Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

356 Kapitel 13: Patchverwaltung
Ein Ansatz für diese Aufgabe lautet, einige Computer zur Hand zur haben, auf denen die
entsprechenden Anwendungen installiert sind. Installieren Sie das Sicherheitsupdate auf
diesen Computern und testen Sie so viele Szenarien wie möglich. Diese Methode kann allerdings
zu unerwarteten Problemen führen, falls der Mitarbeiter, der die Anwendung testet,
nicht wirklich alles ausprobiert. Ein besserer Ansatz besteht darin, das Sicherheitsupdate auf
einer Gruppe von Computern zu installieren, die für die ganz normale Arbeit eingesetzt werden.
Stellen Sie sicher, dass die Benutzer über die Installation des Sicherheitsupdates auf
ihren Computern informiert sind, und lassen Sie sich eventuell auftretende Probleme sofort
melden. Wenn Sie mehrere Benutzer mit unterschiedlichen Aufgaben innerhalb Ihrer Organisation
aussuchen, sind Ihre Chancen größer, alle Szenarien abzudecken, als wenn nur ein
Grüppchen von IT-Personal die festgelegten Anwendungsfälle von Hand durchgeht. Aber
selbst bei diesem Ansatz ist unwahrscheinlich, dass wirklich alle Szenarien abgedeckt werden,
die getestet werden sollten.
Hinweis Falls Sie Ihre Sicherheitsupdates über WSUS bereitstellen, können Sie eine Testcomputergruppe
einrichten, Ihre Testclientcomputer zu dieser Gruppe hinzufügen und dann die Updates ausschließlich
für diese Gruppe bereitstellen.
Bereitstellen des Sicherheitsupdates für alle Benutzer
Wenn Sicherheitsupdates bereitgestellt werden, sollte dies innerhalb eines vorher geplanten
Wartungsfensters geschehen. Die Änderungswartung sollte allen betroffenen Benutzern
bekannt gemacht werden, damit sie darüber informiert sind, dass ein Update zu erwarten ist.
Sobald dies erledigt ist, sollten Sie das Sicherheitsupdate testen, bis Sie überzeugt sind, dass
keine unerwarteten Probleme auftreten. Nun können Sie sich das Update von den Zuständigen
genehmigen lassen. Schließlich ist der Zeitpunkt gekommen, den großen, grünen Los
geht’s-Schalter zu drücken.
Nach der Bereitstellung sollten Sie den Prozess mit den Zuständigen der betroffenen Abteilungen
und dem IT-Management noch einmal durchgehen und feststellen, ob irgendwelche
Verbesserungen oder Optimierungen an Ihrer Updateverwaltungsstrategie erforderlich sind.
Die Updateverwaltung ist ein Prozess, der sich ständig weiterentwickelt und immer wieder
aufs Neue überprüft werden sollte.
Der Aufbau eines Sicherheitsupdates
Bei Windows Vista und Windows Server 2008 liegen Sicherheitsupdates in Form einer einzigen
MSU-Datei vor. Das Paket wird über das eigenständige Windows-Updateinstallationsprogramm
(Windows Update Stand-Alone Installer Process, wusa.exe) installiert. Es enthält
eine Cabinet-Datei (.cab) mit dem Update, eine XML-Datei, die das Update beschreibt, und
einer Eigenschaftendatei, die die vom Installer verwendeten Texte enthält. (Falls ein Paket
mehrere Updates umfasst, ist für jedes Update eine eigene CAB-Datei enthalten.)
Unterstützte Befehlszeilenparameter
Im Unterschied zu den Vorgängerversionen der Sicherheitsupdatepakete funktioniert das
Befehlszeilenargument /X nicht mehr. Sie können das erweiterte Befehlszeilenprogramm
verwenden, das im Betriebssystem Windows enthalten ist, oder eine Dateiarchivierungsanwendung
von einem anderen Hersteller, die mit MSU-Dateien umgehen kann, zum Beispiel