Updates und der Weg zur Hölle

Im Moment ist der Sturm der Updates perfekt. Zusätzlich zu dem scheinbar endlosen Strom von Betriebssystem-Updates gibt es Updates für Anwendungen und jetzt Updates für Ihre Hardware. Wir haben uns alle an die monatliche Veröffentlichung von Patches für Microsoft Windows gewöhnt, bis zu dem Punkt, an dem wir jeden Monat Patch Tuesday erwarten. Aber jetzt gibt es noch mehr.

Sicherheitsforscher entdeckten Probleme mit der Intel Management Engine, die in einem eigenen kleinen Betriebssystem mit Intel-Prozessoren arbeitet. Anschließend stellten die Forscher ernsthafte Probleme bei der Planung der Programmausführung durch Prozessoren fest, die zu Schwachstellen mit den Bezeichnungen Spectre und Meltdown führten. Meltdown wirkt sich auf die Sicherheitsgrenzen beim Zwischenspeichern von Prozessoren aus, während Spectre an der spekulativen Ausführung beteiligt ist und alle Prozessoren betrifft, nicht nur die von Intel. (Eine vollständige Beschreibung finden Sie in der Spalte "Schutz Ihrer Geräte vor Kernschmelze" in Tom Brant, "Spectre Bugs".)

Neben den üblichen Updates für Windows und Linux und den selteneren Updates für MacOS werden jetzt auch Updates für die Prozessoren angezeigt, die diese unterstützen. Im Herbst 2017 stellte Intel PC-Herstellern Updates für die Management Engine zur Verfügung, die dann Firmware-Patches herausgaben. Danach kamen Patches für Firmware und Prozessor-Mikrocode, um Meltdown auf Intel-Prozessoren und in gewissem Maße Spectre auf fast jedem Prozessor zu beheben.

Die Spectre- und Meltdown-Patches werden auch in der Betriebssystemsoftware angezeigt, sodass am 3. Januar ein wichtiges Windows-Update aus der normalen Patch-Dienstag-Sequenz herausgegeben wurde. Und natürlich gab es noch den regulären Patch Tuesday.

Aktualisieren oder nicht aktualisieren

Plötzlich fliegen viele Updates herum. Wenden Sie sie nur so schnell an, wie sie auftauchen? Die Antwort lautet: wahrscheinlich nicht. Intel behebt bereits Probleme mit einigen älteren Prozessoren, die nach dem Anwenden der Patches neu gestartet wurden. Nun gibt es Berichte, dass einige industrielle Steuerungssysteme aufgrund der Patches fehlerhaft funktionieren.

Es ist klar, dass Sie zweimal darüber nachdenken sollten, Patches einfach anzuwenden, wenn sie angezeigt werden. Aber Sie müssen sich auch um die Konsequenzen sorgen, wenn Sie dies nicht tun. Wie soll man sich entscheiden?

Die Konsequenzen der Nichtdurchführung eines Updates sind bekannt. Schließlich wird eine nicht gepatchte Sicherheitsanfälligkeit Ihr System für einen von vielen Exploits öffnen, was zu Datenverlust und all den folgenden schlechten Dingen führen wird. Aber es gibt auch Konsequenzen, wenn Sie sich für Patches entscheiden. Zusätzlich zu den Problemen, die mit den Fixes von Intel zusammenhängen, kann es vorkommen, dass Aktualisierungen Ihrer Betriebssysteme Probleme verursachen. Sie müssen diese berücksichtigen.

Es ist beispielsweise möglich, dass lokal geschriebene oder einige benutzerdefinierte Apps nach dem Anwenden eines Patches auf Windows nicht ordnungsgemäß funktionieren. Dies ist heutzutage sehr selten, aber die Möglichkeit besteht. Wenn Sie eine solche App haben, müssen Sie das Update testen, bevor Sie es auf alle Ihre Systeme anwenden können.

Probleme treten eher auf, wenn es sich um ein schwerwiegendes Update handelt, z. B. wenn viele Computersysteme von Windows 7 auf Windows 10 aktualisiert wurden. Trotz der Tatsache, dass kommerzielle Software den Übergang bewältigen sollte, ist es weiterhin wichtig, die Änderungen zu testen ein paar Computer, bevor Sie den ganzen Weg gehen.

Wenn Sie mit Bürocomputern arbeiten, auf denen Office-Apps ausgeführt werden, besteht unter normalen Umständen kaum ein Grund, die Aktualisierung nicht zuzulassen, sobald die Arbeitsbelastung der Person, die sie verwendet, dies zulässt. Das Update birgt nur ein geringes Risiko und das Risiko, dass Benutzer etwas tun, das sie nicht tun sollten, ist ziemlich hoch.

Besondere Überlegungen zu Servern

Als Server verwendete Computer sind ein anderes Problem. Dort ist das Risiko von Benutzern etwas geringer, aber das Risiko, das durch ein Update mit Problemen entstehen kann, ist höher. Darüber hinaus entstehen Ausfallkosten, wenn der Server für Ihr Unternehmen von wesentlicher Bedeutung ist. In einem solchen Fall muss der Vorgang des Anwendens des Updates sorgfältig abgewogen werden.

Die beste Methode zum Aktualisieren von Servern ist möglicherweise eine nach der anderen, beginnend mit einem Ersatzserver. Sie aktualisieren einen Ersatzserver und testen das. Wenn Sie sicher sind, dass es ordnungsgemäß funktioniert, tauschen Sie einen Server gegen den aktualisierten aus. Behalten Sie die alte für eine Weile bei, falls das Update nicht gut mit dem Rest des Netzwerks funktioniert, und aktualisieren Sie es dann. Je nachdem, wie viele Server Sie haben, können Sie dies nacheinander tun oder mithilfe Ihrer Patch-Verwaltungssoftware automatisieren.

Was ist der Schlüssel ist, dass Sie nicht einfach aufhören, Ihre Updates für immer zu tun. Viele der Datenverletzungen, die 2017 und früher erfolgreich waren, waren möglich, weil die Hacker Exploits verwendeten, die von nicht gepatchten Schwachstellen abhingen, für die Updates und Patches für Monate oder Jahre verfügbar waren, die jedoch nie angewendet wurden. Die sofortige Verfügbarkeit von Exploits, die von der Nachrichtendienste-Community entwickelt wurden - und seitdem ausgelaufen sind - erhöht das Risiko, dass Patches nicht mehr gepatcht werden.

Wenn Sie die Entscheidungsfindung aufteilen, wird es einfacher. Patchen Sie zunächst sofort die Systeme, auf denen das Patch-Risiko gering und das Risiko des Nicht-Patchens am höchsten ist, einschließlich Ihrer Büromaschinen und aller öffentlich zugänglichen Computer. Wenden Sie als Nächstes Patches und Updates auf Systeme an, bei denen Sie sich eine kurze Ausfallzeit leisten können, z. B. Server, die über Nacht offline gehen können.

Betrachten Sie abschließend den Patch-and-Replace-Ansatz für den Rest Ihrer Systeme, bei dem Sie mehr Zeit zum Testen haben und Ausfallzeiten minimiert werden. Geben Sie den Systemen, die Sie austauschen, erneut Zeit, um sicherzustellen, dass sie im Netzwerk einwandfrei funktionieren.

Aber was auch immer Sie tun, versäumen Sie nicht, kritische Patches anzuwenden. Planen Sie sie so, dass sie Ihren Anforderungen entsprechen, aber verschieben Sie sie nicht einfach. Sie möchten nicht das nächste Unternehmen sein, das aufgrund eines Angriffs auf die Titelseiten gelangt.