Untuk memperbarui atau tidak memperbarui?

Sejak mulai bekerja di tempat saya bekerja sekarang, saya telah dalam perjuangan tanpa akhir dengan bos dan rekan kerja saya dalam hal memperbarui sistem.

Saya tentu saja sepenuhnya setuju bahwa setiap pembaruan (baik itu firmware, OS atau aplikasi) tidak boleh diterapkan secara sembarangan begitu keluar, tetapi saya juga sangat yakin bahwa harus ada setidaknya beberapa alasan jika vendor merilisnya; dan alasan paling umum biasanya memperbaiki beberapa bug ... yang mungkin Anda tidak alami sekarang, tetapi Anda bisa mengalami segera jika Anda tidak mengikuti.

Ini terutama berlaku untuk perbaikan keamanan; sebagai ujian, jika ada orang yang menerapkan patch yang sudah tersedia selama berbulan - bulan , SQL Slammercacing yang terkenal itu tidak berbahaya.

Saya siap untuk menguji dan mengevaluasi pembaruan sebelum menerapkannya; tapi saya sangat tidak setuju dengan pendekatan "jika tidak rusak maka jangan menyentuhnya" untuk manajemen sistem, dan itu benar-benar menyakitkan saya ketika saya menemukan sistem produksi Windows 2003 SP1 atau ESX 3.5 Update 2, dan satu-satunya jawaban yang bisa saya dapatkan adalah "Ini berhasil, kami tidak ingin merusaknya".

Apa yang Anda pikirkan tentang ini?
Apa Anda kebijakan?
Dan apa kebijakan perusahaan Anda , jika tidak sesuai dengan kebijakan Anda?

Bagaimana dengan pembaruan firmware (BIOS, penyimpanan, dll.)?
Bagaimana dengan pembaruan OS utama (paket layanan)?
Bagaimana dengan pembaruan OS minor?
Bagaimana dengan pembaruan aplikasi?

Minat utama saya tentu saja dalam memperbarui server, karena manajemen tambalan klien biasanya lebih mudah dan ada alat yang terkenal dan praktik terbaik untuk menanganinya.

Keamanan dan kelincahan harus seimbang dengan stabilitas dan waktu kerja saat menentukan strategi perbaikan Anda. Pendekatan push-back Anda untuk ini harus sepanjang garis 'Oke, tetapi Anda perlu tahu bahwa kami sekarang berisiko server ini menjadi dikompromikan dan data kami dicuri, atau server-server itu dibuat tidak berfungsi' dan 'Oke, tetapi Anda perlu tahu bahwa ini berdampak pada dukungan vendor kami untuk sistem ini, dan kemampuan di masa depan untuk membuat sistem ini berinteraksi dengan sistem baru'.

Terhadap mentalitas jangka panjang 'tidak rusak, jangan perbarui', Anda harus menjelaskan bahwa:

• Memigrasi sistem warisan yang belum ditambatkan yang tertinggal jauh ke sistem modern adalah proses yang jauh lebih mahal dan menyakitkan daripada secara bertahap memperbarui sistem itu dari waktu ke waktu.
• Personel TI yang berpengalaman dan terampil secara aktif mencari teknologi baru dan perusahaan yang terus mengembangkan sistem TI mereka. Ada biaya dolar yang sangat nyata dalam pergantian, kehilangan peluang, dan hilangnya pengetahuan ketika sebuah perusahaan kehilangan staf TI mereka yang sangat terlibat dan kreatif karena sistem mereka mandek dan menjadi tidak menarik untuk diajak bekerja sama. Maka yang tersisa hanyalah 'penghuni'.

Semoga ini memberi Anda beberapa pengaruh dan keberuntungan dalam meyakinkan orang-orang di atas untuk menganggap segala sesuatu dengan serius. Seperti biasa, buat jejak kertas yang membuktikan bahwa Anda telah memberi tahu manajemen tentang risiko yang mereka ambil.

Ini adalah perdebatan tanpa akhir dan orang-orang yang masuk akal akan tidak setuju. Jika Anda berbicara tentang PC pengguna, saya setuju mereka perlu diperbarui. Jika Anda berbicara tentang server, pertimbangkan kebijakan terpisah untuk server yang menghadapi internet dan yang tidak. Saya tidak tahu tentang server Anda tetapi di lingkungan saya, mungkin 10% dari server kami memiliki port yang terbuka ke internet. Server yang menghadap internet ini mendapatkan prioritas tertinggi ketika datang ke patch keamanan. Server yang tidak menghadapi internet adalah prioritas yang lebih rendah.

Pakar keamanan akan berargumen bahwa pendekatan ini bermasalah karena jika seorang hacker pernah masuk ke jaringan Anda, server yang tidak ditambal akan memungkinkan eksploitasi menggigit melalui jaringan seperti api dan itu argumen yang masuk akal. Namun, jika Anda menjaga server yang menghadap ke internet terkunci rapat dan mengkonfigurasi firewall dengan benar untuk hanya membuka port yang benar-benar diperlukan, saya pikir pendekatan ini berfungsi dan sering dapat digunakan untuk menenangkan para manajer yang takut akan tambalan.

Jika Anda hanya mengandalkan Pembaruan Windows untuk tambalan (Anda tidak menyebutkan OS yang Anda jalankan, tetapi saya sebagian besar adalah orang Windows, jadi ini adalah referensi saya), lihat perbaikan terbaru aktual yang dirilis setiap bulan . Saya memiliki beberapa server bahwa jika saya menjalankan Pembaruan Windows pada mereka saya akan diberitahu saya perlu 50+ tambalan tetapi jika saya gulir melalui tambalan itu dan meneliti masing-masing, saya akan menemukan bahwa 90% dari item yang ditambal bukan keamanan terkait tetapi perbaiki bug yang memengaruhi layanan yang tidak saya jalankan di kotak itu. Di lingkungan yang lebih besar di mana Anda menggunakan sistem manajemen tambalan, itu biasa untuk meninjau semua yang dirilis dan hanya peduli dengan apa yang benar-benar diperlukan dan yang biasanya berjumlah sekitar 10% dari apa yang dirilis Microsoft.

Argumen saya adalah bahwa perdebatan tentang "menambal atau tidak menambal" menyarankan Anda harus berada di satu sisi atau yang lain ketika, sungguh, ini adalah area abu-abu yang sangat besar.

Saya hanya dapat berbicara tentang server, tetapi kami memiliki rezim 'Pembaruan triwulanan', pada empat tanggal yang telah ditentukan dan diumumkan per tahun kami mengelompokkan permintaan pembaruan, menerapkannya pada lingkungan referensi kami, menjalankannya selama sebulan untuk menguji stabilitas dan jika baik diluncurkan selama n hari / minggu berikutnya. Selain itu, kami menerapkan kebijakan pembaruan darurat di mana kami memiliki kemampuan untuk menyebarkan referensi, menguji dan meluncurkan pembaruan yang mendesak dalam satu atau dua hari jika tingkat keparahannya demikian - meskipun ini hanya digunakan 2/3 kali dalam yang terakhir. 4 tahun atau lebih.

Pendekatan kembar ini memastikan bahwa server kami secara wajar, tetapi tidak bodoh, mutakhir, bahwa pembaruan didorong oleh subjek-materi-ahli (yaitu firmware, driver, OS, staf aplikasi) bukan vendor tetapi juga memungkinkan perbaikan cepat jika yg dibutuhkan. Oh tentu saja kita beruntung memiliki sangat sedikit model perangkat keras yang berbeda di seluruh bisnis (<10 varian server) dan platform referensi yang cukup besar dan terkini untuk diuji.

Saya telah bekerja di berbagai perusahaan yang memiliki kebijakan di seluruh rangkaian dari "terapkan patch ASAP, kami tidak peduli jika mereka merusak sesuatu yang telah kami kerjakan - kami akan mendukungnya kemudian" hingga "tidak ada yang diterapkan tanpa dua minggu pengujian. " Kedua ekstrim (dan poin di antaranya) baik-baik saja selama Perusahaan memahami tradeoffs .

Itulah poin penting: tidak ada jawaban khusus benar atau salah untuk pertanyaan ini; ini masalah keseimbangan stabilitas vs keselamatan atau fitur di lingkungan khusus Anda . Jika rantai manajemen Anda memahami bahwa menunda patch untuk pengujian dapat membuatnya lebih rentan terhadap malware, itu bagus. Demikian juga, jika mereka memahami bahwa menerapkan tambalan segera setelah tersedia mungkin tidak berfungsi atau bahkan merusak konfigurasi sistem khusus Anda, itu juga baik-baik saja. Masalah ada ketika pengorbanan ini tidak dipahami.

Pandangan saya adalah bahwa kursus terbaik cukup banyak di tengah-tengah dua ekstrem Anda. mis. Mengapa Anda sangat ingin memperbarui ESX jika tidak ada alasan yang dapat ditunjukkan untuk melakukan hal itu, mungkin merusak sistem kerja dalam proses? Tentu itu mungkin rentan jika itu menghadapi publik tetapi seharusnya tidak ada cara itu dapat diakses langsung dari luar jaringan Anda, jadi di mana risikonya? Apakah ada bug atau kekurangan fitur yang sebenarnya memberi Anda alasan untuk memutakhirkan?

Memutakhirkan demi hal itu, yang sebenarnya adalah yang Anda usulkan ("tetapi Anda mungkin akan segera mengalami"), bahkan ketika mengklaim bahwa Anda tidak, adalah jalan yang tidak masuk akal dan berbahaya untuk bepergian. Kecuali jika Anda dapat memberikan alasan yang sebenarnya , yang bertentangan dengan beberapa alasan yang secara teoritis memungkinkan, Anda tidak akan pernah meyakinkan orang lain jika mereka menentang peningkatan.

Jika Anda yakin ada alasan nyata untuk melakukan peningkatan, Anda harus mendokumentasikan pro dan kontra, dan selalu ada kontra, dan menyajikannya kepada mereka yang lebih tinggi. Didokumentasikan dengan baik harus ada sedikit perlawanan. Jika Anda tidak dapat memberikan argumen yang meyakinkan maka duduklah dan berikan fakta itu beberapa pemikiran serius.

Edit

Saya pikir saya harus menjelaskan bahwa saya melihat perbedaan besar antara menerapkan patch keamanan dan stabilitas yang diperlukan dibandingkan dengan melakukan pembaruan perangkat lunak atau OS. Yang pertama saya terapkan setelah pengujian yang tepat. Yang terakhir saya lakukan hanya jika ada manfaat nyata.

Pembaruan keamanan dikirim ke server pementasan, kemudian produksi setelah mereka menunjukkan bahwa mereka tidak meledakkan segalanya. Kecuali ada yang nyata bip ing darurat (yang saya telah memukul beberapa kali :(), dalam hal PRODUKSI SEKARANG. Update lain hanya sebagai diperlukan, setelah menghabiskan waktu di pementasan.

Saya pikir hal pertama yang harus dilakukan adalah "mengklasifikasikan" pembaruan berdasarkan tingkat keparahannya, dan memiliki jadwal perbaikan berdasarkan klasifikasi. Tidak ada keraguan perbaikan keamanan zero-day harus segera diterapkan; sedangkan Paket Layanan dapat menunggu setelah evaluasi yang cermat.