehlen, denn es führt dazu, dass einige Updates bis nach dem nächsten Neustart nicht korrekt erkannt werden können. Gerade Systemupdates werden in der Regel erst beim Neustart vollständig installiert.

Die abschließende Inventur hingegen wird dringend empfohlen. Denn sie sorgt dafür, dass der aktuelle Updatezustand auch korrekt an den baramundi Management Server gemeldet und somit in den Auswertungen berücksichtigt wird.

Im nächsten Schritt lassen sich die Vorgaben festlegen, nach denen ein Endpoint nun aktualisiert wird:

• Manuelle Konfiguration: Sämtliche Einstellungen wie Klassifizierung, ein- und ausgeschlossene Produkte/Updates und zeitliche Verzögerung sind granular einstellbar.
• Updateprofil: Der Updatevorgang richtet sich nach den Einstellungen im Updateprofil, das dem Endpoint zugewiesen ist. Sollte kein Updateprofil zugewiesen sein, bricht der Jobschritt ab – der Endpoint wird nicht aktualisiert.

Updateprofile zu verwenden, ist für eine konsistente und vorhersehbare Updatestrategie dringend empfehlenswert. Die manuelle Konfiguration bietet sich nur in Einzelfällen oder zu Testzwecken an.

Updateprofile dienen nicht nur der Freigabe/Blockierung und Verzögerung von Updates. An ihnen lässt sich auch der Updatezustand auswerten, z.B. ob ein Endpoint die Vorgaben des Updateprofils erfüllt bzw. ob alle dem Updateprofil zugeordneten Endpoints konform sind oder Handlungsbedarf besteht.

Ein weiterer Mehrwert: die Anzeige der Updatezustände der Endpoints nach Gruppenzugehörigkeit. Das dient der leichten Auswertung einzelner Gruppen (z.B. Abteilungen), aber auch verschachtelter Zweige (z.B. Standorte). Auf einen Blick ist hier erkennbar, ob die Geräte die Vorgaben des Updateprofils erfüllen, ob und wie viele Updates fehlen und auch wann zuletzt inventarisiert bzw. aktualisiert wurde. Selbstverständlich kann auch auf die verschiedenen Zustände und die Updateprofile gefiltert werden.