Патч-менеджмент

Общее определение

Управление обновлениями (патч-менеджмент) — это логичное продолжение процесса аудита уязвимостей: переход от обнаружения проблемы к её устранению в рамках единого жизненного цикла управления уязвимостями. Vulns.io Enterprise VM — многофункциональная система для управления уязвимостями, анализа, усиления защищённости и управления обновлениями активов IT-инфраструктуры в автоматическом режиме. Патч-менеджмент замыкает этот цикл, позволяя устранять выявленные уязвимости непосредственно из системы.

Эта статья описывает механики установки обновлений, доступные источники, поддерживаемые подходы (агентный и безагентный) и практические ограничения, которые важно учитывать при планировании процесса обновления инфраструктуры.

Что такое патч-менеджмент

Патч-менеджмент — это функционал Системы, позволяющий централизованно устанавливать обновления на активы для устранения найденных уязвимостей. В зависимости от платформы актива патч-менеджмент охватывает:

• обновление пакетов — на Linux-активах;
• обновление стороннего ПО и обновлений безопасности (KB) — на Windows-активах.

Таким образом, патч-менеджмент выступает логичным продолжением аудита уязвимостей: от обнаружения проблемы Система переходит к её устранению в рамках единого процесса.

Для чего используется

Патч-менеджмент решает несколько практических задач управления безопасностью инфраструктуры:

• Оперативное устранение уязвимостей, выявленных в ходе аудита. Обновления устанавливаются централизованно, что сокращает время между обнаружением уязвимости и её закрытием.
• Снижение ручной нагрузки на администраторов за счёт централизованного управления обновлениями. Вместо обновления каждого актива по отдельности процесс управляется из единой точки.
• Контроль версий установленного ПО и статуса наличия патчей на активах. Это обеспечивает прозрачность состояния инфраструктуры и позволяет отслеживать, какие активы уже обновлены, а какие требуют внимания.

Патч-менеджмент для Linux-активов

Патч-менеджмент на Linux-активах позволяет централизованно устанавливать обновления пакетов для устранения выявленных уязвимостей. Ниже рассмотрено, что именно обновляется, какими способами, как выполняется процесс обновления и какие настройки перезагрузки доступны.

Что обновляется

На Linux-активах обновляются пакеты из репозиториев, подключённых к активу. Установка выполняется стандартными менеджерами пакетов операционной системы, среди которых:

• apt-get
• yum
• zypper
• urpmi и другие аналогичные менеджеры.

Использование штатных пакетных менеджеров ОС означает, что обновления идут через уже настроенные и доверенные для актива источники — репозитории, подключённые к системе.

Система поддерживает два режима обновления пакетов:

• Полное обновление — обновление всех доступных пакетов на активе.

• Выборочное обновление — обновление только конкретного уязвимого ПО, выбираемых из вкладки «Уязвимые пакеты» на карточке актива.

Выборочный режим удобен, когда необходимо закрыть конкретные уязвимости, не затрагивая остальные пакеты и минимизируя влияние на работоспособность системы. Полное обновление подходит для приведения актива в актуальное состояние целиком.

Как производится обновление

В общем виде процесс обновления состоит из трёх шагов:

1. Запуск команды пакетного менеджера.
2. Анализ вывода выполненной команды.
3. Формирование результата выполнения задачи.

Условия перезагрузки актива

После установки обновлений можно задать поведение при перезагрузке актива. Доступны три варианта:

Выбор условия перезагрузки следует делать осознанно: вариант «В любом случае» гарантирует применение обновлений, требующих рестарта, но может повлиять на доступность сервисов, тогда как «При необходимости» помогает минимизировать простои.

Важно! Патч-менеджмент на Linux-активах доступен как агентным, так и безагентным подходом. Это даёт гибкость при выборе схемы развёртывания — управлять обновлениями Linux-активов можно и без установки агента на актив, что упрощает работу в инфраструктурах, где размещение агентов нежелательно или ограничено.

Патч-менеджмент для Windows-активов

Патч-менеджмент на Windows-активах охватывает как обновления безопасности операционной системы, так и стороннее прикладное ПО. Ниже рассмотрены типы обновлений, процесс работы со сторонним ПО, источники и механики установки обновлений безопасности (KB), а также ключевые особенности реализации.

Два типа обновлений

Для Windows-активов поддерживаются два типа обновлений:

• обновления безопасности (KB);
• обновления стороннего прикладного ПО — из списка поддерживаемого.

Процесс работы с обновлениями стороннего ПО

Обновления стороннего ПО необходимо сначала явно скачать и разрешить к установке. Процесс включает следующие шаги:

1. Скачивание файла обновления с сайта вендора в хранилище Системы. Если сайт вендора недоступен, файл скачивается с зеркала updates.vulns.io.
2. Явное разрешение на установку конкретного файла обновления пользователем: действие «Разрешить для установки».
3. Создание задачи на установку.

Источники установки KB

При установке обновлений безопасности (KB) доступны четыре источника, при этом один из них принципиально отличается от остальных по механике работы:

• «По умолчанию» — источник, настроенный на активе по умолчанию.
• «Глобальный центр обновлений» — общие серверы обновлений Microsoft.
• «Локальный WSUS» — локальный сервер обновлений, настроенный на инфраструктуре.
• «Локальный центр обновлений Vulns.io» — новый источник, при котором файлы KB скачиваются не напрямую на актив, а сначала в хранилище на сервере и далее уже распространяются по активам (по аналогии с обновлением стороннего ПО).

Как производится установка KB

Механика установки KB различается в зависимости от выбранного источника. Существуют две принципиально разные схемы.

Из источников «По умолчанию» / «Глобальный центр обновлений» / «Локальный WSUS»

В этом случае KB скачиваются напрямую на актив:

1. С помощью запроса к Windows Update Agent API формируется список KB, доступных для установки на данном активе.
2. Формируется список KB для скачивания (с учётом условий задачи).
3. Производится скачивание KB из указанного источника.
4. Производится установка KB.
5. Формируется результат выполнения задачи, результат отправляется в Систему.

Из источников «Локальный центр обновлений Vulns.io»

Ключевое отличие этой механики в том, что KB сначала скачиваются в хранилище на сервере Системы и требуют разрешения на установку — аналогично механике обновления стороннего ПО:

1. Формируется список файлов обновления KB для скачивания применительно к выбранному активу.
2. Проверяется доступность файлов обновления на сервере Системы и наличие разрешений на установку (раздел «Обновления»).
3. Производится скачивание файлов обновления KB с сервера Системы на актив с проверкой хэшей и сигнатур.
4. Производится установка KB.
5. Формируется результат выполнения задачи, результат отправляется в Систему.

Сравнение механик установки KB

Полная и выборочная установка KB

Установка KB может выполняться полностью или выборочно, и эта возможность доступна для всех источников обновлений.

Статус проверки по данным БДУ ФСТЭК

Для каждого обновления отображается статус проверки по данным БДУ ФСТЭК — одно из значений: безопасно, с ограничениями, не рекомендуется или нет данных. Этот статус отображается независимо от выбранного источника установки, что позволяет специалистам по информационной безопасности оценивать риск каждого обновления перед его развёртыванием.

Важно! Патч-менеджмент на Windows-активах реализован только агентным подходом. Это следует учитывать при планировании развёртывания: для управления обновлениями Windows-активов необходимо наличие агента на активе.

Результаты выполнения задач обновления

По итогам выполнения задачи обновления Система формирует отчёт о проделанной работе, позволяющий верифицировать результат и при необходимости разобрать возникшие ошибки. Результаты включают:

• Список установленных, не установленных и удалённых пакетов или KB. Это позволяет точно понять, какие обновления были успешно применены, какие не удалось установить, а какие были удалены в ходе выполнения задачи.
• Консольный вывод команды и лог выполнения на активе. Детальный технический вывод даёт возможность проанализировать ход выполнения задачи непосредственно на активе и локализовать причину проблем в случае сбоя.

Такой набор результатов обеспечивает прозрачность процесса обновления: администраторы и специалисты по информационной безопасности могут подтвердить успешность закрытия уязвимостей и оперативно реагировать на неполадки, опираясь как на итоговый список изменений, так и на подробный лог выполнения.

Ограничения и особенности

При работе с патч-менеджментом важно учитывать ряд ограничений и особенностей, которые напрямую влияют на планирование и результат обновлений:

• Выборочное обновление возможно только при наличии исправленной версии. Выборочно обновить можно лишь те уязвимые пакеты или ПО, для которых существует версия с исправлением. Если исправленной версии нет, закрыть уязвимость через обновление соответствующего компонента не получится.
• Стороннее ПО Windows и KB из «Локального центра обновлений Vulns.io» требуют предварительного контроля. Для стороннего ПО Windows и для KB из источника «Локальный центр обновлений Vulns.io» каждый файл обновления перед использованием рекомендуется протестировать и явно подтвердить разрешение на установку. Это снижает риск сбоев из-за проблемных обновлений в промышленной среде.
• Безагентный режим для Linux равнозначен агентному. В безагентном режиме обновление пакетов на Linux поддерживается так же, как и агентно. Это даёт свободу выбора схемы развёртывания без потери функциональности патч-менеджмента для Linux-активов.

Практические рекомендации

На основе описанных механик и ограничений можно сформулировать рекомендации для специалистов, отвечающих за безопасность инфраструктуры:

1. Развёртывайте агенты на Windows-активах заранее — без агента патч-менеджмент для Windows недоступен.
2. Рассмотрите «Локальный центр обновлений Vulns.io» для сетей с ограниченным доступом активов к интернету — он централизует загрузку KB на сервер и снижает зависимость от прямого доступа к Microsoft/WSUS.
3. Внедрите процедуру тестирования и подтверждения обновлений для стороннего ПО Windows и KB из локального центра обновлений, чтобы избежать распространения проблемных патчей.
4. Используйте отчёты о результатах (список установленных/не установленных/удалённых пакетов и консольный вывод) для контроля успешности задач и оперативной диагностики.
5. Рассматривайте патч-менеджмент как часть единого цикла управления уязвимостями — от обнаружения при аудите до устранения.

Заключение

Патч-менеджмент представляет собой логичное продолжение аудита уязвимостей — переход от обнаружения проблемы к её устранению в рамках единого жизненного цикла управления уязвимостями. Централизованно устанавливая обновления на активы, Система замыкает этот цикл: выявленные в ходе аудита уязвимости оперативно закрываются, снижается ручная нагрузка на администраторов, а версии установленного ПО и статус наличия патчей остаются под контролем.

Функционал охватывает обе ключевые платформы — обновление пакетов на Linux-активах (агентным и безагентным подходом) и обновление стороннего ПО и обновлений безопасности (KB) на Windows-активах (только агентным подходом). Гибкость обеспечивается за счёт полной и выборочной установки, настройки условий перезагрузки и отображения статуса проверки обновлений по данным БДУ ФСТЭК независимо от выбранного источника.

Отдельно стоит подчеркнуть значимость нового источника «Локальный центр обновлений Vulns.io» для установки KB. Он:

• снижает зависимость от прямого доступа активов к серверам Microsoft и локальному WSUS;
• приближает механику установки KB к уже привычной и контролируемой схеме обновления стороннего ПО — с предварительной загрузкой файлов в хранилище Системы, явным разрешением на установку и проверкой хэшей и сигнатур.

В совокупности это делает патч-менеджмент в Vulns.io управляемым и прозрачным инструментом устранения уязвимостей, позволяющим специалистам по информационной безопасности и администраторам принимать обоснованные технические решения на всех этапах — от обнаружения проблемы до её закрытия.