Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

354 Kapitel 13: Patchverwaltung
Der beste Ansatz, um die Verwundbarkeit einzudämmen
Ihnen stehen eine Reihe unterschiedlicher Möglichkeiten zur Verfügung, wenn Sie feststellen,
wie sich eine Verwundbarkeit am wirksamsten eindämmen lässt. Zum Beispiel können
Sie das Sicherheitsupdate bereitstellen oder die Verwundbarkeit eindämmen, indem Sie
Gegenmaßnahmen anwenden, die die Angriffsfläche verkleinern.
Falls die Binärdateien, die von der Verwundbarkeit betroffen sind, auf dem Computer installiert
sind, ist es meist am besten, wenn Sie das Sicherheitsupdate bereitstellen. Indem Sie
das Sicherheitsupdate bereitstellen, reparieren Sie direkt die Dateien, die für die Verwundbarkeit
verantwortlich sind. Falls die Binärdateien allerdings mit einem Dienst verbunden
sind, den Sie nicht verwenden, kann es sinnvoller sein, diesen Dienst einfach zu entfernen.
Falls zum Beispiel IIS auf einem Computer installiert ist, Sie diesen Computer aber gar
nicht als Webserver nutzen, können Sie IIS einfach deinstallieren. Dann brauchen Sie das
Sicherheitsupdate nicht bereitzustellen, weil die betroffenen Dateien gar nicht mehr auf dem
Computer vorhanden sind. Das Anwenden von Gegenmaßnahmen sollte nur eine provisorische
Lösung sein, bis Sie das Sicherheitsupdate installieren. Zwei Beispiele für Gegenmaßnahmen
sind das Deaktivieren von Diensten und das Aktivieren der Internet Explorer-
»Kill Bits«. Weitere Informationen über die Internet Explorer-Kill-Bits finden Sie unter
http://support.microsoft.com/kb/240797. Provisorische Lösungen für ein bestimmtes Sicherheitsupdate,
die von Microsoft getestet und freigeben wurden, werden im Abschnitt mit den
Verwundbarkeitsinformationen im entsprechenden Sicherheitsbulletin aufgeführt.
Hinweis Oft kann Ihre Analyse der Priorität eines Sicherheitsupdates helfen, sich für eine Eindämmungsstrategie
zu entscheiden. Falls Sie zum Beispiel entschieden haben, dass ein bestimmtes Sicherheitsupdate
für Ihre Organisation kritisch ist, haben Sie unter Umständen nicht genug Zeit, um es ausgiebig zu
testen. Wenn Sie sich die verfügbaren provisorischen Lösungen ansehen, entscheiden Sie möglicherweise,
eine dieser Lösungen anzuwenden, während das Sicherheitsupdate den vollständigen Testzyklus durchläuft.
Stellen Sie aber auf jeden Fall sicher, dass die Analyse anhand der entsprechenden Computerklassen
durchgeführt wird. Zum Beispiel ist ein Angriff, bei dem im Remotezugriff Code über QuickTime ausgeführt
werden kann, für eine Arbeitsstation kritisch, aber falls sich jemand auf Ihren Domänencontrollern YouTube-
Filmchen ansieht, haben Sie ein ganz anderes Problem, das Sie schleunigst angehen müssen.
Planen der Bereitstellung
Sobald Sie entschieden haben, wie Sie vorgehen wollen, ist der nächste Schritt das Planen
der Änderungsverwaltung. Zuerst müssen Sie herausfinden, wie viele Computer von der
Verwundbarkeit betroffen sind. An dieser Stelle ist das Inventar wieder sehr nützlich. Anschließend
sollten Sie eventuelle Hindernisse identifizieren, die eine Bereitstellung verhindern
können. Einige dieser Bereitstellungshindernisse sind zum Beispiel nicht ausreichender
Festplattenplatz auf den Computern, die das Sicherheitsupdate benötigen, Gruppenrichtlinienobjekte,
die eine Softwareinstallation blockieren, oder Wartungsfenster im Rahmen
der Änderungsverwaltung auf Servern, für die hohe Verfügbarkeitsanforderungen bestehen.
Wichtig Stellen Sie sicher, dass Sie alle Wartungsfenster der Änderungsverwaltung berücksichtigen,
wenn Sie die Bereitstellung von Sicherheitsupdates planen.