1. Was ist Patch-Management und wie wird es unter Linux gehandhabt?

2. Warum ist das Linux-Patch-Management wichtig?

3. Patch-Management Schritt für Schritt

4. Bewährte Verfahren für das Linux-Patch-Management

5. Automatisierte Software-Tools für das Linux-Patch-Management

6. Blogs

7. Zusätzliche Ressourcen

Was ist Patch-Management und wie wird es unter Linux gehandhabt?

Patch management besteht darin, Computer, mobile Geräte oder andere Maschinen in einem Netzwerk auf fehlende Software-Updates, so genannte "Patches", zu überprüfen und das Problem zu beheben, indem diese Patches installiert werden, sobald sie verfügbar sind. Patches sind eine Art von Code, der in den Code eines bestehenden Softwareprogramms eingefügt (oder gepatcht) wird.

Der Prozess des Patch-Managements für Linux-Betriebssysteme beginnt mit dem Scannen von Linux-Endpunkten und der Identifizierung fehlender Patches, dem anschließenden Herunterladen von Patches von den Websites der Anbieter und der Bereitstellung auf den Client-Rechnern. Linux-Patches umfassen mehr als eine einfache Anwendung auf den Quellcode eines Kernels. Zu diesen Patches gehören auch Updates, die die Sicherheit des Systems und die Minimierung von Fehlern gewährleisten und mit den neuesten Funktionen Schritt halten.

Beim Patch-Management unter Linux gibt es besondere Herausforderungen zu beachten. Aufgrund der Vorherrschaft des Windows-Betriebssystems versäumen es Administratoren manchmal, die Linux-Systeme in ihrem Netzwerk zu patchen. Die Open-Source-Codebasis von Linux kann jedoch immer noch Bugs und Schwachstellen enthalten, die gepatcht werden müssen, um Hackerangriffe zu verhindern. Jede neue Linux-Version enthält mehr als 10.000 Patches. Außerdem geht jede Linux-Version anders mit Patches um. Die Lösungen können unhandlich sein, möglicherweise miteinander kollidieren oder eine eingeschränkte Kontrolle über Patches bieten.

Auch Linux-Kernel-Patches werden im Allgemeinen anders behandelt als andere Patches - und sind am besten von anderen Software-Patches auf Linux-Servern zu trennen. Für Kernel-Patches kann ein Neustart des Systems erforderlich sein, im Gegensatz zur Durchführung von Patches für andere Software, die auf dem Linux-Server läuft.

Immer mehr Unternehmen migrieren zu Cloud-Service-Anbietern wie Amazon Web Services (AWS). Während die AWS-Rechenzentren und die Architektur sicher sein mögen, liegt die Sicherheit der Anwendungen, die in der AWS-Cloud laufen, in der Verantwortung des Unternehmens. Es ist dennoch wichtig, regelmäßig nach Schwachstellen und Patches zu suchen und den aktuellen Bestand an Geräten und Servern zu überwachen.

Wichtige Punkte, die Sie über das Patch-Management im Allgemeinen wissen sollten, sind:

• Patch-Management erwirbt, testet und installiert mehrere Code-Änderungen an verwalteten Computersystemen, um diese auf dem neuesten Stand zu halten. Der Prozess bestimmt auch die geeigneten Patches für jedes Softwareprogramm und plant die Installation der Patches auf verschiedenen Systemen.

• Patches sind notwendig, um sicherzustellen, dass die Systeme repariert, auf dem neuesten Stand und vor Sicherheitslücken und Fehlern in der Software geschützt sind. Ein Netzwerk, das nicht gepatcht wird, ist doppelt verwundbar - die Schwachstelle ist nicht nur vorhanden, sondern wurde auch veröffentlicht, so dass es wahrscheinlicher ist, dass sie von böswilligen Benutzern, Hackern und Virenschreibern ausgenutzt wird.

• Beim Patch-Management bestimmt ein einzelnes Team oder eine automatisierte Software, welche Tools Patches benötigen und überwacht dann, wann Korrekturen vorgenommen werden müssen. In vielen Fällen kann die Installation auf einem zentralen Verwaltungscomputer erfolgen und auf alle anderen Geräte übertragen werden. In manchen Fällen müssen Patches separat auf verschiedenen Geräten installiert werden - vor allem, wenn es sich um Patches für Software handelt, die nur auf einigen wenigen Computern installiert ist.

• Patch-Management gehört auch die Entscheidung, welche Patches wichtig sind und wann sie auf einem System installiert werden sollten.

Warum ist das Linux-Patch-Management wichtig?

Eine ordnungsgemäßes Patch-Management kann die Sicherheit eines Unternehmens erheblich verbessern, indem sie die Schwachstellen in der Software und den Betriebssystemen behebt. So zählen beispielsweise das FBI und das SANS Institute Software-Schwachstellen für Linux-Systeme zu den 20 kritischsten Schwachstellen.

Hier sind einige Gründe, warum das Patch-Management eine wichtige Ausgabe in fast jedem IT-Budget ist:

• Sicherheit
  Sicherheit ist der wichtigste Vorteil des Patch-Managements. Sicherheitslücken im Netzwerk werden meist durch fehlende Patches in Betriebssystemen und anderen Anwendungen verursacht. Auch wenn die Sicherheit von Linux im Allgemeinen nicht leicht zu durchbrechen ist, ist es dennoch anfällig für Malware - auch für solche aus installierten Anwendungen mit Root-Zugriff. Am besten überwachen Sie den Bedarf an Sicherheitswarnungen und wenden Linux-Sicherheitspatches an, um die Server zu aktualisieren - und um mögliche Sicherheitslücken zu schließen, die durch veraltete Software oder schlecht geschriebene Anwendungen entstehen.

• BYOD
  Das Aufkommen von "Bring Your Own Device" (BYOD) hat Cyberangreifern ganz neue Möglichkeiten eröffnet. Eine gute Patch-Management-Software installiert Patches auf allen Geräten, unabhängig von deren Standort. Dabei geht sie viele der Herausforderungen an, die mit der Nutzung persönlicher Geräte einhergehen.

• Produktivität
  Computerabstürze aufgrund defekter Software können immer noch vorkommen, was letztendlich zu einer geringeren Produktivität führt. Ein Patch hingegen verringert die Möglichkeit von Abstürzen und Ausfallzeiten und ermöglicht es den Mitarbeitern, ihre Aufgaben ohne Unterbrechungen zu erledigen. So sind beispielsweise Patches, die Linux-Systemabstürze reparieren, oder Performance-Patches, die leistungsschwache Sperrmechanismen beheben, aufgrund ihrer Auswirkungen auf die Produktivität der Mitarbeiter wichtige nicht sicherheitsrelevante Patches.

• Einhaltung der Vorschriften
  Cyber-Bedrohungen sind alltäglich geworden, und deshalb schreiben die Aufsichtsbehörden vor, dass Unternehmen die neuesten Patches anwenden, um diese Bedrohungen zu vermeiden. Die Nichteinhaltung dieser Vorschriften kann zu hohen Strafen führen. Daher müssen Linux-Systeme vollständig gepatcht sein, um diese Standards zu erfüllen.

• Feature-Updates
  Bei Patches geht es nicht immer um die Behebung von Fehlern. Sie können auch neue Features und Funktionen enthalten, die die neuesten Innovationen der Software nutzen. Die Wartung von Linux-Servern durch Patches kann jedoch zu Problemen mit Abhängigkeiten führen. Wenn ein Fehler beim Linux-Patching gemacht wird, können Software-Abhängigkeitskonflikte entstehen, die andere Software-Updates, z. B. für Geschäftsanwendungen, verhindern.

• Perspektive für das Geschäftsumfeld
  Das Patch-Management kann Ihnen einen Überblick über Ihre aktuelle Geschäftsumgebung verschaffen. Oft stellen Anbieter die Zusendung von Patches für ihre Software ein, weil sie an der nächsten Version arbeiten oder das Unternehmen seine Geschäftstätigkeit eingestellt hat und keine Fehlerbehebungen mehr vornimmt. Es ist ratsam, Software, für die es keinen technischen Support mehr gibt, nicht mehr zu verwenden. Die Patch-Verwaltung hilft Ihnen, solche Software zu identifizieren, damit Sie wissen, wann Sie auf eine neue Software umsteigen müssen.

Patch-Management Schritt für Schritt

Im Vergleich zum Microsoft Windows-Betriebssystem kann das Patchen von Linux-Servern komplexer sein. Da es sich um Open-Source-Software handelt, ist die Entwicklung von Linux-Software weniger reglementiert, so dass Updates unvorhersehbar sein können. Außerdem ist es wichtig zu wissen, wann der Support für eine Hauptversion eines Linux-Betriebssystems ausläuft. Dies ist vor allem für Unternehmen oder Umgebungen, die Unternehmensdistributionen wie Red Hat verwenden, unerlässlich. 

Die Installation der neuesten Updates ist nicht der effektivste Prozess der Patch-Verwaltung. Vielmehr sollte jedes Tool eine Reihe von detaillierten Schritten befolgen, um sicherzustellen, dass das Endergebnis wirtschaftlich, effizient und effektiv ist.

Im Folgenden finden Sie einige wichtige Schritte zur Erstellung eines aktuellen Inventars der vorhandenen Geräte:

1. Erstellen Sie eine Patch-Management-Richtlinie.

2. Überwachen und scannen Sie das Netzwerk und die Geräte regelmäßig, um Schwachstellen und fehlende Patches zu identifizieren.

3. Überprüfen Sie die erfolgreiche Installation der heruntergeladenen Patches in einer Testumgebung und achten Sie auf eventuelle Inkompatibilitäten oder Leistungsprobleme.

4. Wenden Sie den Patch auf das gesamte Unternehmen an, wenn während der Testphase keine Probleme festgestellt wurden.

5. Erstellen Sie eine ausführliche Dokumentation und Berichte über das Herunterladen, Testen und Installieren von Patches für Audits und die Einhaltung von Vorschriften.

Auch wenn diese Schritte variieren können, sollten die Updates nicht einfach installiert werden, sobald sie verfügbar sind. Stattdessen sollten sie einen vom Unternehmen festgelegten Prozess durchlaufen. Ein solcher prozessorientierter Ansatz erleichtert auch die Befolgung einiger der besten Praktiken der Patch-Verwaltung.

Bewährte Verfahren für das Linux-Patch-Management

Im Folgenden finden Sie einige bewährte Verfahren für das Linux-Patch-Management, die einem Unternehmen dabei helfen, seine Sicherheit zu verbessern und immer auf dem neuesten Stand zu bleiben, was die neuesten Software-Erweiterungen angeht:

• Vermitteln Sie die Vorteile von Patch Management
  Patch-Management ist ein wesentlicher Bestandteil der Softwarewelt, und es ist wichtig, dass sowohl das Management als auch das Administratorenteam die Vorteile für das Unternehmen als Ganzes verstehen.

• Legen Sie Verfahrensstandards für das Patchen fest
  Die Standards sollten veröffentlicht und an alle Systemadministratoren weitergegeben werden.

• Abonnieren Sie die Sicherheits-Mailingliste Ihrer Linux-Distribution
  Bei Core-Software ist es wichtig, dass Sie sofort über benötigte Sicherheits-Patches informiert werden.

• Führen Sie eine Bestandsaufnahme durch
  Verfügen Sie über eine Liste der Linux-Server-Softwareversionen, Releases und Patch-Levels in der Produktionssoftware. Dies ermöglicht den automatischen Abgleich eingehender Patches mit dem Softwarebestand.

• Automatisieren Sie, wo es möglich ist
  Entlasten Sie Ihr IT-Personal, indem Sie eines der automatisierten Tools für das Patch-Management implementieren, die mit Linux-Servern kompatibel sind. Die Automatisierung verkürzt die Zeit vom Erhalt des Patches bis zum Testen und der Bereitstellung.

• Lesen Sie die Dokumentation, bevor Sie Patches anwenden
  Prüfen Sie die Readme-Informationen sowie die Voraussetzungen, Probleme, Funktionsänderungen und andere mögliche Umgehungen. Manchmal können Patches Ihrem System sogar schaden.

• Priorisieren Sie Linux-Server-Patches
  Bestimmen Sie, welche Linux-Server-Patches kritisch sind und welche Patches später installiert werden können.

• Testen Sie gründlich vor der Bereitstellung
  Idealerweise testen Sie Patches in einer simulierten Linux-Produktionsumgebung. Stellen Sie Patches zumindest auf einigen wenigen kontrollierten Produktionsrechnern bereit, auf denen Sie bei Problemen schnell ein Rollback durchführen können. Wenn Sie Patches bereitstellen, ohne sie ordnungsgemäß zu testen, riskieren Sie, dass einer der Patches zu Konflikten führt und Probleme in der Infrastruktur des Unternehmens verursacht.

• Halten Sie alle Beteiligten auf dem Laufenden
  Informieren Sie Endbenutzer und Administratoren über die Bereitstellung von Linux-Server-Patches. Informieren Sie sie über die Schritte, die sie unternehmen sollten, wenn es Probleme gibt.

• Arbeiten Sie mit Ihren Managed Service Providern zusammen
  Viele Managed Service Provider bieten Patch-Management-Services an, die auf die Bedürfnisse verschiedener Unternehmen zugeschnitten sind. Wenn Sie unter Zeit- oder Ressourcenmangel leiden, sollten Sie diese Option in Betracht ziehen, damit Sie sich auf Ihr Kerngeschäft konzentrieren können.

• Erstellen Sie einen Notfallplan für die Wiederherstellung
  Backups sind die einfachste Option und können auch dazu verwendet werden, andere Risiken wie eine Vireninfektion oder ein Eindringen in Ihr System zu mindern.

Automatisierte Software-Tools für das Linux-Patch-Management

In den letzten Jahren sind automatisierte Tools für das Patch-Management aufgetaucht, um Administratoren zu entlasten und die Gesamteffizienz des Herunterladens und Installierens von Patches auf verschiedenen Geräten zu verbessern.

Diese Netzwerküberwachungslösungen können dabei helfen, Linux-Server-Patches schneller und geordneter zu verteilen. Denken Sie über den Einsatz automatisierter Patch-Management-Tools nach, wenn die Anzahl Ihrer Linux-Server 40 oder 50 übersteigt. Bei einer solchen Anzahl ist die IT-Abteilung mit dem manuellen Patchen möglicherweise so ausgelastet, dass sie nur noch Patches mit dringenden und hohen Prioritäten einspielen kann.

Doch wie wählen Sie angesichts der Vielzahl der heute verfügbaren Patch-Management-Tools die richtige Software für die Überwachung Ihres Netzwerks aus? Im Folgenden finden Sie einige Funktionen, die eine gute automatische Patch-Management-Software bieten sollte:

• Funktioniert auf verschiedenen Plattformen und Betriebssystemen - einschließlich Microsoft®-, MAC OS X®- und Linux®-Betriebssystemen, Amazon Web Services (AWS), anderen Cloud-Plattformen sowie Anwendungen von Drittanbietern

• Scannt das gesamte Netzwerk, um fehlende Patches für verschiedene Software zu identifizieren

• Lädt Patches direkt von den Websites der Hersteller herunter

• Beinhaltet effizientes Testen und Verteilen von Patches

• Überwacht und liefert detaillierte Berichte, damit Administratoren einen vollständigen Überblick über fehlende, heruntergeladene, getestete und installierte Patches erhalten.

• Lässt sich problemlos auf allen Geräten wie Desktops, Laptops und Servern installieren.

• Integriert mit automatischem Patch-Management, damit Sie Zeit sparen können

• Erzeugt Berichte über den Status der einzelnen Updates und relevante Statistiken über Patch-Installationen und Updates zu Prüfzwecken

Unternehmen mit großen Netzwerken können ein automatisiertes Patch-Management-Tool wie GFI LanGuard einsetzen, um die Überwachung und Berichterstellung mit Fernzugriffsfunktionen zu zentralisieren. GFI LanGuard bietet eine Web-basierte Konsole, die über sichere Protokolle von jedem Standort oder Gerät aus mit allen gängigen Browsern zugänglich ist.

Blogs

Zusätzliche Ressourcen