Verwaltung von Windows 10-Updates und -Patches
Jeder in der IT-Branche kennt die „Microsoft Patch Tuesdays“. Damit ist jener eine Tag im Monat gemeint, an dem Microsoft Software-Updates für sein Windows-Betriebssystem, seine Browser und seine Unternehmensanwendungen bereitstellt. Diese Updates beheben entweder Sicherheitslücken oder Fehler in der Software. Am letzten „Patch Tuesday“ im April stellte Microsoft Updates zur Behebung von 113 Sicherheitslücken in seinen verschiedenen Softwareprodukten bereit. In diesem Blogbeitrag konzentrieren wir uns darauf, wie man Updates für Microsoft Windows 10 besser verwalten kann.
Windows 10 unterteilt Updates in zwei Kategorien mit zwei unterschiedlichen Veröffentlichungsrhythmen:
- Funktionsupdates– diese beziehen sich auf Verbesserungen und neue Funktionen und werden zweimal jährlich, im Frühjahr und im Herbst, veröffentlicht; sie werden auch als „halbjährliche“ Releases bezeichnet.
- Qualitätsupdates– dabei handelt es sich um Sicherheitsverbesserungen für Windows, die auch als „kumulative Updates“ bezeichnet werden. Diese werden in der Regel jeden zweiten Dienstag im Monat veröffentlicht, was auch als „Patch Tuesday“ bekannt ist; das letzte Update erfolgte am 14. April 2020.
Gelegentlich, wenn eine Sicherheitslücke mit hohem Risiko entdeckt wird, veröffentlicht Microsoft einen außerplanmäßigen Patch, d. h. zwischen den „Patch Tuesdays“, der unverzüglich installiert werden sollte.
Im März 2020 wurde ein außerplanmäßiges Sicherheitsupdate veröffentlicht, um eine SMB-Sicherheitslücke zu beheben, die von Sicherheitsanbietern als „SMBGhost“ oder „EternalDarkness“ bezeichnet wird. Diese „wormable“ Windows-Sicherheitslücke (CVE-2020-0796) betraf das Microsoft Server Message Block 3.1.1 (SMBv3-Netzwerkkommunikationsprotokoll). (Lesen Sie mehr dazu in unserem Blogbeitrag„Achten Sie auf Cybersicherheitswarnungen“).
Patches sind unter Windows 10 kumulativ, das heißt: Wenn Sie in einem Monat ein Update verpassen, wird es in den Patch des nächsten Monats integriert.
Aus Sicht der Unternehmens-IT möchten wir den Windows-10-Update-Prozess mithilfe einer Endpunktmanagement-Lösung automatisieren. Außerdem möchten wir die vollständige Kontrolle über den Prozess haben, damit wir den Update-Zeitplan festlegen und bestimmen können, welche einzelnen Geräte oder Gerätegruppen die Updates erhalten.
Windows 10-Patches in Kaseya VSA
Mit Kaseya VSA können Sie Windows-Patches automatisch bereitstellen. Außerdem unterstützt die Lösung die native Windows-Patch-Verwaltung. So können Sie die Windows-Update-Einstellungen in VSA konfigurieren und steuern, wie Windows seinen eigenen Patch-Prozess verwaltet.
Sie können die in VSA festgelegten Windows-Konfigurationseinstellungen auch durchsetzen, indem Sie automatisch zu diesen zurückkehren, falls ein lokaler Administrator Änderungen vornimmt.
Kaseya VSA und Windows Update-Gruppenrichtlinien
Mit Kaseya VSA können Ihre IT-Administratoren Gruppenrichtlinien für Windows Update anwenden, entfernen und auf allen verwalteten Endgeräten festlegen. Sie können in VSA zahlreiche verschiedene Optionen für Windows Update-Gruppenrichtlinien konfigurieren, darunter:
Automatische Windows-Updates
Hiermit wird festgelegt, ob ein bestimmter Computer Sicherheitsupdates und andere wichtige Downloads über den Windows-Dienst für automatische Updates erhält.
Windows Update – Energieverwaltung
Auf diese Weise können Sie einen Computer aus dem Ruhezustand aktivieren, um das Windows-Patch-Update zu installieren. Dies kann sehr nützlich sein, wenn Sie Windows-Updates für die Computer von Remote-Mitarbeitern planen möchten, die außerhalb der Arbeitszeiten möglicherweise ausgeschaltet sind.
Download-Bandbreite steuern
Mit Kaseya VSA können Sie auch die für Windows-Updates genutzte Download-Bandbreite steuern. Dies kann bei der Verwaltung von Computern von Remote-Mitarbeitern sehr nützlich sein, die möglicherweise in Heimnetzwerken mit geringerer Bandbreite betrieben werden.
Bewährte Verfahren für das Windows-Patch-Management
Hier sind einige bewährte Vorgehensweisen für die Verwaltung von Windows-Patches:
- Führen Sie Ihre Scans in der Woche vor dem nächsten „Patch Tuesday“ durch, um sicherzustellen, dass Sie über die aktuellsten Informationen auf Ihren Endgeräten verfügen.
- Verteilen Sie Ihre Scans breit gefächert. Dies ist wichtig, da die Benutzer größtenteils von zu Hause aus arbeiten und wir Aufgaben im Zusammenhang mit dem Software-Patch-Management außerhalb der Spitzenzeiten durchführen möchten, um sicherzustellen, dass die Aufgaben abgeschlossen werden können. Kaseya VSA unterstützt Zeitfenster für die Verteilung von Scans.
- Verteilen Sie Ihre Patch-Installationen zeitlich gestaffelt. Es ist kein Geheimnis, dass Windows-Patches immer umfangreicher werden (manche sind größer als 1 GB). Dies kann nicht nur Ihren Server, sondern auch das Netzwerk Ihrer Remote-Benutzer belasten. Wir empfehlen dringend, die Installationen zeitlich zu staffeln und Verteilungsfenster von mindestens 6 Stunden einzuplanen, wenn Sie die Installation während der Geschäftszeiten durchführen.
- Sehen Sie sich an, wie Sie Bereitstellungszeiten mit erweiterten Zeitfenstern planen können.
- Prüfen Sie neue Patches, sobald diese veröffentlicht werden, und erstellen Sie einen Plan, um die Bereitstellung dieser neu verfügbaren Patches in einer Testumgebung oder einer ausgewählten Gruppe von Endgeräten zu testen, bevor Sie sie flächendeckend in Ihrer Umgebung bereitstellen.
Wenn Sie mehr darüber erfahren möchten, wie Sie Ihre Systeme effizient mit Patches versorgen und Ihre IT-Sicherheit mit Kaseya VSA verbessern können, laden Sie unsere Checkliste „10 Tipps zur Verbesserung der IT-Sicherheit“ herunter.
