Jeder in der IT-Branche kennt die Patch-Tuesdays von Microsoft. Damit ist der Tag im Monat gemeint, an dem Microsoft Software-Updates für sein Windows-Betriebssystem, seine Browser und seine Geschäftsanwendungen bereitstellt. Diese Updates beheben entweder Sicherheitslücken oder Fehler in der Software. Am letzten Patch Tuesday im April stellte Microsoft Updates zur Behebung von 113 Sicherheitslücken in verschiedenen Softwareprodukten bereit. In diesem Blog konzentrieren wir uns darauf, wie Sie Updates für Microsoft Windows 10 besser verwalten können.
Windows 10 unterteilt Updates in zwei Kategorien mit zwei unterschiedlichen Veröffentlichungsrhythmen:
- Feature-Updates - diese beziehen sich auf Verbesserungen und neue Funktionen und werden zweimal im Jahr, im Frühjahr und im Herbst, veröffentlicht, auch bekannt als "halbjährliche" Releases.
- Qualitätsupdates– dies sind Verbesserungen der Windows-Sicherheit, die auch als „kumulative Updates“ bezeichnet werden. Diese finden in der Regel jeden zweiten Dienstag im Monat statt, auch bekannt als „Patch Tuesday“. Das letzte Update erfolgte am 14. April 2020.
Gelegentlich, wenn eine hochriskante Sicherheitslücke entdeckt wird, veröffentlicht Microsoft einen außerplanmäßigen Patch, d. h. zwischen den Patch-Dienstagen, der sofort installiert werden sollte.
Im März 2020 wurde ein außerplanmäßiges Sicherheitsupdate veröffentlicht, um eine SMB-Sicherheitslücke zu schließen, die von Sicherheitsanbietern als „SMBGhost“ oder „EternalDarkness“ bezeichnet wird. Diese „wormable“ Windows-Sicherheitslücke, CVE-2020-0796, betraf das Microsoft Server Message Block 3.1.1 (SMBv3-Netzwerkkommunikationsprotokoll). (Weitere Informationen hierzu finden Sie in unserem Blogbeitrag„Achten Sie auf Cybersicherheitswarnungen“).
Patches sind in Windows 10 kumulativ, d. h., wenn Sie in einem Monat ein Update verpassen, wird es in den Patch für den nächsten Monat übernommen.
Aus Sicht der Unternehmens-IT möchten wir den Windows 10-Updateprozess mithilfe einer Endpunktverwaltungslösung automatisieren. Außerdem möchten wir die vollständige Kontrolle über den Prozess haben, damit wir den Update-Zeitplan festlegen und bestimmen können, welche einzelnen Geräte oder Gerätegruppen die Updates erhalten.
Windows 10-Patching in Kaseya VSA
Mit Kaseya VSA können Sie Windows-Patches automatisch bereitstellen. Es unterstützt auch native Windows-Patches. Auf diese Weise können Sie die Windows-Update-Einstellungen in VSA konfigurieren und steuern, wie Windows seinen eigenen Patch-Prozess verwaltet.
Sie können die in VSA festgelegten Windows-Konfigurationseinstellungen auch durchsetzen, indem Sie sie automatisch wiederherstellen, wenn ein lokaler Administrator Änderungen vornimmt.
Kaseya VSA und Windows Update-Gruppenrichtlinie
Mit Kaseya VSA können Ihre IT-Administratoren Windows Update-Gruppenrichtlinien anwenden und entfernen und diese auf allen verwalteten Endgeräten festlegen. Sie können in VSA viele verschiedene Windows Update-Gruppenrichtlinienoptionen konfigurieren, darunter:
Automatische Windows-Updates
Hier wird festgelegt, ob ein bestimmter Computer Sicherheitsupdates und andere wichtige Downloads über den automatischen Windows-Update-Dienst erhält.
Windows Update Energieverwaltung
Damit können Sie einen Computer aufwecken, um das Windows-Patch-Update anzuwenden. Dies kann sehr nützlich sein, wenn Sie Windows-Updates für Computer von Außendienstmitarbeitern planen möchten, die nach Feierabend ausgeschaltet sein können.
Kontrolle der Download-Bandbreite
Mit Kaseya VSA können Sie auch die für das Windows-Update verwendete Download-Bandbreite steuern. Dies kann sehr nützlich sein, wenn Sie Remote-Arbeitsplatzrechner verwalten, die sich möglicherweise in Heimnetzwerken mit geringerer Bandbreite befinden.
Patch Management Verfahren für die Patch Management
Im Folgenden finden Sie einige bewährte Verfahren für die Verwaltung von Windows-Patches:
- Führen Sie Ihre Scans im Laufe der Woche vor einem bevorstehenden Patch Tuesday durch, um sicherzustellen, dass Sie über die neuesten Informationen zu Ihren Endpunkten verfügen.
- Verteilen Sie Ihre Scans umfassend. Dies ist wichtig, da die Benutzer meist von zu Hause aus arbeiten und wir Aufgaben im Zusammenhang mit dem Software-Patch-Management außerhalb der Spitzenzeiten durchführen möchten, um sicherzustellen, dass die Aufgaben abgeschlossen werden können. Kaseya VSA unterstützt Zeitfenster für die Verteilung von Scans.
- Verteilen Sie Ihre Patch-Bereitstellungen. Es ist kein Geheimnis, dass Windows-Patches immer größer werden (einige über 1 GB). Dies kann nicht nur Ihren Server, sondern auch das Netzwerk Ihrer userbelasten. Wir empfehlen dringend, die Bereitstellung auf einen Zeitraum von mindestens 6 Stunden zu verteilen, wenn Sie die Bereitstellung während der Geschäftszeiten durchführen.
- Werfen Sie einen Blick auf die Planung von Einsatzzeiten mit erweiterten Verteilungsfenstern.
- Prüfen Sie neue Patches, sobald sie veröffentlicht werden, und erstellen Sie einen Plan, um die Bereitstellung dieser neu verfügbaren Patches in einer Testumgebung oder an einer ausgewählten Gruppe von Endpunkten zu testen, bevor Sie sie in großem Umfang in Ihrer Umgebung bereitstellen.
Um mehr darüber zu erfahren, wie Sie Ihre Systeme effizient patchen und Ihre IT-Sicherheit mit Kaseya VSA verbessern können, laden Sie unsere Checkliste „10 Tipps zur Verbesserung der IT-Sicherheit“ herunter.
