建站
咨詢
售后
建站咨詢
新聞中心
2006年，卡內(nèi)基?梅隆大學(xué)軟件工程學(xué)會的計算機(jī)緊急響應(yīng)小組(CERT)報道了需要軟件補(bǔ)丁的應(yīng)用程序漏洞超過8000個——這個數(shù)字比2005年增加了30%還多。盡管多年來我們在這個方面下了很大力氣，但補(bǔ)丁問題仍在引起許多人的憂慮。我們經(jīng)?？吹皆S多公司在補(bǔ)丁程序發(fā)布了一個多月后，還沒有打上補(bǔ)丁，因而給病毒和安全破壞留下了可趁之機(jī)。為什么面臨這種風(fēng)險呢?這是因?yàn)樵S多IT部門缺少有效打上補(bǔ)丁的工具、流程和資源。
成都創(chuàng)新互聯(lián)公司專注于濰城網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗(yàn)。 熱誠為您提供濰城營銷型網(wǎng)站建設(shè)，濰城網(wǎng)站制作、濰城網(wǎng)頁設(shè)計、濰城網(wǎng)站官網(wǎng)定制、重慶小程序開發(fā)服務(wù)，打造濰城網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供濰城網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。
至少有14家廠商在期望改善這種形勢。每個產(chǎn)品各有其強(qiáng)項(xiàng)和弱項(xiàng)，本文希望作一簡單評述。
理想情況下，補(bǔ)丁管理只是大公司內(nèi)部全面的配置管理或者軟件分發(fā)系統(tǒng)當(dāng)中的一個組件。小公司也可以使用獨(dú)立工具，但許多公司需要幾種功能單一的單點(diǎn)產(chǎn)品，滿足給不同類型的應(yīng)用程序和設(shè)備打補(bǔ)丁的需要。但無論你如何管理，自動化極其重要，變更記錄、確保補(bǔ)丁不干擾其他應(yīng)用程序的測試以及避免堵塞網(wǎng)絡(luò)的部署策略也極其重要。
微軟的做法
雖然自從有了計算機(jī)，就需要給應(yīng)用程序打補(bǔ)丁，但大量出現(xiàn)的Windows更新程序以及微軟在市場上的主導(dǎo)地位使人們對補(bǔ)丁問題引起了注意。自推出 Windows 98以來，微軟就致力于能夠自動給Windows服務(wù)器和桌面機(jī)打補(bǔ)丁。最新版本的更新程序：Windows服務(wù)器更新服務(wù)(WSUS)提供了本地管理的軟件更新服務(wù)，這是除本地微軟更新系統(tǒng)之外的一種選擇。IT人員使用WSUS，就可以從中心服務(wù)器，自動分發(fā)補(bǔ)丁和更新程序給客戶機(jī)。
最新版本的更新程序擴(kuò)大了它能更新的軟件的范圍，它與使用微軟的Windows更新網(wǎng)站相比是一大進(jìn)步。因?yàn)閱闻_計算機(jī)不必連接到外部服務(wù)器，所以可以節(jié)省帶寬、時間和磁盤空間。在Windows Server 2008中，應(yīng)用程序本身帶有這項(xiàng)功能。WSUS則可以從微軟網(wǎng)站免費(fèi)下載。
免費(fèi)確實(shí)不錯，但大多數(shù)公司的環(huán)境使用的不僅僅是微軟的桌面機(jī)和服務(wù)器。微軟的免費(fèi)工具也提供不了大公司所需要的那種靈活性或者擴(kuò)展性。
補(bǔ)丁管理工具通常都包含在軟件分發(fā)、供應(yīng)及配置管理套件中——這些套件盡管開始時相對昂貴，但能根據(jù)需要進(jìn)行擴(kuò)展。購買這種工具是否值得，這取決于你需要部署哪種類型的補(bǔ)丁。如果你負(fù)責(zé)給服務(wù)器、桌面機(jī)以及其他網(wǎng)絡(luò)設(shè)備打補(bǔ)丁，購買能夠處理所有這些設(shè)備的工具也許是值得的，比如惠普公司的Opsware。如果你只關(guān)注給桌面機(jī)打補(bǔ)丁，不妨考慮使用功能較單一的工具，比如冠群公司的補(bǔ)丁管理(Patch Management)產(chǎn)品。而如果你需要給服務(wù)器打補(bǔ)丁，那還得看情況：單單運(yùn)行Windows?還是同時運(yùn)行Unix、Linux或者虛擬系統(tǒng)?
自動化極其重要。手工打補(bǔ)丁這項(xiàng)工作需要大量的人力。要列一份詳細(xì)的清單，列出補(bǔ)丁流程的每一個步驟，包括收集補(bǔ)丁信息、確定嚴(yán)重性和優(yōu)先級、進(jìn)行詳細(xì)測試以便發(fā)現(xiàn)補(bǔ)丁會不會影響其他系統(tǒng)，以及確定哪些端點(diǎn)設(shè)備需要更新。你要問清楚考慮購買的某款軟件能否實(shí)現(xiàn)所有這些步驟的自動化。
因?yàn)榕c補(bǔ)丁管理密切相關(guān)，所以變更控制也很重要。你每過多久打補(bǔ)丁、何時打補(bǔ)丁?誰可以部署以及/或者授權(quán)更新?如何測試補(bǔ)丁?哪些情況下需要恢復(fù)原狀(rollback)?你在考慮選購補(bǔ)丁軟件時，知道自己目前管理著多少設(shè)備、在可預(yù)見的將來會有多少設(shè)備也很重要。市面上有不同軟件，有的可以管理50 到100個設(shè)備，有的最多可以管理成百上千個設(shè)備。大公司在考慮與配置有關(guān)的產(chǎn)品(如軟件分發(fā)或者配置管理數(shù)據(jù)庫)時，應(yīng)當(dāng)確保產(chǎn)品含有可靠成熟的補(bǔ)丁管理功能。如果你有資產(chǎn)清查系統(tǒng)，就要檢查是否集成了補(bǔ)丁管理功能，否則最后你不得不完成發(fā)現(xiàn)資產(chǎn)的工作。
考慮到不管你愿不愿都要打補(bǔ)丁可能會給用戶和網(wǎng)絡(luò)帶來負(fù)面影響，因而需要了解補(bǔ)丁產(chǎn)品如何發(fā)揮作用，以及如何處理打補(bǔ)丁時未連接到網(wǎng)絡(luò)上的設(shè)備。它能實(shí)現(xiàn)多播分發(fā)、高級壓縮、檢查和重啟等功能嗎?要是通信鏈路出現(xiàn)了故障，終端設(shè)備是一臺未聯(lián)網(wǎng)的筆記本電腦，或者由于某種原因未能成功打上補(bǔ)丁，該軟件會如何處理?理想情況下，軟件會有一套辦法來試圖再次打補(bǔ)丁;如果屢屢失敗，就會發(fā)出通知和報警。
報告功能也很重要。需要確保產(chǎn)品能支持通知和審計功能。在受到《薩班斯-奧克斯利法案》監(jiān)管的許多上市公司，這是一項(xiàng)嚴(yán)格要求;稍有疏忽就會招致巨額罰款。
軟件廠商挺身相救?
通常來說，根據(jù)打補(bǔ)丁的對象以及使用代理的方式，補(bǔ)丁管理產(chǎn)品可分為四類：Windows桌面機(jī)和服務(wù)器使用可選代理;Windows桌面機(jī)和服務(wù)器使用必選代理;多平臺系統(tǒng)使用必選代理;多平臺系統(tǒng)使用必選代理，并且關(guān)注虛擬化支持/數(shù)據(jù)中心。下面簡要介紹一下相關(guān)的部分產(chǎn)品。
·Windows桌面機(jī)和服務(wù)器使用可選代理
許多公司愿意專門投入資源給成百上千臺Windows桌面機(jī)和服務(wù)器打上補(bǔ)丁，以免病毒或者惡意代碼在整個網(wǎng)絡(luò)上傳播，從而導(dǎo)致網(wǎng)絡(luò)長時間停運(yùn)。 Shavlik Technologies公司的 NetChk Protect結(jié)合了補(bǔ)丁和間諜軟件管理功能以及這個選項(xiàng)：使用基于代理或者不使用代理的架構(gòu)。除了Windows操作系統(tǒng)外，它還能給近700種應(yīng)用程序打上補(bǔ)丁。包括BMC、微軟和賽門鐵克在內(nèi)的許多廠商都在各自的補(bǔ)丁管理套件中使用了Shavlik的產(chǎn)品。
與NetChk Protect一樣，Ecora Software公司的補(bǔ)丁管理器(Patch Manager)讓IT管理員可以使用代理，也可以不用代理直接運(yùn)行。Ecora側(cè)重于Windows工作站和服務(wù)器上的資產(chǎn)發(fā)現(xiàn)、補(bǔ)丁評估及補(bǔ)丁安裝，所以使用帶寬遏制(bandwidth throttling)功能來限制專門用于打補(bǔ)丁的網(wǎng)絡(luò)資源。Ecora承諾可提供諸多重要功能，比如補(bǔ)丁恢復(fù)原狀、網(wǎng)絡(luò)喚醒，以及在部署到生產(chǎn)環(huán)境之前能夠指定打補(bǔ)丁所用的測試環(huán)境;另外包括有助于審計及法規(guī)遵從的各種報告。
·Windows 桌面機(jī)和服務(wù)器使用必選代理
代理通常用于這樣的環(huán)境：IT部門可能沒有專門投入資源給得到管理的設(shè)備，比如偶爾連接到公司網(wǎng)絡(luò)上的筆記本電腦。如果你需要分發(fā)與打補(bǔ)丁有關(guān)的網(wǎng)絡(luò)流量，代理也可能比較方便;它們往往可以對設(shè)備提供比較嚴(yán)格的控制。
Kaseya公司的補(bǔ)丁管理(Patch Management)軟件可自動發(fā)現(xiàn)缺少的補(bǔ)丁和更新程序;還能按設(shè)定的時間表自動部署及安裝補(bǔ)丁。一旦初始掃描完畢，IT部門就能審查每臺機(jī)器的掃描結(jié)果，并確定是否需要打上每個缺少的補(bǔ)丁或者更新程序，以及何時及如何打上補(bǔ)丁。IT管理員還可以跟蹤及批準(zhǔn)補(bǔ)丁，用于審計和報告功能。
Novell公司的Zenworks配置管理(Zenworks Configuration Management)軟件側(cè)重于出現(xiàn)新的安全更新程序時，通知IT人員;并確保更新程序經(jīng)過測試之后再分發(fā)出去。Novell設(shè)有安全專家小組，負(fù)責(zé)跟蹤軟件廠商的支持網(wǎng)站，為公司客戶提供最新的更新程序。
IBM的配置管理器(Configuration Manager)為分布式環(huán)境提供了微軟客戶機(jī)和服務(wù)器軟件自動補(bǔ)丁功能。配置管理器還能掃描客戶機(jī)，查找缺少的補(bǔ)丁、制訂補(bǔ)丁計劃，并且分發(fā)所需補(bǔ)丁到客戶機(jī)。與IBM一樣，冠群Unicenter的補(bǔ)丁管理(Patch Management)軟件也側(cè)重于Windows——不過是針對桌面機(jī)環(huán)境。冠群的產(chǎn)品可以監(jiān)控最近可用的補(bǔ)丁，并對可用補(bǔ)丁進(jìn)行驗(yàn)證。
·多平臺使用必選代理
如果你的環(huán)境包括Unix、Linux以及/或者M(jìn)ac OS，就需要求助于支持跨平臺應(yīng)用程序和操作系統(tǒng)的廠商。BigFix公司除了提供一系列較廣泛的策略管理產(chǎn)品外，還為常見應(yīng)用程序及主流操作系統(tǒng)提供了補(bǔ)丁管理和安全更新程序分發(fā)功能;它還可以管理5萬多個設(shè)備。你需要在Windows上運(yùn)行BigFix服務(wù)器(BigFix Server)，并且在每個被管理的節(jié)點(diǎn)上部署代理。
藍(lán)代斯克公司的補(bǔ)丁管理器(Patch Manager)包括了一項(xiàng)訂購服務(wù)，可以收集及分析異構(gòu)環(huán)境下的補(bǔ)丁。與其他套件一樣，它可以掃描被管理的設(shè)備，并認(rèn)別應(yīng)用程序和操作系統(tǒng)存在的漏洞;一旦發(fā)現(xiàn)了問題，你可以下載相關(guān)補(bǔ)丁，并查看補(bǔ)丁的相關(guān)要求、依賴關(guān)系、相互影響及已知問題。藍(lán)代斯克產(chǎn)品可以監(jiān)控每個安裝補(bǔ)丁的狀態(tài)，并提供帶寬遏制、測試及詳細(xì)的策略與法規(guī)遵從報告等功能。
以前名叫Marimba的BMC補(bǔ)丁管理器(BMC Patch Manager)提供了測試功能，讓管理員可以通過分析補(bǔ)丁對端點(diǎn)設(shè)備的影響，從而盡量降低風(fēng)險。BMC補(bǔ)丁管理器策略引擎便于補(bǔ)丁的初始安裝，可不斷監(jiān)控補(bǔ)丁，以確保它們未被卸載。Lumension公司的 PatchLink補(bǔ)丁管理(PatchLink Patch Management)套件可自動收集及分析軟件補(bǔ)丁，并且把補(bǔ)丁分發(fā)到眾多操作系統(tǒng)。它還側(cè)重于報告功能。
其他廠商部署了配置管理數(shù)據(jù)庫來管理及控制補(bǔ)丁。Configuresoft公司的企業(yè)配置管理器(Enterprise Configuration Manager)可按指定的間隔時間自動發(fā)現(xiàn)新系統(tǒng)、跟蹤配置變化，從而確保獲得最新的補(bǔ)丁信息。它可以按功能或者角色對機(jī)器進(jìn)行分組，并且支持對不同配置的機(jī)器進(jìn)行補(bǔ)丁測試。該軟件可不斷更新所有機(jī)器的補(bǔ)丁狀態(tài)，維護(hù)補(bǔ)丁部署的審計歷史記錄，這對法規(guī)遵從報告極其有用。同樣，賽門鐵克的Altiris 補(bǔ)丁管理(Altiris Patch Management)軟件側(cè)重于集中、可擴(kuò)展的存儲庫。
·多平臺使用必選代理，并且關(guān)注虛擬化支持/數(shù)據(jù)中心
許多公司在向數(shù)據(jù)中心合并和虛擬機(jī)先鋒，以便降低成本、提高效率，因而確保IT部門能維護(hù)那些合并的服務(wù)器是關(guān)鍵。補(bǔ)丁管理極其重要，必須注重與這樣的廠商合作：能夠支持復(fù)雜、異構(gòu)的操作系統(tǒng)環(huán)境，包括在VMware上運(yùn)行Windows、Linux和Unix的諸多服務(wù)器?；萜盏腛psware/ SAS和BladeLogic非常適合這種環(huán)境。
BladeLogic比較側(cè)重于數(shù)據(jù)中心服務(wù)器環(huán)境，而不是桌面機(jī)環(huán)境，它支持諸多操作系統(tǒng)、服務(wù)器組件(如中間件、實(shí)用程序和系統(tǒng)軟件)以及虛擬化環(huán)境下的中間層軟件。BladeLogic配置管理器使用基于策略的方法：先是改變策略，然后與目標(biāo)服務(wù)器進(jìn)行同步。該公司聲稱，這種雙向方法大大減少了與管理服務(wù)器有關(guān)的成本和錯誤。配置服務(wù)器還擁有跨平臺的命令行界面，可支持使用各種驗(yàn)證協(xié)議的單點(diǎn)登錄方式。所有通信都被加密;用戶的所有行為都被記入日志，可以根據(jù)角色來授權(quán)行為;這對需要高度安全的環(huán)境而言很重要;中檔產(chǎn)品可能不具備這樣的功能。
Opsware SAS 可自動發(fā)現(xiàn)服務(wù)器硬件、配置及軟件。借助全面的配置和供應(yīng)功能，SAS除了可創(chuàng)建及執(zhí)行補(bǔ)丁策略外，還能識別數(shù)量眾多的服務(wù)器，并打上補(bǔ)丁。SAS還使用審計方面的最佳實(shí)踐及設(shè)定的補(bǔ)救辦法，以便能夠迅速應(yīng)對需要打補(bǔ)丁的安全或者法規(guī)遵從方面的漏洞。
小貼士：詢問廠商的七大問題
1、你的軟件側(cè)重于桌面機(jī)還是服務(wù)器?對這些設(shè)備而言，得到支持的是哪些具體的操作系統(tǒng)和版本?
2、軟件在打補(bǔ)丁時能夠控制網(wǎng)絡(luò)帶寬嗎?
3、你的產(chǎn)品如何處理未能成功打上補(bǔ)丁的情況?
4、軟件如何發(fā)現(xiàn)環(huán)境中有哪些應(yīng)用程序和操作系統(tǒng)?
5、產(chǎn)品能夠與其他資產(chǎn)清查或者配置管理產(chǎn)品集成嗎?
6、它能報告成功和失敗、并且為我提供所有補(bǔ)丁的全面審計日志嗎?
7、產(chǎn)品如何知道有補(bǔ)丁可用、如何知道補(bǔ)丁的輕重緩急?
打補(bǔ)丁方面的七大錯誤
1、沒有在部署補(bǔ)丁之前進(jìn)行測試。有些補(bǔ)丁與其他應(yīng)用程序不兼容，甚至?xí)耆蓴_其他程序。
2、沒有恢復(fù)原狀方案。要是未能成功打上補(bǔ)丁，你就需要能夠輕松恢復(fù)到原狀。
3、破壞網(wǎng)絡(luò)。同時在網(wǎng)絡(luò)上部署多個補(bǔ)丁會導(dǎo)致其他應(yīng)用程序停止運(yùn)行，激起用戶的怒火。
4、正常工作時間“需要重啟”。許多補(bǔ)丁需要用戶重新啟動系統(tǒng)。盡可能在工作時間之外部署這些補(bǔ)丁。
5、缺少補(bǔ)丁。常常是用戶提出了要求或者出現(xiàn)了病毒，才拼命尋找缺少的補(bǔ)丁。要隨時了解最新版本，盡量減少停運(yùn)時間。
6、沒有補(bǔ)丁審計跟蹤。如果你經(jīng)常打補(bǔ)丁，就要跟蹤打上了哪些補(bǔ)丁、何時打上，用于審計和跟蹤。
7、沒有正式的補(bǔ)丁流程。事先定義策略來指定誰可以批準(zhǔn)補(bǔ)丁、并指定補(bǔ)丁部署規(guī)程，這對補(bǔ)丁管理的成功至關(guān)重要。
分享題目：企業(yè)用戶如何應(yīng)對系統(tǒng)補(bǔ)丁管理難題
分享路徑：http://m.fisionsoft.com.cn/article/dhhoeop.html
