?

從漏洞看補丁管理策略

?

軟件的缺陷或漏洞隨時都可能造成系統(tǒng)崩潰或者***，所以，一旦發(fā)現(xiàn)漏洞，人們通常的第一反應是——趕快打補丁。但是，幾乎每天都有新的軟件缺陷、漏洞被發(fā)現(xiàn)，伴隨著無數(shù)相應的補丁或者臨時解決辦法，安裝如此多的漏洞和補丁是需要占用大量資源的。另外，倉促推出的補丁有時未必安全，相反，或許還會引入穩(wěn)定性、性能等方面的隱患。怎么辦？看來，漏洞管理不是僅僅打補丁就夠了，這里面隱藏著許多學問。權威人士告訴你：打補丁前要作衡量，建議通過漏洞的影響度、流行度、簡易度乘積（IPS）與企業(yè)資產聯(lián)系起來，以判斷該漏洞的安全風險，設定閾值，最終達到科學地打補丁的目的。 補丁和漏洞管理 形成資源漏斗 先來看一組數(shù)字。根據(jù)Meta Group的報道，2002年全年共發(fā)現(xiàn)和公布了4192個漏洞。同時，實際統(tǒng)計表明，平均一個系統(tǒng)管理員全年共花費1920個工時，將4個補丁打到120臺服務器上，即在一個服務器上打一個補丁的平均時間大約為4小時，其中包括備份安裝測試等環(huán)節(jié)。假設該名系統(tǒng)管理員具有良好的技能訓練，可以在20分鐘內閱讀研究完一個漏洞及其補丁解決方案，那么，4192個漏洞總共需要172個人天。再假設其中只有10％的漏洞適用于自己的網(wǎng)絡環(huán)境，這樣413個漏洞，每個相應的補丁部署在10臺服務器上，共需要2065個人天（即同樣配置的服務器數(shù)量為10個左右）。我們可以看到，這兩個人天數(shù)字加在一起，差不多是10個全職安全管理員一年的工作量，這里還沒有考慮對廠家發(fā)表的補丁進行測試和驗證的過程，也沒有考慮打補丁失敗造成的二次資源消耗。可以看到，補丁和漏洞管理已經成為一個很大的資源漏斗，占用大量的系統(tǒng)管理員資源。 任何一名企業(yè)管理者對這些系統(tǒng)和安全隱患不能視而不見，但是，這樣巨大的資源消耗也承受不起，必須找到更有效的解決途徑，以填補這個巨大的“漏斗”，這些解決途徑可以包括以下措施：引入知識共享或者外部知識庫（專業(yè)服務），減少漏洞和補丁學習過程消耗；建立有效的補丁管理流程和備份回卷計劃；引入自動化的補丁和漏洞管理工具，加速布部過程 補丁的風險成本 上面的數(shù)字說明打補丁對于任何一個企業(yè)來說，代價是非常昂貴的。這種成本包含有收集、了解、測試、部署、備份恢復以及風險等成本。但是，不打補丁的“成本”是數(shù)據(jù)失密、丟失、竄改、拒絕服務、系統(tǒng)恢復以及其它無形損失等。如果用一個簡單的數(shù)學模型來表達以上有關打補丁的成本分析，即打補丁的最佳時機的話，就是下面的成本不等式：部署成本＋補丁失敗概率×失敗成本 <= ******概率 × ******成本。 通常我們使用三個數(shù)字來描述一個漏洞的安全風險特性：I(影響度，即******成本)、P(流行度，即多大范圍內傳播了該漏洞)、S(簡易度，即利用該漏洞的難易)。后兩者的乘積（P×S）大約可以反映該漏洞導致******的概率。不等式的右邊I×P×S代表的是該漏洞對應的不打補丁成本，本質上反映的是補丁管理決定的防御強度（是否可以承受），參照圖1的示意圖。在曲線的最高點，按照100％安全的要求，即使是IPS乘積為0的補丁（即風險極小）也必須完全部署。這時的代價極高，通常不符合安全風險管理的投資回報原則。 從上面的不等式，我們可以看出，左面的部署成本和補丁失敗成本決定了“合算”的IPS強度。如果我們將部署成本降下來，通過測試將補丁失敗的幾率降下來，則可以在保證投資回報的前提下，將補丁引起的損失和成本降到最低，就可以提高IPS決定的防御強度。 尋找打補丁最佳時機 通常認為，對于發(fā)現(xiàn)的漏洞和補丁應該盡快安裝部署。但是，按照美國USENIX組織發(fā)表的一個針對CVE漏洞和補丁的研究數(shù)字表明，大概有18％左右的補丁會稍后進行重新發(fā)布，即出現(xiàn)了所謂的補丁的補丁，即意味著，在第一時間安裝上的補丁，有18％的可能會帶來新的缺陷或安全漏洞。隨著時間的推移，補丁本身的安全性和穩(wěn)定性會上升，由此造成的損失風險相應降低。 如圖2所示，我們必須在早打帶來的補丁失敗風險與晚打帶來的******風險之間進行平衡，選擇較好的時機。從對實際CVE漏洞和補丁的研究來看，新發(fā)表的補丁大概需要2周到4周左右的時間穩(wěn)定下來，換句話說，在補丁發(fā)表后兩周，考慮盡快部署可能是較為穩(wěn)妥的時間。如果不滿足這樣的時間延遲，則需要自己建立更強大快速的安全實驗室，專門來研究測試補丁。將大規(guī)模部署補丁的時間延遲提早到1周以內。 自動化打補丁 降低部署成本 從前面的不等式我們看出，降低部署成本、減小補丁失敗成本，可以提高補丁管理決定的安全防御強度。降低部署成本的有效辦法就是“自動化”，建立覆蓋全網(wǎng)的自動化補丁知識庫和管理系統(tǒng)，集中收集、建立、分發(fā)補丁包。這樣的自動化系統(tǒng)可以帶來下面所列的明顯收益：將整個補丁分發(fā)過程的時間窗口減小到極低；將每服務器/每補丁數(shù)小時的工時成本降到很低，即分發(fā)安裝費用降到接近零，只剩下制作軟件分發(fā)包、檢查測試補丁安裝結果的“工時”成本；保證全網(wǎng)在補丁配置管理方面的一致性。另外，減小補丁失敗成本的辦法是對補丁進行有效測試，具體做法可以是購買專業(yè)廠家的服務，也可以建立自己的安全實驗室。這樣的投資對于分布式的大企業(yè)來說，具有非常高的投資回報率。 補丁本身的特點注定補丁管理不可能有很好的預見性，但是作為管理者，在流程和手段上，卻不能不預見到補丁管理的特性和意義，及其實施中的具體問題。所有的補丁分發(fā)與管理工具只是幫助加速或者自動化相應的策略和過程，提高效率和質量而已，但是不可能改變邏輯。如果補丁管理流程本身是混亂的，那么自動化的后果也肯定是混亂的。 補丁管理相關策略和流程的設計需要充分考慮以下相關的重要流程環(huán)節(jié)，包括： 企業(yè)的安全策略：漏洞或者缺陷是對安全的威脅，安全策略應該覆蓋針對漏洞和補丁的相應策略，補丁和漏洞管理流程則應該與上述策略相適應。 變更和發(fā)布管理：補丁的制作、測試、批準和部署應該納入標準的變更和發(fā)布流程。如果當前尚沒有完整的變更和發(fā)布流程，則在補丁管理流程中應該明確定義補丁的優(yōu)先級或者分類、制作、測試、批準和部署以及驗證等相關職位、職責和時間。 配置管理：按照ITIL的最佳實踐，完整一致的中心配置管理數(shù)據(jù)庫（CMDB）是保持高水平IT服務管理的保障。定義補丁和漏洞相關的配置管理條目，并通過流程保證及時正確地更新。 資產管理：如果已經具備了資產管理體系和流程，補丁和漏洞應該與具體的資產和相關業(yè)務優(yōu)先級對應起來，正確設計不同關鍵性資產的特定流程。 備份恢復和業(yè)務連續(xù)性管理：補丁部署的前后都會與企業(yè)的備份恢復以及業(yè)務連續(xù)性管理有關，需要充分參考、在必要時修改更新備份恢復和業(yè)務連續(xù)性計劃。 緊急響應：所有的補丁管理流程必須設計相應的緊急響應流程。從前面的數(shù)字，我們知道，即使是官方正式發(fā)表的補丁，也有相當?shù)母怕蕰霈F(xiàn)自身新的缺陷或漏洞，與企業(yè)系統(tǒng)的應用關聯(lián)在一起，補丁的漏洞是絕對不可忽略的。流程中必須保證這樣的恢復和緊急響應環(huán)節(jié)。 管理層應該綜合考慮相關的各個方面，充分借鑒在IT服務管理或者ITIL方面的實踐經驗，或者借助于外部的專業(yè)服務，設計與整體IT基礎設施管理系統(tǒng)相匹配的補丁管理策略和操作流程。同時，在應用前面的自動化補丁管理系統(tǒng)之前，應該充分調查研究具體的IT環(huán)境和整個補丁生命周期的各種問題，設計較為周密的補丁管理策略和流程，至少應該明確定義補丁管理的使用范圍、補丁優(yōu)先級、補丁分發(fā)包的制作和測試、批準與分發(fā)安裝、安裝后測試、備份恢復計劃等。 補丁管理是當前IT系統(tǒng)管理中越來越繁雜的內容。補丁全部不打，安全風險太大；什么補丁都打，一方面成本很高，另外補丁本身帶來的風險也不可忽略。本文建議：通過漏洞的影響度、流行度、簡易度乘積（IPS）與資產聯(lián)系起來判斷該漏洞的安全風險，設定閾值。一般情況下，留出2周左右的測試時間，尤其是對于電信、銀行等關鍵性應用場合。部署自動化的補丁管理工具可以大幅減小漏洞收集和補丁部署成本，從而在相同投入情況下，提高補丁管理帶來的安全強度。補丁管理必須建立相應的流程，該流程應充分參考借鑒ITIL的最佳實踐，融入到整體的IT基礎設施管理體系中去。 圖1 從風險管理角度看補丁管理 圖2 尋找打補丁的最佳時機 責任編輯 趙毅 zhaoyi#51cto.com TEL:（010）68476636-8001

?

轉載于:https://blog.51cto.com/lhw135222/117429

總結

以上是生活随笔為你收集整理的补丁管理策略的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內容還不錯，歡迎將生活随笔推薦給好友。