Universitätsrechenzentrum
Patchverwaltung
Was sind Patches?
- Patch
= Hotfix =Update - Aktualisierung einer Installation (System, Software)
- Ziele
- Fehlerbeseitigung
- Änderung einer Konfiguration
- *sicheres System/sichere Software
- Warum ist ein sicheres System notwendig?
- Datenmanipulation
- Übernahme Authentizität
- Übernahme PC
- Kompromittierung anderer PCs
Installation von Patches
- von Hand
- wissen, dass Problem existiert
- wissen, dass Patch existiert
- Patch holen
- Sprache, betriebssystemplattform (XP, 2003, ...)
- http://www.microsoft.com/germany/technet/servicedesk/bulletin/default.mspx
- https://www.microsoft.com/germany/ms/security/default.mspx
- http://www.microsoft.com/technet/security/default.mspx
- Start -> Systemsteuerung -> Software -> Neue Programme Hinzufügen -> Windows Update
- Patch verifizieren (was wird warum wie verändert; Problem damit zu lösen?)
- Patch installieren
- Installation verifizieren
- Vorteile
- Zeitpunkt selbst bestimmbar
- Installationsentscheidung wird selbst getroffen
- Nachteile
- sehr zeitaufwändig
- Zeitpunkt kann zu spät liegen
- alle notwendigen Patches aktiviert?
- automatisch - Windows Update
- Herstellertechnologie
- für Windows XP, Windows 2003, Windows 2000
- vom Hersteller bereitgestellte Patches werden automatisch installiert
- nur "kritische" und "wichtige" Patches
- Installation konfigurationsabhängig
- Vorteile
- Installationstechnologie am (Klienten-)PC konfigurierbar
- bei vollständiger Automatisierung werden alle (relevanten) Patches installiert
- Nachteile
- bei vollständiger Automatisierung evtl. ungünstiger Zeitpunkt
- bei nicht vollständiger Automatisierung fehlende oder zu späte Patches
- Bewertung/Verifizierung trotzdem notwendig
- sehr hohe Netzlast (Kosten)
- jeder PC kontaktiert MS-Server
- n x große Bandbreite blockiert durch Patch-transfer
- im Installationsdienst Windows XP vorkonfiguriert
- Empfehlung des URZ: http://www.tu-chemnitz.de/urz/xp/security.html
- spezielle Lösung: Administrationsdienst Windows XP
- Patches werden wie Software behandelt
- Auswahl/Verifizierung/Bereitstellung durch Diensterbringer
- keinerlei explizite Aktivitäten am PC notwendig
- scheduling im Rahmen der regelmäßigen automatischen Überprüfung/Aktualisierung einer Installation (mindestens 1 x täglich)
- Vorteile
- Verifizierung (einmal) durch Diensterbringer
- Kontrolle durch Diensterbringer
- Nachteil
- für Diensterbringer: "Paketierung" zur normalen Software
lokaler Windows-Update-Server
- künftiger Dienst des URZ
- Bereitstellung der Patches auf einem Server im Campus-Netz
- vom Hersteller unterstützte Technologie
- Übernahme der vom Hersteller bereitgestellten Patches
- nur Patches für deutsche sowie englische Installation
- nur für genannte Plattformen
- Vorteile
- Verringerung der Netzlast
- verzögerte Bereitstellung zur Installation
- Bewertung/Verifizierung an TU Chemnitz
- Nutzung auch durch PCs ohne Internetzugang (Intranet, Quarantäne)
- Notwendigkeit der IE-Nutzung entfällt
Konfiguration der Klienten: PCs
- plattformabhängig (incl. vom Service Pack)
- Konfigurationsvarianten
- policies: Start -> Ausführen ==> gpedit.msc group policy edit
- Administrative Vorlagen => Windows-Komponenten => Windows Update
- _siehe http://www.gruppenrichtlinien.de/index.html?/HowTo/SUS_Server.htm
Punkt "3. Konfiguration der Clients über Gruppenrichtlinien ..."
- oder registry: Start -> Ausführen ==> regedit registry editor
- [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
- [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate] (Standardkonfiguration für Automatisches Update, für SUS nicht notwendig)
- Konfigurationsmenü: Start -> Systemsteuerung -> System -> Automatische Updates -> ...
- siehe dortige Hilfetexte
- Achtung: keine Konfiguration für SUS-Nutzung
- policies: Start -> Ausführen ==> gpedit.msc group policy edit
- Problem: keine Gruppenrichtlinie bzw. keine registry-Einträge
- Gruppenrichtlinie erweitern um WUAU.adm-template
siehe c:\Windows\inf\wuau.adm - ... -> gpedit.msc -> Computerkonfiguration: Administrative Vorlagen
=> rechte Maustaste/Alle Tasks/Vorlagen hinzufügen/entfernen => wuau.adm öffnen
- Gruppenrichtlinie erweitern um WUAU.adm-template
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://windowsupdate.tu-chemnitz.de"
"WUStatusServer"="http://windowsupdate.tu-chemnitz.de" [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"AutoInstallMinorUpdates"=dword:00000001
"DetectionFrequencyEnabled"=dword:00000001
"DetectionFrequency"=dword:00000006
"RebootRelaunchTimeoutEnabled"=dword:00000001
"RebootRelaunchTimeout"=dword:0000001e
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"UseWUServer"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate]
...
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update]
"ConfigVer"=dword:00000001
"AUState"=dword:00000005
"SusServerVersion"=dword:00000001
"NextDetectionTime"="2005-02-02 20:33:25"
Verifizierung am Klienten (Kontrollmöglichkeiten/Statistik)
- c:\Windows\WindowsUpdate.log
- event-Protokoll
- IDs: 16 - 22 in System (Anwendungen)
- c:\Programme\WindowsUpdate\V4\iuhist.xml
c:\Programme\WindowsUpdate\* - (values for the 'AUState' value under 'HKLM\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\AutoUpdate\AUState)
- AUState values
0 Initial 24 hour timeout (the AU wizard does not run until 24 hours after it first detects an Internet connection)
1 Waiting for user to run AU wizard
2 Detect pending
3 Download pending (waiting for user to accept pre-download prompt)
4 Download in progress
5 Install pending
6 Install complete
7 Disabled (Adoptions will also be set to a value of 0x1)
8 Reboot pending (updates that require a reboot were installed but the reboot was declined - AU will not do anything until the reboot occurs and this value is cleared)
- AUState values
Charakteristik dieses Dienstes
- regelmäßige Patchsynchronisation mit MS-Server (täglich)
- Patches für deutsche und englische Ausgabe
- Begutachtung/Testung der Patches -> Freigabe/Nichtfreigabe
- keine Freigabe von Service Packs - Bereitstellung an anderer Stelle
- durch Service Packs werden z.T. sehr große Änderungen gemacht, die nicht vorhersehbar sind
- verzögerte Freigabe
- keine Garantie für Funktionstüchtigkeit der Patches sowie Verträglichkeit mit jeweiliger Installation
- Mailingliste: windowsupdate@tu-chemnitz.de
Eintragen: http://mailman.tu-chemnitz.de/mailman/listinfo/windowsupdate - Wartungszeiten für Server
Diskussion
- F: Lokaler Windows-Update-Server schon in Betrieb?
A: ja, jedoch noch nicht im Rahmen eines Dienstes. Nutzung schon jetzt möglich, Rückinformationen gewünscht.
Adresse für Konfiguration: http://windowsupdate.tu-chemnitz.de - F: Software zur sicherheitsrelevanten Überprüfung einer lokalen Windows-Installation?
A: Microsoft Baseline Security Analyzer V1.2.1 (MBSA), siehe http://www.microsoft.com/technet/security/tools/mbsahome.mspx
Microsoft Network Security Hotfix Checker (Hfnetchk.exe), siehe http://support.microsoft.com/kb/q305385/ - F: Mailingliste oder newsgroup?
A: Kann beides parallel laufen. Für eine eigenständige news-Gruppe gibt es mangels aktueller Diskussion in bestehenden news-Grupppen keine Basis.
Nachtrag: Diskussionen sollten in einer existierenden news-Gruppe geführt bzw. in eine solche verlagert werden (aus Mailingliste). Zu empfehlen ist die news-Gruppe chemnitz.tu.urz - D: Erfahrungen in BWL
- D: Problem der Verifizierung am lokalen PC
|
||
|
||
| Gruppen Systemsoftware, Anwendungen 2005-02-14 : r1.11 |
Technische Universität Chemnitz, Straße der Nationen 62, 09107 Chemnitz Impressum - Copyright © 2003-2005 by TU Chemnitz, URZ, alle Rechte vorbehalten. |
Druckansicht |