The Microsoft Guide to

Microsoft-Leitfaden zur Sicherheitspatch-Verwaltung

Solutions for Security

Solutions for Management

Die in diesen Unterlagen enthaltenen Angaben und Daten, einschlielich URLs und anderen Verweisen auf Internetwebsites, knnen ohne vorherige Ankndigung gendert werden. Die in den Beispielen verwendeten Firmen, Organisationen, Produkte, Personen und Ereignisse sind frei erfunden. Jede hnlichkeit mit bestehenden Firmen, Organisationen, Produkten, Personen oder Ereignissen ist rein zufllig. Die Verantwortung fr die Beachtung aller geltenden Urheberrechte liegt allein beim Benutzer. Unabhngig von der Anwendbarkeit der entsprechenden Urheberrechtsgesetze, darf ohne ausdrckliche schriftliche Erlaubnis der Microsoft Corporation kein Teil dieser Unterlagen fr irgendwelche Zwecke vervielfltigt oder bertragen werden, unabhngig davon, auf welche Art und Weise oder mit welchen Mitteln, elektronisch oder mechanisch, dies geschieht.

Es ist mglich, dass Microsoft Rechte an Patenten bzw. angemeldeten Patenten, an Marken, Urheberrechten oder sonstigem geistigen Eigentum besitzt, die sich auf den fachlichen Inhalt dieses Dokuments beziehen. Das Bereitstellen dieses Dokuments gibt Ihnen jedoch keinen Anspruch auf diese Patente, Marken, Urheberrechte oder auf sonstiges geistiges Eigentum, es sei denn, dies wird ausdrcklich in den schriftlichen Lizenzvertrgen von Microsoft eingerumt.

2003Microsoft Corporation. Alle Rechte vorbehalten.

Weitere in diesem Dokument aufgefhrte tatschliche Produkt- und Firmennamen knnen geschtzte Marken ihrer jeweiligen Inhaber sein.

Inhaltsverzeichnis

2Inhaltsverzeichnis

5berblick

5Kurzfassung

6Hinweise zur Lektre

8Software und Ressourcen

9Umfang des Leitfadens

10Ihre Meinung

10Beratung und Support

10Danksagung

11Verffentlichungshinweise

11nderungen in dieser Ausgabe

12Offene Fragen und Probleme

12Teil I

12Wichtige Informationen

121 Einfhrung in die Sicherheitspatch-Verwaltung

12Sichere IT-Verwaltung und Betrieb

13Sicherheitspatch-Verwaltung

14Sicherheit: Terminologie

16Wie Microsoft Software nach Verffentlichung korrigiert

17Die Bedeutung einer proaktiven Sicherheitspatch-Verwaltung

192 Vorbereitung der Patchverwaltung

19Bewerten Ihrer Umgebung, Risiken und Anforderungen

22Definieren von Gruppen und Verantwortlichen

22Weitere Schritte

233 Verstehen der Sicherheitspatch-Verwaltung

24Einrichtung

27nderungseinleitung

31Sicherheits-Verffentlichungen

36Erzwingen von Sicherheitsrichtlinien

36Reaktionen auf sicherheitsrelevante Notflle

37Ergebnisoptimierung

374 Werkzeuge und Technologien

37Kurzfassung: Verteilung von Software-Updates

39Microsoft-Produkt- und Technologie-Wegweiser

45Anhang A

45Drittanbieter-Werkzeuge und Ressourcen

46Patchverwaltung

46Software fr die Sicherheit

47Teil II

47Phasenmodel der Sicherheitspatch-Verwaltung

481 Einfhrung

48berblick ber das Phasenmodell einer Sicherheitspatch-Verwaltung

48Unregelmige Aktivitten

51Einfhrung in verschiedene Techniken

522 Einrichtung

52Zusammenfassung

52Konfiguration und Pflege der Infrastruktur

53Basiseinrichtung

55Abonnements

57Sicherheitsberichte

58Einrichtungs-Techniken

693 nderungseinleitung

69Zusammenfassung

70Identifikation

72Relevanz

73Quarantne

744 Verffentlichung

74Zusammenfassung

75nderungsverwaltung

79Verffentlichungsverwaltung

83nderungsberprfung

84Techniken der Sicherheitsverffentlichungen

915 Sicherheitsrichtlinien durchsetzen

91Zusammenfassung

93Strategien zur Durchsetzung

946 Reaktion auf sicherheitsrelevante Notflle

94Zusammenfassung

95Vorbereitungen fr den Notfall Planen von Alternativen

96Einbruchserkennung

99Notfall-Reaktionsplan

102Aktivitten nach dem Vorfall und Nachbetrachtung

1037 Ergebnisoptimierung

103Messverfahren und Verbesserungen

107Ttigkeitsbeurteilung

107Sicherheitsbeurteilung

berblick

Kurzfassung

Die unternehmerische Problemstellung

Organisationen sind von IT-Ressourcen und deren Sicherheit abhngig: Whrend einige Tage Ausfallzeit nur kostspielig sind, kann eine Sicherheitskompromittierung schwerwiegende Folgen haben.

Viren und Wrmer, wie etwa Klez, Nimda und SQL-Slammer, verwenden Sicherheitslcken um Computer anzugreifen und von diesen aus neue Angriffe auf andere Computer zu starten. Diese Sicherheitslcken geben Angreifern auerdem die Mglichkeit, Informationen und Systeme zu kompromittieren, sowie den Zugriff von rechtmigen Benutzern zu unterbinden. Der Angreifer knnte sich erweiterte Berechtigungen auf einem System verschaffen und Daten lesen und verndern.

Die Betriebskosten eines Ausfalltages knnen grtenteils abgeschtzt werden, aber wie verhlt es sich mit Informationen, wenn diese der ffentlichkeit preisgegeben werden?

Ein Sicherheitsproblem und der resultierende Verlust an Glaubwrdigkeit (gegenber Kunden, Partnern und Behrden), kann fr ein Unternehmen schwere Probleme aufwerfen. Unternehmen, denen es nicht gelingt, eine proaktive Sicherheitspatch-Verwaltung als Teil ihrer IT-Strategie umzusetzen, gehen ein unntiges Risiko ein.

Die Reaktion

Microsoft nimmt Sicherheitbedrohungen sehr ernst, und stellt Ihnen schnelle Hilfe und Sicherheitspatches zur Verfgung. Microsoft mchte sicherstellen, dass Kunden die Mglichkeit haben, ihre Computer gegen Sicherheitslcken abzusichern, bevor diese durch Viren oder Angreifer ausgenutzt werden knnen.

Einige Unternehmen wenden regelmig Sicherheitspatches an, um das Risiko eines zuknftigen Angriffs zu minimieren und ihre Umgebung abzusichern eine Menge anderer Unternehmen machen dies nicht. Um IT-Ressourcen sicher zu halten, ist eine proaktive Sicherheitspatch-Verwaltung notwendig.

Dieser Leitfaden bietet Unternehmen przise Informationen, Anleitungen, Werkzeuge und Vorlagen, um bei einer kostengnstigen Realisierung einer sicheren und verlsslichen Microsoft-Umgebung ber eine proaktive Beurteilung von Sicherheitslcken und der Verwendung von Sicherheitspatches zu helfen.

Hinweis: Dieser Leitfaden bietet Informationen ber die Wartung von Computern innerhalb eines Unternehmens. Wenn Sie fr die Sicherheit ihres eigenen Computers verantwortlich sind, finden Sie weitere Informationen zur Sicherheit Ihres Computers unter http://www.microsoft.com/security/home/basics.asp (englischsprachig).

Hinweise zur Lektre

Der Leitfaden ist in zwei Teile geteilt: Der erste Teil bietet grundlegende Informationen zur Sicherheitspatch-Verwaltung, der zweite Teil bietet detaillierte Beschreibungen zu Verfahren und Techniken.

Teil I Grundlegende Informationen

Teil I bietet ntzliche Informationen fr Entscheidungstrger und IT-Experten, die im Bereich der Sicherheitspatch-Verwaltung keine Erfahrung besitzen. Er zeigt, wie Microsoft bei Software-Updates und Sicherheitslcken vorgeht. Sie erhalten Informationen zu Prozessen, Werkzeugen, Methoden und Ressourcen, mit denen Sie eine effektive Sicherheitspatch-Verwaltung durchfhren knnen. Im zweiten Teil werden Schlsselkonzepte und Technologien besprochen.

1. Einfhrung in die Sicherheitspatch-Verwaltung

Dieses Kapitel diskutiert unterschiedliche Aspekte der Sicherheit in der Softwareindustrie und die resultierenden Auswirkungen, die sie auf ein Unternehmen haben knnen. Es werden Schlsselbegriffe eingefhrt, die in diesem Leitfaden oft verwendet werden. Sie erfahren mehr ber die bekannten Sicherheitslcken, und wie diese in der Vergangenheit ausgenutzt wurden.

2. Vorbereitung der Patch-Verwaltung

Kapitel 2 zeigt die Folgekosten einer fehlenden Patch-Verwaltung auf. Sie erfahren mehr ber die zur Einfhrung einer proaktiven Patch-Verwaltung notwendigen Schritte und die fr ein Patch-Verwaltungs-Phasenmodel erforderlichen Kernkompetenzen.

3. Die Sicherheitspatch-Verwaltung verstehen

In diesem Kapitel wird ein durchgngiges Verfahren fr die Sicherheitspatch-Verwaltung besprochen. Es definiert Schlsselaufgaben, Konzepte und optimale Vorgehensweisen. Dieses Verfahren dient als strukturelle Grundlage fr die empfohlenen Prozesse und Techniken, die im zweiten Teil vorgestellt werden.

4. Werkzeuge und Technologien

In Kapitel 4 erhalten Sie Informationen zu Patch-Ressourcen bei Microsoft, zu Bereitstellungstechnologien und zu deren Einsatzmglichkeiten und Kosten. Das Kapitel hilft Ihnen auerdem bei der Entscheidung, welche Patchverteilungs-Infrastruktur die beste fr Ihre Umgebung ist.

Anhang A: Dritthersteller-Produkte und Ressourcen

Enthlt eine Liste von Drittanbieter-Produkten und -Ressourcen aus dem Bereich Sicherheitspatch-Verwaltung.

Teil II Das Phasenmodel einer Sicherheitspatch-Verwaltung

Teil II bespricht die Verfahrensweisen der Sicherheitspatch-Verwaltung genauer. Werkzeug-spezifische Aufgaben und Techniken werden beschrieben. Whrend die Verfahrensweisen fr jedes Unternehmen interessant sind, wendet sich die Beschreibung der Aufgaben und Techniken besonders an die Unternehmen, die Microsoft Windows Update (WU), Microsoft Software Update Services (SUS) oder Microsoft Systems Management Server (SMS) zur Sicherheitspatch-Verwaltung verwenden.

1. Einfhrung

Dieses Kapitel gibt Ihnen einen berblick ber das Phasenmodell einer Sicherheitspatch-Verwaltung und fhrt unterschiedliche Techniken ein. Sie erhalten Informationen dazu, wie Sie die unterschiedlichen Aktivitten des Phasenmodells mit Hilfe dieser Techniken durchfhren.

2. Einrichtung

Selbst bei einer bereits vorhanden Infrastruktur zur Patchverwaltung gibt es einige Aufgaben, die in unregelmigen Abstnden auszufhren sind. Diese sind fr eine effektive Patchverwaltung notwendig. Dieses Kapitel bespricht diese Aufgaben, wie zum Beispiel die Konfiguration und Wartung der Infrastruktur, die Inventarisierung und Basiseinrichtung der Umgebung, die Abonnierung von Sicherheitsbenachrichtungen und das permanente Erstellen von Sicherheitsberichten (zum Beispiel ber den Microsoft Baseline Security Analyzer).

3. nderungseinleitung

Kapitel 3 beschreibt Wartungs- und berwachungsaktivitten, und wie Sie die so erhaltenen Informationen fr die Reaktion auf Sicherheitsprobleme nutzen. Diese Aktivitten umfassen eine regelmige berprfung von Webseiten, Sicherheitsbenachrichtigungen und Sicherheitsberichten. So bleiben Sie ber neue Software-Updates informiert, und knnen diese herunterladen, sie fr die eigene Umgebung bewerten und gegebenenfalls eine Verffentlichung einleiten.

4. Verffentlichung

Das Verffentlichen eines Software-Updates oder hnliche Gegenmanahmen sind eine typische Reaktion auf eine gerade erkannte Sicherheitslcke. Dieses Kapitel bespricht die Aspekte der nderungsverwaltung, Verffentlichungsverwaltung (einschlielich der Tests von Software-Updates) und einer Erfolgsberwachung (inklusive einer mglichen Wiederherstellung), die einer Verffentlichung folgen sollten.

5. Sicherheitsrichtlinien durchsetzten

Neu installierte Computer, Laborumgebungen, mobile Benutzer und eine dezentrale Administration knnen dazu fhren, dass bereits beseitigte Sicherheitslcken wieder auftreten. Solche Sicherheitslcken stellen ein erhhtes Risiko dar. In Kapitel 5 werden einige Strategien besprochen, ber die Unternehmen wiederkehrende Sicherheitslcken eliminieren knnen.

6. Reaktion auf sicherheitsrelevante Notflle

Dieses Kapitel beschreibt die Vorbereitung auf einen Sicherheitsnotfall. Auerdem erfahren Sie mehr ber optimale Vorgehensweisen, mit denen wirksam auf eine mgliche Bedrohung oder eine Angriff reagieren werden kann.

7. Ergebnisoptimierung

Es ist wichtig, die Effektivitt der Sicherheitspatch-Verwaltung regelmig zu prfen. Kapitel 7 bespricht die zentralen Leistungsindikatoren, die ermittelt und verbessert werden knnen.

Software und Ressourcen

Werkzeuge und Vorlagen des Leitfadens verwenden

Zusammen mit diesem Leitfaden haben Sie textbasierte Skripte, Abfragen und Dokumente und Formulare bezglich der Sicherheitspatch-Verwaltung erhalten. Das gesamte Paket enthlt keinerlei ausfhrbare Programme. Nach dem Entpacken finden Sie die folgende Verzeichnisstruktur vor:

Die Datei Liesmich.txt enthlt eine vollstndige Liste aller Datei des Paketes.

Verwandte Ressourcen

Microsoft Security Ressourcen im TechNet: http://www.microsoft.com/technet/security (englischsprachig)

Das Microsoft Security Technologies Community Center:http://www.microsoft.com/communities/security (englischsprachig)

Umfang des Leitfadens

Ein Ziel von Microsoft ist es, dass Ihre Umgebung sicher und zuverlssig bleibt. Obwohl alle Software-Updates auf die gleiche Weise behandelt werden knnen, konzentriert sich der Leitfaden primr auf die Sicherheitspatches. Wenn Sicherheitspatches und Servicepacks nicht korrekt aktualisiert werden, kann dies verheerende Auswirkungen auf ein Unternehmen haben.

Hinweis: In diesem Leitfaden finden Sie nur wenige Informationen ber zuknftige Microsoft-Entwicklungen. Weitere Informationen zu zuknftigen Features und Verbesserungen finden Sie im Whitepaper Improving Patch Management unter http://www.microsoft.com/security/whitepapers/patch_management.asp (englischsprachig)

Microsoft Operations Framework (MOF) und Microsoft Solutions for Management (MSM)

Dieser Leitfaden wurde auf Grundlage der Microsoft Solutions for Management (MSM)-Leitfden zur Patchverwaltung erstellt. Er konzentriert sich zustzlich auf das Thema Sicherheit. Die MSM geben Ihnen Informationen zu optimalen Vorgehensweisen und Dienste zur Implementierung und Automatisierung fr ein reibungslosen Betrieb.

Um diesen Leitfaden zu lesen, ist es nicht erforderlich, dass Sie das MOF oder die MSM bereits implementiert haben. Einige Aspekte der MSM und des MOF werden vereinfacht dargestellt.

Weitere Informationen zu den MSM und dem MOF finden Sie unter:

Microsoft Solutions for Management:http://www.microsoft.com/technet/itsolutions/msm (englischsprachig)

Microsoft Operations Framework: http://www.microsoft.com/mof (englischsprachig)

Nicht vom Leitfaden abgedeckt

Der Zweck dieses Leitfadens ist es, Microsoft Anwendungen auf der Basis von Windows abzudecken. Produkte die fr andere Plattformen konzipiert sind, werden nicht bercksichtigt. Fr OEM-Software ist normalerweise der Hardware-Hersteller zustndig.

Es gibt im Sicherheitsbereich einige Themen, die mit der in diesem Leitfaden eingefhrten Sicherheitspatch-Verwaltung eng verbunden sind, hier jedoch nicht besprochen werden.

Wann immer mglich, erhalten Sie Verweise auf externe Quellen zu den folgenden Bereichen:

Virenscanner

Einbruchserkennung

Betriebssystem- und Anwendungsabsicherung

Der Fokus dieses Leitfadens liegt bei der Sicherheitspatch-Verwaltung. Sie erhalten keine Anleitung zu Architektur und Bereitstellungsverfahren einer Patchverteilungs-Infrastruktur ber SUS, SMS oder anderen Produkten von Drittanbietern. Der Leitfaden verweist jedoch auf vorhandene externe Quellen.

Ihre Meinung

Wir interessieren uns fr ihre Meinung zu diesem Leitfaden. Fr Meinungen zu den folgenden Themen sind wir ganz besonders dankbar:

Wie ntzlich waren die Informationen?

Waren die Schritt-fr-Schritt-Anleitungen przise?

Waren die Kapitel gut lesbar und interessant?

Welche anderen Techniken haben Sie vermisst?

Wie bewerten Sie den Leitfaden insgesamt?

Schicken Sie uns Ihre Meinung an die E-Mail-Adresse secwish@microsoft.com. Wir freuen uns darauf, von Ihnen zu hren.

Beratung und Support

Es gibt viele Organisationen, die Unternehmen bei der Patchverwaltung untersttzen. Als Startpunkt knnen Ihnen die folgenden Ressourcen dienen:

Suchen Sie im Microsoft Resource Directory nach Microsoft Gold Certified Partnern, Microsoft Certified Technical Education Centern, Microsoft Certified Partnern und Produkten unabhngiger Softwarehersteller, die Microsoft-Technologien verwenden.

Danksagung

Microsoft Solutions for Security (MSS) spricht seine Anerkennung und seinen Dank dem Team aus, dass den Microsoft Leitfaden - Sicherheitspatch-Verwaltung erstellt hat. Die folgenden Personen waren direkt verantwortlich oder haben einen wesentlichen Beitrag zur Erstellung dieses Leitfadens geleistet.

Entwicklungsteam

Autoren

Tester

Jos Maldonado, Microsoft Services

Greg Feiges, Microsoft Services

Rod Trent, Studio B

Mike Jenne, Microsoft Services

Redakteure

Programm-Manager

Jennifer Kerns, Wadeware

Derick Campbell, MSS

Anthony Baron und Graham Stenson vom Microsoft Solutions for Management (MSM) Team haben ebenfalls einen Umfangreichen Beitrag geleistet.

Betatester

Microsoft-Tester

Externe-Tester

Kristie B. R. Atwood, Enterprise Technical Sales

Susan E. Bradley, Microsoft MVP

Gigel Avram, Software Update Services

Dean Farrington, Wells Fargo

David H. Baur, Microsoft Services

Nina Ferguson, Qwest

Cory Delamarter, Operations and Technology Group

Adam S. Greene, Intel

Chris Geier, Microsoft Services

Glenn Hellriegel, Verizon Wireless

Robert Hensing, PSS Security

Paul Hudson, Attenda Ltd.

Maxim Kapteijns, Microsoft Services

Deanna Jenness, First Call Computer Solutions

David Lef, Operations and Technology Group

Russ Klanke, Verizon Wireless

Patrick Martin, Microsoft Services

Jeff Middleton, Microsoft MVP

Eric Price, Windows Sustained Engineering

Hans Muller, Attenda Ltd.

Christopher Reinhold, Microsoft Services

Chad Sharp, Intel

John Roller, Enterprise Technical Sales

Kerry Steele, Citadel Security Software

Fernando Pessoa Sousa, Microsoft Services

Maria M. Tsiolakki, University of Cyprus

Bill Stackpole, Microsoft Services

Microsoft bedankt sich auerdem beim National Institute of Standards and Technology fr die wertvollen Informationen und den Beta-Test dieses Leitfadens.

Verffentlichungshinweise

Dies ist Version 1.1 des Microsoft Leitfadens zur Sicherheitspatch-Verwaltung. Sie wurde am 3.Juli2003 fertiggestellt.

nderungen in dieser Ausgabe

Version 1.1

Es wurden zwei Korrekturen durchgefhrt:

Seite 59 Office Update - Teil I, Kapitel 4, Werkzeuge und Technologien. Ein Update von Office steht erst ab Office 2000 und nicht ab Office 97 zur Verfgung.

Seite 115 Ohotfix.exe Beschreibung - Teil II, Kapitel 4, Verffentlichung. Beschreibung von Ohotfix.exe korrigiert.

Geringfgige Ergnzung am 24. Juli 2003

MBSAScan.wsf.txt konnte wegen der Kommentare nicht ausgefhrt werden. Dies wurde behoben.

Version 1.0

Die erste Version dieses Leitfadens wurde am 30. Juni 2003 verffentlicht.

Offene Fragen und Probleme

FWLink im TechNet

Diverse Links in diesem Leitfaden verwenden eine Weiterleitungstechnik von Microsoft.com. Diese wird FWLink (Forward Link) genannt. Auf einige Computer kann es gelegentlich passieren, dass Sie die Meldung Objekt nicht gefunden erhalten. In diesem Fall klicken Sie in Ihrem Browser bitte einfach auf Aktualisieren.

Teil I

Wichtige Informationen

1 Einfhrung in die Sicherheitspatch-Verwaltung

Sichere IT-Verwaltung und Betrieb

Computersicherheit ist zu einem entscheidendem Faktor bei der Investitionen in Technologien geworden. Die Implementierung und das kontinuierliche Verbessern der Computersicherheit gewinnt zunehmend an Bedeutung, da sich stndig neue Technologien entwickeln und Angreifer neue Methoden entdecken um Sicherheitslcken auszunutzen. Dies kann sich negativ auf Ihre Geschftsprozesse auswirken.

Sicherheitspatch-Verwaltung, die Absicherung von Betriebssystemen und Anwendungen, eine proaktive Virenerkennung, Einbruchserkennung und die regelmige berprfung von Sicherheitseinstellungen, sowie Kontenberechtigungen sind ausschlaggebende Elemente einer sicheren IT-Verwaltung. Jedes Element fr sich ist Teil eines effektiven Schutzes und einer umfassenden Strategie, die dazu beitrgt, die Auswirkungen der Computerkriminalitt auf die eigene Organisation so gering wie mglich zu halten.

Die Kosten einer schlechten Sicherheit

Es ist schwierig die Kosten von Sicherheitsmngeln zu beziffern - viele Firmen machen keine Angaben ber Angriffe auf ihr Netzwerk. Das Computer Security Institute und das U.S. Federal Bureau of Investigation fhren eine jhrliche Befragung durch. So wurden mehr als 201 Millionen Dollar an finanziellen Verlusten fr das Jahr 2002 errechnen.

Von diesen Angriffen waren mit 82% die hufigsten Viren und mit 80% ein Missbrauch von Zugriffsrechten durch Mitarbeiter. Der Diebstahl von geschtzten Daten verursachte den grten Schaden, mit einem durchschnittlichen Wert von 2,7 Millionen Dollar.

Hinweis: Die Untersuchung 2003 CSI/FBI Computer Crime and Security Survey finden Sie unter http://www.gocsi.com/db_area/pdfs/fbi/FBI2003.pdf (englischsprachig)

Die Konsequenzen eines Angriffs auf ein Unternehmen knnen schwerwiegend sein. Sie zeigen sich in beschdigten Daten und Ressourcen, Unterbrechung des Geschftsbetriebs und durch unerwnschte Zugriff auf vertrauliche und geheime Daten. Nachdem ein Computer infiltriert wurde, ist das Anwenden von Sicherheitspatches nicht lnger zweckmig eine erfolgreiche Wiederherstellung der Sicherheit kann hufig nur durch eine vollstndige Neuinstallation gewhrleistet werden.

Sicherheitspatch-Verwaltung

Die Sicherheitspatch-Verwaltung ist ein auf allen Plattformen notwendiger Prozess - jeder bedeutende Softwarehersteller, der sich der Sicherheit verpflichtet fhlt, wird regelmig Sicherheitspatches verffentlichen. Es gibt kein weitverbreitetes Betriebssystem und keine Anwendung, das immun gegen Angriffe wren.

Der Begriff Patchverwaltung beschreibt Werkzeuge, Hilfsmittel und Verfahren, um Computer stndig mit den neuesten Software-Updates zu versorgen.

Sicherheitspatch-Verwaltung ist ein Begriff, der im gesamten Leitfaden verwendet wird. Er beschreibt eine Patchverwaltung mit Fokus auf die Beseitigung von Sicherheitslcken.

Eine proaktive Verwaltung von Sicherheitspatches ist erforderlich, um eine Umgebung sicher und zuverlsslich zu halten. Als Teil der Wartung einer sicheren Umgebung sollten Unternehmen einen Prozess definieren, der Sicherheitslcken identifiziert und schnell auf diese reagiert. Dies bezieht das Anwenden von Software-Updates, Konfigurationsnderungen und Gegenmanahmen mit ein. Die Natur vieler Angriffe bentigt lediglich einen verwundbaren Computer in einem Netzwerk. Daher sollte dieses Verfahren so umfassend wie mglich sein. Die Mehrheit erfolgreicher Angriffe entsteht durch das Ausnutzen von nur wenigen Sicherheitslcken.

Der durchschnittliche Angreifer versucht, den einfachsten und bequemsten Weg zu whlen und die bekanntesten Schwchen zu nutzen. Er verwendet fr seinen Angriff weit verbreitete Werkzeuge.

Solche Angreifer zhlen darauf, dass Unternehmen bekannte Probleme nicht beheben. Sie durchkmmen das Internet nach ungeschtzten Computern. Angreifer finden die eigentliche Sicherheitslcke normalerweise nicht selbst, sondern nutzen diese nur aus. Sie mssen keine Sicherheitsexperten sein, um eine Sicherheitslcke auszunutzen.

Sicherheitspatch-Verwaltung und IT-Betrieb

Sicherheitspatch-Verwaltung sollte als eine Untermenge eines greren Bereiches betrachtet werden, der die Verwaltung von nderungen und Verffentlichungen umfasst. Die Implementierung der Sicherheitspatch-Verwaltung wird am besten durch eine konsistente und integrierte Lsung im Zusammenhang mit standardisierten Unternehmensprozessen erreicht. Ohne einen einheitlichen Betrieb kann ein separater Prozess fr die Sicherheit sehr leicht hhere Gesamtkosten verursachen und zu nicht kompatiblen Prozessen fhren. Dieser Leitfaden strkt die Konsistenz der Ablufe, indem er eine einheitliche Begrifflichkeit frdert. Das MOF dient als Bezugssystem und Vorlage zur Verwaltung von nderungen und Verffentlichungen.

Sicherheit: Terminologie

Dieser Abschnitt beschreibt einige Schlsselbegriffe, die den Personen, die sich mit der Sicherheitspatch-Verwaltung beschftigen, bekannt sein sollten.

Die Begriffe in der folgende Tabelle werden im gesamten Leitfaden verwendet.

Tabelle 1.1: Wichtige Begriffe

Begriff

Definition

Sicherheitslcke

Software, Hardware, Eigenschaft, Konfiguration, die whrend eines Angriffs ausgenutzt werden kann. Im englischen Sprachraum auch als Exposure bekannt.

Angriff

Ein Versuch, eine Sicherheitslcke auszunutzen und sich dadurch Vorteile zu verschaffen.

Gegenmanahme

Hardware, Software, Konfiguration, um das Risiko in einer Umgebung zu verringern.

Bedrohung

Eine Gefahrenquelle.

Art des Angriffs

Person oder der Prozess, ber den der Angriff durchfhrt wird.

Sicherheitslcken

Die folgende Tabelle enthlt einige typische Software-Sicherheitslcken

Tabelle 1.2: Sicherheitslcken

Begriff

Definition

Pufferberlauf

Ein nicht berprfter Puffer in einem Programm kann mit neuen Daten berschrieben werden. Wenn es sich um ausfhrbaren Code handelt, kann ein Angreifer dies dazu nutzen, beliebige Operationen im Kontext des Programms auszufhren.

Rechte-Erweiterung

Erlaubt Benutzern oder Angreifern hhere Rechte als die vorgesehenen zu erlangen.

Prffehler

Fehlerhafte Daten knnen zu unbeabsichtigten Ergebnissen fhren.

MSRC-Schweregrade fr Sicherheitslcken

Das Microsoft Security Response Center (MSRC) nutzt eine Klassifikationen von Schweregraden. Mit ihnen haben Unternehmen eine Mglichkeit, die Dringlichkeit einer Sicherheitslcke und der entsprechenden Software-Updates zu bestimmen.

Tabelle 1.3: Schweregrade fr Sicherheitslcken

Bewertung

Definition

Kritisch

ber diese Sicherheitslcke knnte sich ein Internetwurm ohne Aktion des Benutzers ausbreiten.

Wichtig

Ein solche Sicherheitslcke knnte zur Verlust von Vertraulichkeit, Integritt oder Verfgbarkeit von Daten des Benutzers oder von Ressourcen fhren.

Durchschnittlich

Eine Sicherheitslcke, die durch unterschiedliche Faktoren (zum Beispiel eine Standardkonfiguration oder eine berwachung) entschrft wird.

Gering

Ein Sicherheitslcke, die nur extrem schwer auszunutzen ist oder deren Auswirkungen minimal sind.

Weitere Informationen zu den MSRC-Schweregraden fr Sicherheitslcken finden Sie unter http://www.microsoft.com/technet/security/policy/rating.asp (englischsprachig)

Bedrohungskategorien

Microsoft hat das STRIDE-Modell entwickelt, um Bedrohungen von Software zu kategorisieren. Diese Kategorien werden in Security Bulletins zur Beschreibung von Sicherheitslcken verwendet.

Tabelle 1.4: Das STRIDE-Modell der Bedrohungskategorien

Begriff

Definition

Vortuschung einer Identitt

Illegaler Zugang zu Systemen unter Nutzung einer fremden Identitt.

Manipulation von Daten

Die bswillige Verflschung von Daten.

Ablehnung

In Zusammenhang mit Benutzern, die das Ausfhren einer Aktion verweigern, auch wenn kein anderer Weg zu[m?] Nachweis existiert. Nichtablehnung bezieht sich auf die Fhigkeit einer Ablehnung zu begegnen. (Etwa das Besttigen eines Paket Empfangs, das als Nachweis genutzt werden kann).

Offenlegung von Informationen

Das Zugnglichmachen von Information gegenber Personen, fr die diese Informationen nicht gedacht sind.

Denial of Service

Ein direkter Versuch, einen Dienst derart mit unsinnigen Anfragen zu berlasten, dass ein normale Benutzung nicht mehr mglich ist.

Rechte-Erweiterung

Erlaubt Benutzern oder Angreifern hhere Rechte als die vorgesehenen zu erlangen.

Hinweis: Weitere Informationen ber das STRIDE Model und darber, wie Microsoft Entwickler ausbildet, um sicheren Code zu schreiben, finden Sie unter Howard, Michael and David LeBlanc, Writing Secure Code, Second Edition, Redmond, WA: Microsoft Press, 2002, http://www.microsoft.com/mspress/books/5957.asp (englischsprachig)

Trger des Angriffs

Bsartige Bedrohungen sind Angriffe von innerhalb oder auerhalb des Netzwerks, mit dem Zweck einem Unternehmen zu schaden oder den Betrieb zu stren. Nicht bsartige Bedrohungen entstehen gewhnlich durch schlecht geschulte Mitarbeiter, die sich ihrer Handlungen nicht bewusst sind. Die folgende Tabelle beschreibt verschiedene bsartige Bedrohungen durch Angreifer.

Tabelle 1.5: Art des Angriffs

Begriff

Definition

Virus

Ein Programm, welches wichtige Dateien lscht, nderungen am System durchfhrt oder andere schdliche Operationen ausfhrt. Ein Virus hngt sich selbststndig an sein Wirtsprogramm an.

Wurm

Ein sich selbst vervielfltigendes Programm, oft hnlich schdlich wie ein Virus, dass sich von Computer zu Computer ausbreiten kann.

Trojanisches Pferd

Software oder eine E-Mail, die scheinbar ntzliche Funktionen bietet - tatschlich aber eine Hintertr fr sptere Angriffe ffnet.

E-Mail Bombe

Eine bswillige E-Mail, die von einem unverdchtigen Absender stammt. Wenn der Empfnger die Nachricht ffnet oder ein Programm startet, entfaltet es seine Schadwirkung oder gewhrt einem Angreifer Zugriff.

Angreifer

Eine Person oder Organisation, die einen Angriff durchfhrt.

Hinweis: Whrend Bedrohungen wie Viren sich durch eine Sicherheitslcke Vorteile verschaffen, kennt ein Angreifer solche Beschrnkungen nicht er versucht mit allen mglich Mitteln in eine Umgebung einzudringen. Gesteuerte Angriffe knnen lokal oder ferngesteuert ausgefhrt werden.

Wie Microsoft Software nach Verffentlichung korrigiert

Microsoft sieht sich verpflichtet, seine Kunden vor Sicherheitslcken zu schtzen. Als Teil dieses Verfahrens verffentlicht Microsoft regelmig Software-Updates. Weitere Informationen zu diesem Verfahren finden Sie unter http://www.microsoft.com/presspass/exec/craig/10-02trustworthywp.asp (englischsprachig)

Jede Microsoft-Produktgruppe umfasst eine eigenstndige technische Arbeitsgruppe, die fr Probleme mit dem verffentlichten Produkt Software-Updates bereitstellt.

Wenn Microsoft auf eine Sicherheitslcke aufmerksam geworden ist, wird diese durch das MSRC der entsprechenden Produktgruppe bewertet und berprft. Die Arbeitsgruppen erstellen und testen dann einen Sicherheitspatch, um den Mangel zu beheben, whrend das MSRC sich mit dem Entdecker der Sicherheitslcke austauscht, um eine Verffentlichung der Sicherheitslcke als Security Bulletin zusammen mit dem Sicherheitspatch durchzufhren.

Die Software-Updates sind ber das Microsoft Download Center und andere Dienste zugnglich. Zum Beispiel Microsoft Windows Update, Microsoft Office Update, Microsoft Software Update Services (SUS) und Microsoft Systems Management Server (SMS) mit dem SUS Feature Pack.

Sobald das Software-Update verfgbar ist, teilt dies das MSRC in einem entsprechenden Security Bulletin mit.

Hinweis: Sicherheitspatches werden fr untersttzte Betriebssystem- und Anwendungsversionen entwickelt. Informationen zu Produktlebenszyklen finden Sie unter http://support.microsoft.com/default.aspx?scid=fh;[LN];lifecycle (englischsprachig)

Typischerweise stehen Sicherheitspatches fr die aktuelle und die vorhergehende Version zur Verfgung. Das ist jedoch nicht immer der Fall. berprfen Sie den Produktlebenszyklus um festzustellen, welche Patches verfgbar sind.

Software-Update Terminologie

Die folgende Tabelle zeigt die neuen Begriffe fr Software-Updates. Diese sind ab dem 30.Juni2003 gltig. Beachten Sie, dass der Begriff Patch - auer im Zusammenhang mit dem Begriff Sicherheitspatch oder in der Beschreibung von Verfahren zur Patchverwaltung - nicht lnger von Microsoft im Sinne eines Software-Updates gebraucht wird.

Tabelle 1.6: Neue Terminologie fr Software-Updates

Begriff

Definition

Sicherheitspatch

Eine allgemein verffentlichte Korrektur fr eine bestimmte Sicherheitslcke in einem bestimmten Produkt. (Security patch)

Kritisches Update

Eine allgemein verffentlichte Korrektur eines kritischen Problems, dass aber keine Sicherheitsbelange betrifft. (Critical update)

Update

Eine allgemein verffentlichte Korrektur eines bestimmten Problems, dass aber keine Sicherheitsbelange betrifft. (Update)

Hotfix

Ein einzelnes Paket aus einer oder mehreren Dateien, um ein spezielles Problem in einem Produkt zu beheben. Hotfixes beziehen sich auf eine ganz bestimmte Kundensituation. Sie sind nur fr Kunden mit Supportvertrag verfgbar und ausschlielich fr die entsprechenden Kunden gedacht. Sie drfen ohne Zustimmung von Microsoft nicht an Dritte weitergegeben werden. (Hotfix)

Update rollup

Ein Zusammenstellung von Sicherheitspatches, kritischen Updates und Hotfixes. Diese Zusammenstellung wird zum Beispiel. fr den Microsoft Internet Information Server (IIS) oder den Microsoft Internet Explorer angeboten. (Update rollup)

Servicepack

Eine Sammlung von Sicherheitspatches, kritischen Updates und Hotfixes seit der Verffentlichung des Produktes. Sie knnen Kundenwnsche enthalten, etwa nderungen an der Oberflche oder von Funktionen. (Servicepack)

Integriertes Servicepack

Die Kombination eines Produktes mit einem integrierten Servicepack in einem Paket. (Integrated service pack)

Featurepack

Eine neue Verffentlichung, die einem Produkt Eigenschaften hinzufgt - gewhnlich flieen diese in die nchste Version mit ein. (Feature pack)

Hinweis: Da diese Definitionen neu sind, werden sie in diversen Ressourcen und Werkzeugen noch nicht bercksichtigt.

Die Bedeutung einer proaktiven Sicherheitspatch-Verwaltung

Es gibt diverse verffentlichte Angriffe und Sicherheitslcken zu Microsoft-Produkten. Viele Unternehmen, die eine proaktive Verwaltung von Sicherheitspatches durchfhren, waren von diesen Angriffen nicht betroffen. Sie haben auf die von Microsoft zur Verfgung gestellten Informationen reagiert und die Angriffe verhindert.

In der folgenden Tabelle sind einige historische Angriffe mit deren Datum aufgefhrt. In allen Fllen hat das MSRC vorher eine Warnung verffentlicht, in der auf die Sicherheitslcke und deren Beseitigung hingewiesen wurde (etwa durch Gegenmanahmen und Updates). Die letzte Spalte zeigt die Anzahl der Tage zwischen Verffentlichung der Sicherheitslcke durch das MSRC und dem Angriff.

Tabelle 1.7: Beispiel zu Angriffen und den entsprechenden MSRC Security Bulletins

Angriff

Datum der ffentlichen Entdeckung

MSRC Schweregrad

MSRC Bericht

MSRC Berichtsdatum

Tage verfgbar vor Angriff

Trojan.Kaht

05. Mai 03

Kritisch

MS03-007

17. Mrz 03

49

SQL Slammer

24. Jan 03

Kritisch

MS02-039

24. Jul 02

184

Klez-E

17. Jan 02

*

MS01-020

29. Mrz 01

294

Nimda

18. Sep 01

*

MS00-078

17. Okt 00

336

Code Red

16. Jul 01

*

MS01-033

18. Jun 01

28

* Bericht wurde vor der Zuordnung eines MSRC-Schweregrads verffentlicht

Dieser Leitfaden wurde entwickelt, um Unternehmen zu helfen, zuknftige Angriffe zu vermeiden. Viele Unternehmen verhinderten erfolgreich Angriffe durch eine proaktive Sicherheitspatch-Verwaltung.

Hinweis: Die Tabelle deckt keine gesteuerten Angriffe von Personen, die gezielt Sicherheitslcken suchen und diese kriminell ausnutzen ab. Eine proaktive Sicherheitspatch-Verwaltung ist eine effektive Manahme, um Angriffe zu begrenzen die bekannte Sicherheitslcken nutzen.

Angriffe vermeiden, Beispiel 1: Code Red

Code Red ist ein Wurm, der sich sehr schnell verbreitet hat und ein groes Schadenspotential aufweist. Am 16. Juli 2001 breitete sich die ursprngliche Version in nur neun Stunden auf 250.000 Computer aus. Die Auswirkungen des Wurms waren eine Verlangsamung des Internetzugriffs, Ausfall von Webseiten und Manipulationen, sowie Strungen an geschftlichen und privaten Anwendungen.

Code Red nutzte einen Pufferberlauf als Sicherheitslcke in den IIS, um Code auf Webservern auszufhren. Die IIS sind unter Microsoft Windows Server 2000 standardmig installiert und werden von vielen Anwendungen genutzt.

Einige Unternehmen vermieden einen Angriff durch Code Red, indem sie den Security Bulletins MS01-033 des MSRC folgten, die am 18 Juni 2001 verffentlicht wurden. Dies war 28 Tage, bevor Code Red in Umlauf kam.

Weitere Informationen zu diesem Security Bulletin, einschlielich technischer Informationen und Gegenmanahmen, finden Sie unter http://www.microsoft.com/technet/security/bulletin/MS01-033.asp (englischsprachig)

Angriffe vermeiden, Beispiel 2: SQL Slammer

SQL Slammer (oder Sapphire) ist ein Wurm, der auf Microsoft SQL Server 2000 und Microsoft Data Engine (MSDE) 2000-Systeme abzielt und zu einem hohen Netzwerkverkehr fhrt. Er verursacht so einen DoS-Zustand.

Etwa um 21:30 Uhr PST (Pacific Standard Time) am Freitag, den 24. Januar 2003, verursachte SQL Slammer einen dramatischen Anstieg des weltweiten Netzwerkverkehrs. Eine Analyse von SQL Slammer zeigt:

Der Wurm bentigte etwa 10 Minuten, um sich weltweit auszubreiten, was ihn mit Abstand zum bis jetzt schnellsten Wurm macht.

In den frhen Phasen verdoppelte sich die Anzahl der betroffenen Computer alle 8,5 Sekunden

Zur Spitzenzeit (etwa 3 Minuten nach Aktivierung des Wurms), durchkmmten die Computer 55 Millionen IP-Adressen pro Sekunde.

Er erreichte mindestens 75.000 Opfer (wahrscheinlich betrchtlich mehr).

SQL Slammer nutzte eine Sicherheitslcke mit einem Pufferberlauf aus. Die wurde zuerst im Microsoft Security Bulletin MS02-039 (Juli 2002) verffentlicht, 184 Tage bevor der Angriff startete. Noch einmal erwhnt wurde die Sicherheitslcke im Security Bulletin MS02-061. Mit beiden Bulletins wurden Sicherheitspatches angeboten und Gegenmanahmen verffentlicht.

Weitere Informationen zu diesem Security Bulletin, einschlielich technischer Informationen und Gegenmanahmen finden Sie unter http://www.microsoft.com/technet/security/bulletin/MS02-039.asp (englischsprachig).

Lektion aus SQL Slammer

Eine der Herausforderungen bei der Vermeidung von SQL Slammer fr die betroffenen Unternehmen war die hohe Verbreitung der MSDE von SQL Server. Diese kommen in vielen Produkten zum Einsatz.

Der SQL-Slammer-Angriff hebt drei wichtige Punkte im Zusammenhang mit Sicherheitslcken hervor:

Einen guten berblick ber alle eingesetzten Computer, Produkte und Technologien in der Umgebung ist unabdingbar fr eine erfolgreiche Sicherheitspatch-Verwaltung.

Ein wirksamer Angriff bentigt keine Sicherheitslcken in wertvollen Ressourcen. SQL Slammer erreichte sein Ziel auch ber einfache Computer innerhalb des Netzwerks.

Die Anwendung eines Sicherheitspatches ist nicht ausreichend, um eine Sicherheitslcke zu beheben. Regelmiges Scannen auf ein erneutes Auftreten der Sicherheitslcke ist ebenso notwendig.

Hinweis: SQL Slammer hat auch Microsoft einiges darber gelehrt, wie Werkzeuge fr die Sicherheitspatch-Verwaltung beschaffen sein mssen. Softwarequalitt, externe Kommunikation und stndige interne Evaluierungsprozesse sind entscheidende Elemente einer Sicherheitsstrategie.

Weitere Informationen ber diese Prozesse bei Microsoft finden Sie unter http://www.microsoft.com/security/whitepapers/patch_management.asp (englischsprachig).

2 Vorbereitung der Patchverwaltung

Um sich fr die Patchverwaltung vorzubereiten, ist es wichtig, die geschftliche Tragweite zu verstehen. Wichtig sind auch die Technologien und Fhigkeiten, die vorhanden oder nicht vorhanden sind. Als nchstes mssen Gruppen und Verantwortlichkeiten vereinbart werden, um sicher zu stellen, dass die Betriebsablufe wirkungsvoll eingehalten werden knnen. Eine erfolgreiche Umsetzung von Sicherheitsmanahmen wird durch eine Kombination von Menschen, Prozessen und Technologien erreicht.

Bewerten Ihrer Umgebung, Risiken und Anforderungen

Um den Aufwand fr die Sicherheitspatch-Verwaltung zu bestimmen, mssen Sie zuerst die Auswirkung einer schwachen (oder reaktiven) Patchverwaltung betrachten. Danach bestimmen Sie, ob die vorhanden Fhigkeiten und Infrastrukturen fr die Patchverwaltung ausreichend sind.

Die unternehmerische Problemstellung

Betrachten Sie die geschftlichen Auswirkungen, die auftreten, wenn keine Patchverwaltung durchgefhrt und lediglich auf Zwischenflle reagiert wird.

Die folgenden Aspekte helfen Ihnen bei der Abschtzung der finanziellen Auswirkungen einer schwachen Patchverwaltung:

Ausfallzeit: Wie hoch sind die Kosten einer Ausfallzeit? Was geschieht, wenn wichtige Systeme betroffen sind? Schtzen Sie die Kosten fr den Verlust an Produktivitt der Benutzer, fehlende Transaktionen sowie verlorengegangenem Umsatz ein. Ausfallzeit wird meist durch Angriffe verursacht. Entweder durch den Angriff selbst oder durch die Wiederherstellung der Umgebung. Vergangene Angriffe haben Computer zum Teil fr Tage lahmgelegt.

Wiederherstellungszeit: Welche Kosten entstehen bei einer Behebung eines Problems? Wie hoch sind die Kosten fr eine Neuinstallation von Computern? Viele Angriffe erfordern eine Neuinstallation, um mglichen Hintertren vorzubeugen.

Fragwrdige Integritt der Daten: Fr den Fall eines Angriffs kann die Integritt von Daten geschdigt werden. Wie hoch sind die Kosten dafr, die letzte verlssliche Sicherungskopie ausfindig zu machen oder die Daten mit Kunden und Partnern abzugleichen?

Verlust an Vertrauenswrdigkeit: Welche Kosten entstehen durch einen Vertauensverlust bei den Kunden? Wie wirkt sich der Verlust von Kunden aus?

Schlechte Wirkung auf die ffentlichkeit: Was sind die Auswirkungen fr ein Unternehmen hinsichtlich des Ansehensverlustes? Wie wirkt sich dies etwa auf den Aktienkurs aus? Was sind die Auswirkung bei einem Diebstahl von vertrauliche Daten (Kreditkarten-Informationen)?

Rechtliche Folgen: Wie sehen die Kosten fr mgliche Gerichtsverfahren aus, die gegen ein Unternehmen in der Folge eines Angriffs angestrengt werden knnten?

Diebstahl geistigen Eigentums: Was sind die Kosten fr den Verlust oder die Zerstrung geistigen Eigentums?

Andere Bereiche: Wie sehen die Kosten fr mgliche gerichtliche Untersuchungen gegen Angreifer aus?

Nutzen Sie vergangene Angriffe, um diese Kosten zu bestimmen. Bedenken Sie jedoch, dass diese Angriffe mglicherweise nicht ihr volles Schadenspotential entfaltet haben. Zielgerichtete Angriffe knnen noch kostspieliger sein.

Die Beurteilung

Die Beurteilungsphase sollte alle Werkzeuge und Ressourcen umfassen, die fr die Patchverwaltung zur Verfgung stehen.

Einige der kritischen Bereiche sind:

Betriebssysteme und Versionen: Wie viele unterschiedliche Betriebssysteme werden untersttzt? Je mehr Betriebssysteme untersttzt werden, um so grer ist die Herausforderung fr eine umfassende Patchverwaltung.

Anwendungen und Versionen: Wie viele verschiedene Anwendungen und Versionen bedrfen gegebenenfalls eines Patches? Werden alle Anwendungen untersttzt? Wie viele wurden im vergangenen Jahr mit Patches aktualisiert? Verschiedene Versionen derselben Anwendung knnen die Patchverwaltung erschweren.

Computerbestand und kritische Ressourcen: Wie viele Computer mssen in der Umgebung verwaltet werden? Welche Systeme sind besonders kritisch und erfordern eine hohe Verfgbarkeit? Werden Inventarisierungen von Computern und Software untersttzt und laufen diese manuell oder automatisch ab? Eine aktuelle Inventarliste ist ausschlaggebend fr die wirkungsvolle Patchverwaltung.

Nicht verwaltete Computer: Wie viele nicht zentral verwaltete Computer gibt es in der Umgebung? Diese mssen ebenfalls von der Patchverwaltung erfasst werden. Sie verursachen hufig einen greren Aufwand.

Aktueller Sicherheitslcken-Status: Werden alle Computer mit den neuesten Servicepacks und Sicherheitspatches versorgt? Gibt es hinreichende Richtlinien zur Sicherheit im Unternehmen? Wie werden Sicherheitslcken in einer Umgebung gefunden? Das regelmige Nutzen von Werkzeugen, wie dem Microsoft Baseline Security Analyzer, dient dem Aufspren von Sicherheitslcken.

Netzwerk-Infrastruktur: Wie ist die Struktur des Netzwerks und sein Sicherheitsstatus? Ist das Netzwerk gegen allgemeine Gefahren gesichert? Sind Firewalls vorhanden? Sind drahtlose Netzwerke gesichert?

Software-Bereitstellung: Gibt es eine Infrastruktur fr die Software-Bereitstellung? Kann diese auch Aktualisierungen bereitstellen? Bedient sie alle Computer der Umgebung?

Personen und Fhigkeiten: Gibt es gengend qualifizierte Mitarbeiter, um eine Sicherheitspatch-Verwaltung zu realisieren? Sind sich die Mitarbeiter der Notwendigkeit bewusst? Kennen sie die wesentlichen Sicherheitselemente, wie etwa Analyse, Softwareverteilung und Patchverwaltung?

Effektiver Betrieb: Sind standardisierte Prozesse vorhanden, oder sind diese nur vage umrissen? Gibt es Prozesse fr die Verwaltung von nderungen oder Verffentlichungen, zumindest informelle? Die Sicherung einer Umgebung sollte nicht dem Zufall berlassen, oder von Fall zu Fall durchgefhrt werden.

Untersttzung sichern, Ziele definieren

Die Einfhrung von Sicherheitsprogrammen, wie etwa die Sicherheitspatch-Verwaltung, wird durch eine Untersttzung durch die Geschftsleitung vereinfacht. IT-Experten knnen eine Infrastruktur betreiben, aber ohne eine umfassende Untersttzung kann die Durchsetzung von Richtlinien schwierig werden.

Klare Geschftsziele und eine gute Untersttzung sollten vorhanden sein. Die Geschftsziele sollten folgende Bereiche abdecken:

Ziel: Minimierung von Angriffen

Sicherstellen einer proaktiven Einrichtung und Installation aller notwendigen Software-Updates.

Sicherstellen der Durchsetzung einer Sicherheitsrichtlinie, einschlielich der Standardeinstellungen fr Computer, die den Sicherheitsanforderungen des Unternehmens entsprechen (keine Sicherheitsrichtlinie = maximales Risiko).

Minimierung von Sicherheitslcken durch regelmiges analysieren der Umgebung.

Sicherstellen kurzer Reaktionszeiten bei Angriffen durch eine proaktive Erkennung von Einbrchen.

Sicherstellen, dass das Unternehmen geeignete Werkzeuge, Fhigkeiten und Manahmen zur Reaktion bereitgestellt hat, um wirksam auf Angriffe reagieren zu knnen.

Ziel: Optimale Verwendung von Zeit und Ressourcen auf die Sicherheitspatch-Verwaltung.

Verwendung von Werkzeugen, die Sicherheitslcken automatisiert finden, beurteilen und beheben.

Verfahren fr eine wirkungsvolle Sicherheitspatch-Verwaltung etablieren.

Teil II dieses Leitfadens gibt Ihnen Detailinformationen und Ressourcen um diese Ziele zu erreichen.

Definieren von Gruppen und Verantwortlichen

Abhngig von den Bedrfnissen eines Unternehmens und seiner Gre, wird die Patchverwaltung entweder von einer einzigen Person oder von einer Gruppe zentral oder dezentral ausgefhrt. Um deren Erfolg sicherzustellen, sollte die Verantwortung klar verteilt sein.

Ein Hilfestellung bei diesen Gruppenstrukturen bietet Ihnen das Microsoft Operations Framework- Gruppenmodell, welches sechs Rollentypen umfasst. Dies decken einen effektiven Betrieb komplett ab.

Die Rollentypen knnen fr die gesamte Gruppe, die den Betrieb realisiert, verwendet werden. In kleineren Umgebungen knnen einige Gruppen auch mehrere Rollen bernehmen.

Eine vollstndige Beschreibung der MOF-Rollentypen finden sie unter: http://www.microsoft.com/technet/itsolutions/tandp/opex/mofrl/MOFTMl.asp (englischsprachig).

Weitere Schritte

Nach dem Bewerten der Anforderungen des Unternehmens und dem Festlegen alle Rollentypen und Verantwortlichkeiten, wird im nchsten Schritt die Implementierung der bentigten Infrastruktur als integraler Bestandteil der IT-Umgebung angegangen.

Implementierung und Betrieb

Die Implementierung konzentriert sich auf die Auswahl und Installation der notwendigen Werkzeuge, Technologien und Infrastrukturen, die zur wirkungsvollen Einrichtung einer Sicherheitspatch-Verwaltung ntig sind.

Teil I, Kapitel 4, Werkzeuge und Technologien und Teil I, Anhang A, Drittanbieter-Produkte und Ressourcen stellen Ihnen Informationen zu verfgbaren Werkzeuge fr eine automatischen Erkennung von Sicherheitslcken, sowie zur automatisierten Anwendung von Sicherheitspatches zur Verfgung. Teil I, Kapitel 4, umfasst auerdem Anleitungen zur Auswahl einer Microsoft-Bereitstellungs-Infrastruktur.

Hinweis: Anleitungen und Vorgehensweisen zur Planung und Erstellung von IT-Lsungen finden Sie im Microsoft Solutions Framework unter http://www.microsoft.com/msf (englischsprachig).

3 Verstehen der Sicherheitspatch-Verwaltung

Hinweis: Teil II dieses Leitfadens arbeitet mit dem selben Phasenmodell, dass auch in diesem Kapitel behandelt wird. Er bietet Ihnen jedoch zustzlich Informationen zu den unterschiedlichen Techniken.

Abbildung 3.1berblick ber die Sicherheitspatch-Verwaltung

Software-Firmen verffentlichen Software-Updates um Probleme zu beheben, die nach der Auslieferung des Produktes aufgetreten sind. Um eine Umgebung sicher und stabil gegen Angriffe zu machen, bedarf es groer Sorgfalt und eines nicht unerheblichen Aufwandes.

Dieses Kapitel bietet dem Leser ein grundlegendes Verstndnis der permanent erforderlichen Prozesse im Rahmen einer Sicherheitspatch-Verwaltung und beschreibt die zentralen Konzepte und Prinzipien einer Patchverwaltung, einschlielich:

Einrichtung: Die erforderlichen unregelmigen Ttigkeiten, die fr eine effektive Sicherheitspatch-Verwaltung erforderlich sind, umfassen unter anderem das Inventarisieren der Umgebung, das Erstellen von Basiseinrichtungen, sowie die Einrichtung von Warnungen, die Erstellung von Sicherheitsberichten, um eine Identifikation, Konfiguration und Wartung der Infrastruktur zu ermglichen.

nderungseinleitung: Fortwhrende berwachung, um sicherheitsrelevante Sachverhalte zu erkennen und diese in die Produktivumgebung einflieen zu lassen. Dies schliet die berprfung verschiedener Informationsquellen mit ein. Damit knnen die geeigneten Schritte eingeleitet und passende Software-Updates ausgewhlt werden.

Die typischen Reaktionen auf ein Sicherheitsproblem sind:

Verffentlichung: Das Verffentlichen eines Software-Updates und hnliche Gegenmanahmen sind die bliche Reaktion auf erkannte Sicherheitslcken. Sicherheitsnderungen bedrfen immer vorbereitender Manahmen, wie dem Testen der Patches und dem Ankndigen der nderung.

Sicherheitsrichtlinie durchsetzen: Diese Manahme ist notwendig, wenn bereits beseitigte Sicherheitslcken erneut auftreten. Solche Sicherheitslcken stellen ein erhhtes Risiko dar.

Reaktion auf sicherheitsrelevante Notflle

Im Laufe der Zeit sollte ein Unternehmen eine Optimierung erreichen regelmig sollte man prfen, wie effektiv die verwendeten Prozesse sind und diese unter Umstnden anpassen. Dieses Kapitel schliet mit einem allgemeinen berblick zu den Optimierungsresultaten.

Einrichtung

Dieser Abschnitt bietet einen allgemeinen berblick ber seltene Ttigkeiten zum Einrichten der Sicherheitspatch-Verwaltung. Dieses Thema wird detaillierter in Teil II, Kapitel 2, Einrichten diskutiert.

Abbildung 3.2Einrichten der Sicherheitspatch-Verwaltung

Basiseinrichtung

Eine Basiseinrichtung heit, alle Computer in einer Umgebung auf einen einheitlichen Stand zu bringen also den gleichen Softwareversionen und Patches. Ohne diesen Vorgang wre die Sicherheitspatches-Verwaltung unntig aufwendig.

Die Basiseinrichtung umfasst die folgenden Schritte:

1. Erstellen einer Inventarliste der Hardware (Computer und Modelle), Betriebssysteme und Anwendungen, inklusive besondere Softwareversionen und Updates, die angewendet wurden.

2. Benutzen Sie die Informationen der Inventarisierung, um die Standard-Software fr alle Computer zu ermitteln.

3. Prfen Sie, welche Computer den Kriterien entsprechen und welche nicht. Dann entscheiden Sie, welche Computer Sie neu konfigurieren mssen.

4. Bringen Sie alle Computer auf den gewnschten Stand.

5. Stellen Sie sicher, dass die Kriterien zu Standard-Software erfllt sind. Wenn aus geschftlichen Grnden Ausnahmen ntig sind, entscheiden Sie fallweise.

Unterschiedliche Arten von Computern (etwa E-Mail Server oder Verzeichnisdienst-Server) knnen unterschiedliche Anwendungs-Basiseinrichtungen bentigen, jedoch trotzdem ber eine gemeinsame Betriebssystem-Basiseinrichtung verfgen. Unterschiedliche Modelle (etwa HP oder Dell) knnen unterschiedliche Basiseinrichtungen haben.

Hinweis: In einer Umgebung, in der Richtlinien nicht strikt eingehalten werden, wird das Erstellen von Basiseinrichtungen anfangs eine Herausforderung darstellen, da Softwareversionen und Updates auf einem unterschiedlichen Stand sein werden. Ohne eine Basiseinrichtung wren eine effektive Sicherheitspatch-Verwaltung jedoch nur schwer durchzufhren.

Das Erstellen von Basiseinrichtungen hat weitere Vorteile. Sie haben zum Beispiel einen umfassenden berblick ber den Bestand an Computern und Software.

Microsoft Produkt-Supportrichtlinie

Microsoft erstellt nur fr untersttzte Produkte Sicherheitsupdates. Damit die Verfgbarkeit von neuen Sicherheitsupdates sichergestellt ist, sollten die Software-Basiseinrichtungen nur untersttzte Produkte mit aktuellen Servicepacks umfassen. Weitere Informationen darber, welche Versionen von Microsoft Produkten im Moment untersttzt werden finden Sie unter http://support.microsoft.com/default.aspx?scid=fh;[LN];lifecycle (englischsprachig).

Sicherheitspatches werden zwischen den einzelnen Servicepacks verffentlicht. Aktualisieren Sie Ihre Basiseinrichtungen mit diesen Sicherheitspatches so schnell wie mglich. Damit reduzieren Sie die Zahl an Servicepatches, die Sie nach der Einrichtung eines neuen Computers installieren mssen. Weitere Informationen zu Servicepacks finden Sie unter http://www.microsoft.com/technet/columns/security/essays/srvpatch.asp (englischsprachig).

Bestandskategorisierung und Wertbestimmung

Whrend des Erstellens von Basiseinrichtungen ist es hilfreich, verschiedene Ressourcen und Kategorien zu unterscheiden. Wichtig sind auch Unterkategorien, die spter fr eine Priorisierung bentigt werden.

Bedenken Sie dabei die Kosten fr Ausfallzeiten und die Anforderungen jeder Kategorie und Unterkategorie fhren Sie eine Risikoabschtzung durch, um die Wichtigkeit unterschiedlicher Ressourcen zu bestimmen. Kategorisierungen nach technischen Funktionen sind nicht immer zutreffend.

Hinweis: Unabhngig vom relativen Wert jeder Ressource sollten Sie bedenken, dass ein Angriff Ressourcen mit geringer Bedeutung die gesamte Umgebung in Mitleidenschaft ziehen kann. Die Sicherheitspatch-Verwaltung sollte so umfassend wie mglich sein es soll keine Lcke fr einen Angriff bleiben.

Abonnements

Die Abonnierung der entsprechenden Benachrichtigungen ist fr eine Pflege und Aktualisierung der etablierten Basiseinrichtungen und fr eine effiziente Patchverwaltung essentiell.

Das Microsoft Security Response Center (MSRC) kmmert sich um Sicherheitsprobleme, die Microsoft Produkte betreffen und gibt Security Bulletins heraus. Jedes Unternehmen das Microsoft Produkte nutzt, sollte diese abonnieren. Sie stehen in zwei Varianten zur Verfgung:

Technische Warnungen Abonnieren Sie diese unter http://www.microsoft.com/technet/security/bulletin/notify.asp (englischsprachig).

Nicht-Technische Warnungen Abonnieren Sie die unter http://register.microsoft.com/subscription/subscribeme.asp?id=166 (englischsprachig).

Stellen Sie sicher, dass mehr als eine Person in ihrem Unternehmen Security Bulletins erhlt. So gewhrleisten Sie, dass diese Informationen auch whrend des Urlaubs eines Mitarbeiters ausgewertet werden.

Alte Security Bulletins finden Sie unter http://www.microsoft.com/technet/security/current.asp (englischsprachig).

Sicherheitsberichte

Kontinuierliches Untersuchen und Berichten ber sicherheitsrelevante Belange ist notwendig, um die Sicherheit in Ihrer Umgebung zu gewhrleisten. Dies ist der Prozessschritt, bei dem Sicherheitsberichte angefertigt werden.

Die wichtigsten Sicherheitsberichte ber ihre Umgebung sollten fr eine effektive Sicherheitspatch-Verwaltung die folgende Punkte beinhalten:

Sicherheitslcken-Analysebericht: Diese Berichte knnen durch Werkzeuge, wie den Microsoft Baseline Security Analyzer (MBSA) erstellt werden.

Virus-Analyseberichte: Diese Berichte knnen durch Virensuchprogramme erstellt werden.

Berichte zur Einbruchserkennung: Diese Berichte fassen die Resultate von unterschiedlichen Aktivitten zusammen, wie etwa die berwachung von Netzwerken und das Untersuchen der Ereignisanzeigen und die Ergebnisse von Systemen zur Einbruchserkennung. Ein solches System zur Einbruchserkennung hilft bei der automatisierten berwachung von Sicherheitsproblemen.

Jeder dieser Berichte - zusammen mit Sicherheitsbenachrichtigungen und anderen Informationsquellen - ermglicht, dass ein Unternehmen stets die ntigen sicherheitsrelevanten Informationen hat, um die nderungseinleitung zu steuern.

Die Erstellung solcher Berichte sollte soweit wie mglich automatisiert werden; auerdem sollten sie regelmig erstellt werden. Viele Berichte sollten tglich, einige wchentlich angefertigt werden. Die Hufigkeit hngt vom Grad der Automatisierung und dem Umfang des Berichts ab. Weitere Faktoren sind die vorhanden Technologien und die Personaldecke des Unternehmens und der Stellenwert, den die angestrebte Sicherheit im Unternehmen einnimmt.

Konfiguration und Wartung

Die Infrastruktur zur Patchverwaltung umfasst alle Werkzeuge und Technologien die genutzt werden, um die Anlagen zu warten, zu testen und in Betrieb zu nehmen. Diese Infrastruktur ist ein unerlssliches Instrument, um die Sicherheit und Stabilitt in einer Umgebung zu gewhrleisten. Sie verdient ein hohes Ma an Aufmerksamkeit und Pflege.

Wenn die Infrastruktur zur Patchverwaltung eine Sicherheitslcke aufweist, bietet dies einem Angreifer umfassenden Zugriff auf das Unternehmen dies beinhaltet die Mglichkeit, eine groe Anzahl von Computern in kurzer Zeit anzugreifen. Eine Patchverwaltungs-Infrastruktur muss mit weitreichenden berlegungen zur Sicherheit in Betrieb genommen, konfiguriert und gewartet werden.

nderungseinleitung

Dieser Abschnitt gibt einen grundlegenden berblick ber die nderungseinleitung. Dieser fortdauernde Prozess steuert die Sicherheitspatch-Verwaltung. Das Thema wird in Teil II, Kapitel 3, nderungseinleitung noch detailliert diskutiert.

Abbildung 3.3Einleitung von nderungen in der Sicherheitspatch-Verwaltung

Ermittlung

Die Ermittlung von Sicherheitsbelangen und den damit verbundenen Software-Updates ist ein andauernder Prozess, der von unterschiedlichen Quellen abhngig ist.

Untersuchungsberichte zur Verwundbarkeit

Diese Berichte erfassen Sicherheitslcken, die mit konfigurierten Einstellungen und Softwareversionen in Zusammenhang stehen. Das Ziel sollte eine geringe Anzahl von verschiedenen Versionen sein.

Sicherheitslcken, die mit krzlich gemachten Verffentlichungen in Verbindung stehen, leiten gewhnlich eine Sicherheitsverffentlichung ein. Wiederkehrende Sicherheitslcken und schwache Sicherheitseinstellungen werden am besten durch den Einsatz einer schrferen Sicherheitsrichtlinie behoben.

Security Bulletins

Microsoft Security Bulletins beschreiben neue Sicherheitslcken von Produkten, Aktualisierungen der vergangenen Berichte und neu entdeckte Viren.

Berichte ber Sicherheitslcken beschreiben die passenden Software-Updates und geeignete Gegenmanahmen zur Absicherung der Systeme. Besondere Sicherheitslcken werden normalerweise durch eine Sicherheitsverffentlichung im Security Bulletin erklrt.

Microsoft Security Bulletins werden - wenn sich der Schweregrad der Lcke ndert - neu erstellt. Die Security Bulletins werden ebenso neu aufgelegt, wenn die entsprechenden Software-Updates verffentlicht wurden, um ein Problem des Produktes zu beheben oder die Qualitt zu verbessern.

Neu aufgelegte Berichte, die einen hheren Schweregrad haben, sollten erneut evaluiert werden. Dabei sollte geprft werden, ob eine beabsichtigte Sicherheitsverffentlichung mit hoher Prioritt und beschleunigt ausgefhrt werden muss.

Wenn eine neuere Version eines Software-Updates verffentlicht wurde, sollten Sie feststellen, ob eine neue Sicherheitsverffentlichung durchgefhrt werden muss.

Microsoft Richtlinie im Bezug auf Security Bulletins

Microsoft verteilt niemals Software direkt durch einen E-Mail-Anhang. Wenn Sie eine Nachricht erhalten, die behauptet Software von Microsoft zu beinhalten, fhren Sie nicht den Dateianhang aus lschen Sie stattdessen die Nachricht.

Weitere Informationen zu diesen Richtlinien finden Sie unter http://www.microsoft.com/technet/security/policy/swdist.asp (englischsprachig).

Es gibt ein Menge an E-Mail-Tuschungen und -Scherzen, die behaupten, von Microsoft zu stammen. Wenn Sie ein Microsoft Security Bulletin erhalten, berprfen Sie alle Links durch den Aufruf der offiziellen Microsoft Seite: http://www.microsoft.com/technet/security/current.asp (englischsprachig).

Weitere Informationen hierzu finden Sie unter http://www.microsoft.com/technet/security/news/patch_hoax.asp (englischsprachig).

Warnungen und Webseiten

Neben dem Lesen von Sicherheitsberichten und der berprfung auf Sicherheitslcken, sollten Sie regelmig Produkt- und Technologiewebseiten besuchen, um herauszufinden, ob neue Service Packs, wichtige Sicherheitsbetrachtungen oder Whitepapers verffentlicht wurden. Einige Dienste senden per E-Mail Warnungen, die in Zusammenhang mit bestimmten Produkten stehen.

Die Folge einer neu gefunden Sicherheitsinformation kann das Einleiten einer Sicherheitsverffentlichung sein. berprfen Sie, ob nderungen an den Sicherheitsrichtlinien vorgenommen werden mssen, um einen besseren Schutz zu erzielen. Der Einsatz eines neuen Tools knnte auch eine hilfreiche Neuerung darstellen. Besondere Software-Updates, die nichts mit Sicherheit zu tun haben, sollten eigenstndig behandelt werden.

Ein Angriff durch einen neuen Virus oder einen Wurm ist ein guter Grund fr die Einrichtung eines Notfallreaktionsplans. Dieser kann Ihnen helfen, den Schaden durch einen Angriff zu minimieren und versetzt ein Unternehmen in ein gute Ausgangslage.

Berichte zu Viren und Einbruchserkennung

Das Aufspren eines Virus oder Einbruchs offenbart einen bereits laufenden Angriff, der einer schnellen Reaktion bedarf. Die typische Reaktion auf einen Angriff ist ein Notfallreaktionsplan.

Microsoft-Richtlinie zu neu entdeckten Sicherheitslcken

Wenn Sie eine neue Sicherheitslcke in eine Microsoft Produkt entdecken, informieren Sie Microsoft bitte sofort. Wenn Sie einen Microsoft Premium Support Vertrag haben, kontaktieren Sie ihren Ansprechpartner bei Microsoft. Fr Unternehmen, bei denen dies nicht der Fall ist, bietet Microsoft eine entsprechende Formular-Seite im Internet an, ber die Sicherheitslcken gemeldet werden knnen: https://www.microsoft.com/technet/security/bulletin/alertus.asp (englischsprachig).

Relevanz

Um die notwendigen Reaktionsmanahmen zu bestimmen, sollten Sie erkannte Sicherheitslcken auf deren Bedeutung fr die Unternehmensumgebung berprfen. Die berprfung sollte alle entscheidenden Dokumentationen umfassen, wie zum Beispiel Knowledge Base (KB)-Artikel. Stellen Sie fest, of eine Sicherheitslcke in der Umgebung fr eine bestimmte Softwareversion existiert. Wenn die Sicherheitslcke existiert, muss reagiert werden.

Hinweis: Eine Sicherheitslcke, die durch eine Gegenmanahme abgeschwcht wurde (etwa durch Netzwerkfilter oder Dienstabschaltung) ist noch immer eine Gefahrenquelle.Da einige Gegenmanahmen nicht umfassend sind, verhindern sie nicht jeden Angriff. Auerdem kann durch eine zuknftige Konfigurationsnderung unbeabsichtigt eine Gegenmanahme entfernt werden. Aus diesen Grnden sind solche Sicherheitslcken trotz Gegenmanahmen bedeutsam und bentigen ein Sicherheitspatch.Obwohl die Existenz einer solchen Gegenmanahme die Prioritt eines Software-Updates reduziert, muss die Sicherheitslcke trotzdem weiter berwacht und spter behoben werden.

Quarantne

Um die Produktionsumgebung vor Vireninfektion und bsartigem Code zu schtzen, sollten alle Software-Updates in einer speziellen Testumgebung geprft werden. Diese Quarantne sollte sich ber die gesamte Software und Dokumentation erstrecken.

Die Software, welche die Quarantne durchlaufen hat, sollte dann die einzige verwendete Version fr die Verwaltung von nderungen und Verffentlichungen sein.

Hinweis: Microsoft Software-Updates und Verteilungswerkzeuge umfassen die Software Update Services (SUS) und den Systems Management Server (SMS) mit SUS-Erweiterung. Dadurch wird erreicht, dass nur Software aus vertrauenswrdigen, virusfreien Microsoft-Quellen bezogen wird. Die Authentizitt der Datenpakete wird durch digitale Signaturen sichergestellt.Diese Richtlinie versucht die grtmgliche Sicherheit fr den Bezug von Software-Updates durchzusetzen. Trotzdem knnen bestimmte Prozesse weiterhin eine Quarantne-Umgebung fr die heruntergeladenen Softwareaktualisierungen erfordern.

Sicherheits-Verffentlichungen

Dieser Abschnitt bietet einen grundlegenden berblick ber Sicherheits-Verffentlichungen, die typische Reaktion auf eine entdeckte Sicherheitslcke. Dieses Thema wird detaillierter in Teil II, Kapitel 4, Sicherheits-Verffentlichungen diskutiert.

Abbildung 3.4Sicherheits-Verffentlichungen

nderungsverwaltung

Die nderungsverwaltung im Zusammenhang mit Sicherheits-Verffentlichungen ist der Prozess, um eine geeignete Reaktion auf eine Sicherheitslcke oder eine Bedrohung zu bieten. Dies schliet folgende Punkte ein:

Bestimmen, welche Art von nderung in der Produktionsumgebung notwendig ist. Die Lsung kann entweder das Einsetzen von Software-Updates oder aber das Anwenden von Gegenmanahmen sein. Auch eine Kombination aus beiden Manahmen ist denkbar.

Beschreibung der notwendigen nderungen, so dass andere diese verstehen und entsprechend handeln knnen.

Priorisierung und Planung einer Verffentlichung, um die nderung zu implementieren.

Sicherstellen, dass die entsprechenden Personen den Vorgang autorisieren und freigeben, um die nderung durchzufhren.

Auswahl von Gegenmanahmen

Die beste Reaktion auf Softwaresicherheitslcken ist der Einsatz von Updates, die das Problem beheben. Gelegentlich ist dies nicht sofort erforderlich. Die Anwendung einer Gegenmanahme hat unterschiedliche Nutzen:

Einige Gegenmanahmen knnen ohne Ausfallzeit angewendet werden, whrend andere Software-Updates einen Neustart erfordern.

Einige Gegenmanahmen sind mit einem geringeren Risiko verbunden und knnen schnell eingesetzt werden ohne umfangreiche Tests. Bei Software-Updates ist dies jedoch meist nicht der Fall.

Gegenmanahmen knnen gewhnlich schnell wieder rckgngig gemacht werden, wenn sie ungewollte Auswirkungen haben. Updates hingegen knnen nicht einfach deinstalliert werden.

Aus diesen Grnden sind Gegenmanahmen am ehesten zu nutzen, um schnell auf Sicherheitslcken zu reagieren, wenn diese aufgrund der Bedrohung geboten sind und eine Aktualisierung nicht so schnell angewendet werden kann.

Wann immer lediglich eine Gegenmanahme angewendet wird, sollte auch eine Planung von Sicherheitsverffentlichungen als zweiter Schritt vorgenommen werden um die zugrunde liegende Sicherheitslcke zu beheben.

Hinweis: Viele Gegenmanahmen sind in der Anwendung gut fr die allgemeine Sicherheit. Wenn die Gegenmanahmen vollstndig verstanden wurden, sollten Sie berlegen, ob die Einstellungen nicht in die Standardsicherheitsrichtlinien bernommen werden knnen.

Beschreibung der nderungen

Es gibt viele Aspekte von Sicherheitsverffentlichungen, die Sie verstehen sollten. Dabei helfen Ihnen die nachfolgenden Fragen:

Was ist die nderung? Welche Reaktion auf welches Sicherheitsproblem stellt die nderung dar?

Welche Dienste sind von der nderung betroffen?

Wurde eine Software-Update angewendet?

Ist durch die Aktualisierung ein Neustart erforderlich?

Kann die Aktualisierung rckgngig gemacht werden?

Sollte eine Gegenmanahme angewendet werden?

Was sind die empfohlenen Teststrategien fr die nderung?

Priorisierung und Planung der Verffentlichung

Die folgende Tabelle gibt einige Empfehlungen zu unterschiedlichen Prioritten fr Sicherheitsverffentlichungen.

Tabelle 3.1: Zeitrahmen und Empfehlungen fr Sicherheitsverffentlichungen

Prioritt

Empfohlener Zeitrahmen

Minimaler Zeitrahmen

1

Innerhalb 24 Stunden

Innerhalb von 2 Wochen

2

Innerhalb eines Monats

Innerhalb von 2 Monaten

3

In Abhngigkeit der Verfgbarkeit anwenden. Dies kann die Installation eines Servicepacks oder die Aktualisierung der Anwendungssoftware bedeuten und sollte innerhalb von 4 Monaten geschehen.

Aktualisierung innerhalb von 6 Monaten.

4

In Abhngigkeit der Verfgbarkeit anwenden. Dies kann die Installation eines Servicepacks oder einer Aktualisierung der Software umfassen und sollte innerhalb eines Jahres eingesetzt werden.

Anwendung der Software-Updates innerhalb eines Jahres oder kein Einsatz von Software-Updates.

Die Prioritt und die resultierende Planung fr eine Sicherheitsverffentlichung sollte durch die berlegung bestimmt werden, dass der definierte Schweregrad des MSRC durch spezifische Eigenschaften der jeweiligen Umgebung ergnzt werden muss.

Ein einfaches Verfahren zur Ermittlung der tatschlichen Prioritt sollte zuerst den vom MSRC vorgeschlagen Schweregrad zugrunde legen und diesen dann den spezifischen Bedrfnissen des Unternehmens anpassen. Dabei spielen die individuellen Aspekte der jeweiligen Umgebung eine wichtige Rolle (Tabelle 3.3).

Tabelle 3.2: Bestimmen der anfnglichen Prioritt

MSRC Schweregrad

Anfngliche Prioritt der Sicherheitslcke

Kritisch

1

Wichtig

2

Mig

3

Niedrig

4

Tabelle 3.3: Faktoren, die einen Einfluss auf die Prioritt der Verffentlichung haben

Umgebungs-/Unternehmensfaktoren

Mgliche Anpassung der Prioritt

Hohe Werte oder hohe Gefhrdung von Ressourcen

Erhhen

Ressourcen, die typischerweise angegriffen werden

Erhhen

Abschwchende Faktoren, die bereits eingesetzt wurden zum Beispiel bereits implementierte Gegenmanahmen

Herabsetzen

Geringe Werte oder geringe Gefhrdung von Ressourcen

Herabsetzen

Um die Anwendung von Verffentlichung zu erleichtern, knnen verschiedene Sicherheitsnderungen der selben Kategorie kombiniert werden. Dies ist am ehesten fr die Prioritten 2 bis 4 zu empfehlen.

Verffentlichungsverwaltung

Der Schwerpunkt der Verffentlichungsverwaltung liegt auf einer Erleichterung der Einfhrung von Software- und Hardwareaktualisierungen in verwalteten IT-Umgebungen. Typischerweise umfassen diese Umgebungen eine Produktiv- und eine Testumgebung.

Der Prozess der Verffentlichungsverwaltung umfasst folgende Schritte:

Planung der Verffentlichung: Definieren und priorisieren aller Anforderungen fr die Verffentlichung und Erstellen der Planungsunterlagen - inklusive eines Test-Plans, Rollout- Plans und Rollback-Plans. Diese Plne werden von allen Gruppenmitgliedern genutzt.

Entwicklung von Verffentlichungen: Die Auswahl des Verffentlichungsverfahrens, sowie der Entwurf, das Erstellen und Testen des zu verffentlichenden Paketes. Die Verfahren sollten die Aktualisierungen effizient zur Verfgung stellen und dabei ebenso Computer bercksichtigen, die zwischen den Basiseinrichtungen neu hinzukommen.

Akzeptanz-Test: Der Zweck des Testens ist es, die fehlerfreie Funktion des Patches zu besttigen. Dieser Test zielt darauf ab, zu berprfen, wie sich das Paket in einer Produktivumgebung verhlt.

Rollout-Planung und Vorbereitung: Die endgltigen Parameter und Vorbereitungen fr die Infrastruktur, in der die Verffentlichung angewendet werden soll. Rollout-Vorbereitungen erfordern die Koordination von Ressourcen sowie das Anpassen von Hard- und Software.

Anwendung der Verffentlichung: Verteilen und Installieren der Verffentlichung im gesamten Unternehmen. Dies kann auf eine Pilot-Phase umfassen, um den Patch auf wenigen Computer anzuwenden. Die dabei gemachten Erfahrungen knnen dann dazu benutzt werden, eine Verffentlichung entweder stufenweise oder in einem Stck durchzufhren.

Hinweis: Der Fokus des Akzeptanztests sollte darauf liegen, wie gut das Sicherheitspatch in ihrer Umgebung angewendet werden kann. Achten sie besonders darauf, wie kompatibel er mit Standardanwendungen (line-of-business LOB) und unabhngigen Software-Lieferanten (ISV) zusammenarbeitet und wie sich ltere Software und Hardware verhlt.Unter Umstnden ist es sinnvoll, bei diesen Tests mit den Software-Lieferanten zusammenzuarbeiten, die zentrale Anwendungen fr Sie liefern.

Erfolgsberwachung

Der berprfungsprozess sollte die erfolgreiche Anwendung der Sicherheitspatches sicherstellen und belegen, dass es dadurch zu keinen negativen Auswirkungen auf den laufenden Betrieb kommt. Das betrifft auch die berprfung der Protokolle und Berichte zur Verteilung. Hotlineanrufe und Anfragen an den Helpdesk sollten ebenfalls mit aufgenommen werden. Zuletzt berprfen Sie durch einen Verwundbarkeit-Untersuchungsbericht, ob die Sicherheitslcke erfolgreich geschlossen wurde.

Dies bietet Ihnen die Gelegenheit zu berprfen, wie der Prozess insgesamt abgelaufen ist. Haben alle Einstellungen bezglich nderungseinleitung und Verffentlichungsverwaltung funktioniert, oder mssen diese fr den nchsten Durchlauf angepasst werden?

Trotz akkuraten Planung und Tests knnen Probleme auftauchen. Auch wenn ein bestimmtes Software-Update nicht deinstalliert werden kann, so sollte doch immer der Versuch unternommen werden, eine Rollbackmglichkeit zu definieren. Dies geschieht fr den Fall, dass die nderungen des Sicherheitspatches nicht auf andere Weise korrigiert werden knnen.

Erzwingen von Sicherheitsrichtlinien

Dieser Abschnitt bietet einen grundlegenden berblick ber das Durchsetzen von Sicherheitsrichtlinien. Dies ist die typische Reaktion auf wiederkehrende Sicherheitslcken. Dieses Thema wird detaillierter in Teil II, Kapitel 5, Durchsetzen von Sicherheitsrichtlinien behandelt.

Neuinstallationen, die Laborausstattung, mobile Benutzer und dezentralisierte Verwaltung knnen Quellen fr wiederkehrende Sicherheitslcken sein. Wiederkehrende Sicherheitslcken sind ein erhhtes Risiko, da Viren, Wrmer und Angriffswerkzeuge diese leichte ausnutzen knnen.

Eine Sicherheitsrichtlinie sollte Definitionen ber die Softwarestnde, Software-Updates und Einstellungen umfassen, die wirksam den Grad an tolerierbarem Risiko fr ein Unternehmen wiederspiegeln.

Computer, auf die die Sicherheitsrichtlinie nicht angewendet werden kann, sind angreifbar und stellen somit ein inakzeptables Sicherheitsrisiko dar. Die Ergebnisse einer vorangegangenen Sicherheitslckenanalyse knnen ebenfalls dazu dienen, nicht konforme Systeme zu erfassen. So kann schnell auf diese reagiert werden.

Das Durchsetzen einer Annherung an Richtlinien mit Hilfe von Werkzeugen und Methoden, einschlielich der Erfassung von Computerbesitzern, zielt hauptschlich auf die Beseitigung von Sicherheitslcken und das Erkennen geeigneter Eskalationsstrategien ab.

Reaktionen auf sicherheitsrelevante Notflle

Dieser Abschnitt gibt einen grundlegenden berblick ber die Mglichkeit, auf sicherheitsrelevante Notflle zu reagieren. Zum einen auf Notflle, die sich bereits ereignen und zum anderen wahrscheinliche Angriffe in der Zukunft. Dieses Thema wird detaillierter in Teil II, Kapitel 6, Reaktionen auf sicherheitsrelevante Notflle beschrieben.

Es gibt drei Hauptbereiche, die vor dem Eintreten eines Notfalls vorbereitet werden sollten:

Regelmige berprfungen, sowie der Gebrauch von Tools zur Eindringlingserkennung.

Schaffung eines Teams, dass auf Vorflle nach festgelegter Vorgehensweise reagieren soll.

Vordefinierte Schritte nach einem Vorfall und eine berprfung der Vorgehensweise, um aus dem Angriff zu lernen.

berwachung und Einbruchserkennung umfasst eine berwachung des Netzwerkumfelds. Darber hinaus sollten regelmige berprfungen der Dienste und Konfiguration der verschiedenen Computer vorgenommen werden. Auerdem sollten im gesamten Unternehmen die Ereignisanzeigen der Systeme auf bestimmte Ereignistypen hin untersucht werden. Diverse Werkzeuge stehen fr die Durchfhrung solcher Aufgaben bereit.

Der offizielle Notfallplan beschreibt, wie das Notfallreaktionsteam die folgenden Aufgaben ausfhrt:

Wie wird der Angriff bewertet? Dies umfasst eine Analyse des Angriffs.

Wer sollte bei einem Angriff benachrichtigt werden? Die Liste sollte auch Strafverfolgungsbehrden und staatliche Stellen umfassen.

Wie kann der Angriff eingedmmt und isoliert werden? Dies sollte alle Eventualitten, die eingesetzt werden knnen, einschlieen.

Wie ist ein Angriff zu bewerten und wie soll darauf reagiert werden? Dies sollte alle Hilfsmanahmen und beschleunigte nderungen und schnellere Verffentlichungsverwaltung beinhalten.

Was sollte nach einem Angriff geschehen? Dieser Schritt sollte eine Beurteilung der Auswirkungen und Wiederholen von nderungen an der Umgebung umfassen, da eventuell nderungen unter Zeitdruck unvollstndig oder fehlerhaft ausgefhrt wurden. Darber hinaus sollte die Leistung der Systeme whrend eines Angriffes untersucht werden.

Ergebnisoptimierung

Dieser Abschnitt gibt einen grundlegenden berblick ber die Optimierung der Sicherheitspatch-Verwaltung. Dieses Thema wird detaillierter in Teil II, Kapitel 7, Optimierung der Ergebnisse diskutiert.

Es ist wichtig, Fortschritte zu dokumentieren und Ablufe zu verbessern. Selbst bei einer guten Planung zeigen sich nach einiger Zeit Mglichkeiten zur Verbesserung.

Jeder Baustein der Sicherheitspatch-Verwaltung, zum Beispiel das Einrichten, die nderungseinleitung einschlielich der Verffentlichung von Sicherheitspatches, dem Erzwingen von Sicherheitsrichtlinien und definierten Notfallreaktionsplnen, sollte berprft werden.

Die Sicherheitspatch-Verwaltung sollte ein integraler Teil des laufenden Betriebs sein. Es gibt sehr viele Quellen, die eine Hilfestellung bei der berprfung und Verbesserung dieser Vorgnge geben. Genannt sei hier das Microsoft Operations Framework Self-Assessment Tool: http://www.microsoft.com/technet/itsolutions/tandp/opex/moftool.asp (englischsprachig).

Weitere Informationen ber die Beurteilung von Betriebsprozessen finden Sie unter http://www.microsoft.com/solutions/msm/evaluation/overview/opsassessment.asp (englischsprachig).

4 Werkzeuge und Technologien

Dieses Kapitel hebt besonders die Technologien hervor, die von Microsoft fr die Sicherheitspatch-Verwaltung zur Verfgung gestellt werden. Es soll als Entscheidungshilfe dienen.

Kurzfassung: Verteilung von Software-Updates

Es gibt grundstzlich drei unterschiedliche Mglichkeiten der Softwareverteilung bei Microsoft: Windows Update (WU), Software Update Services (SUS) 1.0 SP1 und Systems Management Server (SMS) 2.0 mit dem SUS Feature Pack.

Tabelle 4.1: Kurzfassung WU, SUS und SMS.

Anwendungsbereich

Windows Update

SUS 1.0 SP1

SMS mit SUS Service Pack

Zentralisierte Verwaltung

Unzureichend. Computer installieren Aktualisierungen ausgewhlt durch den Benutzer

Gut. Aktualisierungen werden durch den Administrator abgenommen.

Ideal. Aktualisierungen werden durch den Administrator abgenommen und gezielt angewendet.

Zentrale Inventarisierung

Unzureichend. Keine zentrale Inventarisierung oder Einstufung.

Unzureichend. Keine zentrale Inventarisierung oder Einstufung.

Ideal. Anpassbare zentrale Inventarisierung fr Hard- und Software sowie Sicherheitslcken.

Software Abdeckung

Gut. Alle Arten von Windows Aktualisierungen. Nur Windows.

Angemessen*. Sicherheitspatches, kritische Aktualisierungen, Aktualisierungen und Zusammenfassungen davon. Nur Windows.

Ideal. Verteilt jede Software oder Aktualisierung zu SMS Clients.

Kosten.

keine

keine

Lizenzgebhren erforderlich.

Windows Betriebssysteme

Gut. Windows 98, Windows 98 SE, Windows Millennium Edition, Windows XP, Windows 2000 und Windows 2003.

Angemessen. Windows XP, Windows 2000 und Windows 2003.

Ideal. Windows 95, Windows 98, Windows 98 SE, Windows Millennium Edition, Windows NT 4.0, Windows XP, Windows 2000 und Windows 2003.

Berichtserstellung

Unzureichend. Keine zentrale Berichtserstattung.

Angemessen. Einige zentrale Berichte durch Protokolldateien.

Ideal. Integrierte Webseiten mit anpassbaren Berichten.

Architektur und Installation

Leicht. Lediglich Clientkonfiguration, keine weitere Infrastruktur.

Leicht. Einfache Serverarchitektur: einfache Einrichtung von Clients.

Anspruchsvoll: Komplexe Architektur und Diensteinstallation.

Die Tabelle oben bietet einen einfachen Vergleich der entsprechenden Technologien und Produkteigenschaften. Dies ist fr Unternehmen von Interesse, die Sicherheitspatch-Verwaltung automatisieren wollen.

Hinweis: Windows Update und Software Update Services 1.0 SP1 bieten lediglich Softwareaktualisierungen fr das Windows-Betriebssystem und Windows-Komponenten (zum Beispiel Microsoft Internet Explorer, Microsoft Internet Information Server und Microsoft Windows Media player). Wo immer Sicherheitslcken in diesen Produkten gefunden werden, bietet Microsoft Aktualisierungen an.Etwa 75% aller Microsoft Sicherheitsberichte wurden zu Windows-Betriebssystemen und Windows-Komponenten verffentlicht. Deshalb kann man WU und SUS als angemessene Methoden fr die meisten sicherheitsrelevanten Aktualisierungen ansehen.In WU- und SUS-Umgebungen mssen andere Microsoft-Produkte, wie Microsoft Office mit speziellen Aktualisierungsdiensten versorgt werden. In machen Fllen ist eine manuelle Aktualisierung erforderlich (zum Beispiel bei Microsoft Exchange und Microsoft SQL Server).SMS kennt diese Beschrnkung nicht und kann zur Aktualisierung aller Arten von Software herangezogen werden.

Softwareaktualisierungen beurteilen und Berichte erstellen

WU und SUS knnen feststellen, ob eine Softwareaktualisierung auf einem Computer notwendig ist. Diese Beurteilung wird jedoch nicht zentral vorgenommen; auerdem liefern sie keine vereinheitlichten Berichte ber Sicherheitslcken. In WU- und SUS-Umgebungen knnen der Microsoft Baseline Security Analyzer (MBSA) und das Office Update Inventory-Werkzeug dazu genutzt werden, eine solche zentrale Beurteilung von Sicherheitslcken durchzufhren und einfache Berichte zu erstellen.

SMS 2.0 mit dem SUS Feature Pack beinhaltet alle Funktionen des MBSA und des Office Update Inventory Tools und eine einfach zu bedienende Softwareaktualisierung und Sicherheitslckenbeurteilung sowie Berichtsfunktion.

Microsoft-Produkt- und Technologie-Wegweiser

Microsoft bietet kleinen, mittleren und groen Unternehmen verschiedene Werkzeuge und Dienste an, um Benutzern und Administratoren die Mglichkeit zu geben ihre Computer sicher und stabil halten.

Microsoft-Werkzeuge zur Softwareaktualisierung und zur Sicherheitslckenbeurteilung:

Microsoft Baseline Security Analyzer (MBSA): Dieses Werkzeug bietet eine Analyse und Beurteilung von Sicherheitslcken. Auerdem werden fehlende Updates gefunden.

Office Update Inventory Tool: Diese Software bietet Analysefunktionen, die auf unterschiedliche Computer zugreifen kann und fr diese geeignete Aktualisierungen vorschlgt.

Microsoft Dienste zur Softwareaktualisierung:

Windows Update (WU): Windows Update ist ein Dienst der Ihnen hilft, das Windows- Betriebssystem und seine Komponenten aktuell zu halten.

Office Update: Dieser Dienst arbeitet analog zu Windows Update. Auf einer Webseite bietet Microsoft Hilfe fr alle Produkte des Office-Paketes an.

Microsoft-Dienste zur Abnahme und Verteilung von Softwareaktualisierungen fr Unternehmen:

Software Update Services (SUS): SUS ist eine Erweiterung des Windows Update Service, der Unternehmen eine Wartung und Verwaltung von Aktualisierungen fr alle Computer mit Windows-Betriebssystemen im Intranet erlaubt.

Systems Management Server (SMS) 2.0 und das SUS Feature Pack: Diese Lsung ermglicht in Grounternehmen die Verwaltung der nderung und Konfiguration aller Microsoft-Systeme. Es bietet eine vollstndige Softwareinventarisierung und Verwaltungsdienste, sowie eine hochentwickelte Berichtsfunktion.

Das SUS Feature Pack bietet einen einfachen Zugang zu Softwareaktualisierungen, die durch Windows Update, Office Update und das Microsoft Download Center verfgbar sind. Darber hinaus sind Analysefunktionen des MBSA und des Office Update integriert. Dies erleichtert die Sicherheitspatch-Verwaltung in Unternehmen jeder Gre.

Werkzeuge zur Beurteilung und Softwareaktualisierung

Microsoft Baseline Security Analyzer (MBSA) 1.1.1

Der MBSA luft unter Windows 2000, Windows XP und Windows Server 2003 und untersucht verschiedene Computer auf allgemeine Sicherheitslcken und fehlende Sicherheitsaktualisierungen gem der folgenden Tabelle.

Tabelle 4.2: MSBA 1.1.1 Analysefunktionen

Produkt

Allgemeine Sicherheitslcken

Fehlende Sicherheitsaktualisierungen

Windows NT 4.0

Ja

Ja

Windows 2000

Ja

Ja

Windows XP

Ja

Ja

Windows Server 2003

Ja

Ja

Internet Information Server 4.0, 5.0 und 6.0

Ja

Ja

SQL Server 7.0 und SQL Server 2000

Ja

Ja

Internet Explorer 5.01 und hher

Ja

Ja

Exchange 5.5 und 2000

Ja

Windows Media Player 6.4 und hher

Ja

Office 2000 und Office XP

Ja

*

* Beachten Sie die folgenden Informationen ber MBSA 1.2 und Office

MBSA bietet eine grafische Benutzerschnittstelle um Berichte anzuzeigen; auerdem gibt es eine skript-basierte Schnittstelle. Der MBSA ldt eine XML-Datei aus dem Microsoft Download Center. Er stellt so sicher, dass eine aktuelle Liste aller sicherheitsrelevanten Softwareaktualisierungen vorliegt.

Hinweis: MBSA 1.2 wird die Office Update Analysefunktionen des Office Update Inventory Tool enthalten.

Weitere Informationen zum Microsoft Baseline Security Analyzer finden Sie unter http://www.microsoft.com/technet/security/tools/tools/mbsahome.asp (englischsprachig).

Office Update Inventory Tool

Das Office Update Inventory Tool ermglicht Administratoren den Status hinsichtlich Microsoft Office 2000 und Office XP-Aktualisierungen zu berprfen. Administratoren knnen dieses Werkzeug von einem zentralen Punkt aus nutzen. Das Produkt generiert einen Bericht und stellt die angewendeten Aktualisierungen fest. Zustzlich wird eine Liste der verfgbaren Updates generiert und aufgezeigt, welche Updates nur mit administrativen Rechten angewendet werden knnen.

Weitere Informationen zum Office Update Inventory Tool finden Sie unter http://www.microsoft.com/office/ork/xp/journ/OffUTool.htm (englischsprachig).

Dienste zur Installation von Softwareaktualisierungen auf Computern

Windows Update

Windows Update ist ein kostenloser Dienst, um Windows Computer mit aktuellen Softwareaktualisierungen zu versorgen. Windows Update besteht aus drei Komponenten: Der Windows Update Webseite, der automatischen Clientaktualisierung und dem Windows Update- Katalog.

Windows Update Webseite

Viele Benutzer verwenden die Mglichkeiten der Windows Update-Webseite, um ihr System auf dem aktuellen Stand zu halten. Wenn sich Benutzer mit der Windows Update-Seite verbinden, prft Windows, welche Softwareaktualisierungen und aktualisierten Treiber (mit dem Designed for Windows Logo) auf dem Computer angewendet werden sollten, um ihr System sicher und stabil zu halten.

Windows Update kann Benutzer automatisch ber wichtige Aktualisierungen und Sicherheitspatches benachrichtigen. Dies geschieht durch den Automatic Updates Client, ohne dass die Windows Update-Webseite besucht werden muss.

Automatische Clientaktualisierung

Verfgbar ab Windows 2000 SP3, Windows XP Home Edition und Windows XP Professional bietet dieser Dienst Benachrichtigungen ber empfohlene Aktualisierungen und eine Benutzerschnittstelle zur Konfiguration an. Dadurch wird eine Mglichkeit zum automatisierten Herunterladen und Installieren geschaffen.

Hinweis: Der Critical Update Notification (CUN) Client des Security Toolkit ist nun berfl