Erfolgreiches Patch Management 3/28/2017 6:51 PM Michael Kalbe Manager Technical Evangelism Microsoft Deutschland GmbH Erfolgreiches Patch Management © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

3/28/2017 6:51 PM Notes (hidden) In dieser Session werden die grundlegenden Aspekte der Patchverwaltung in Umgebungen mit Microsoft Windows®-Betriebssystemen vorgestellt und die wichtigsten Tools, Technologien und Verfahren (einschliesslich dem von Microsoft empfohlenen vierphasige Patchverwaltungsprozess), die Microsoft für diese Aufgabe empfiehlt. NEXT: <next slide title> © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Erfolgreiches Patch Management am Beispiel: Windows Server Update Services 3.0 und System Center Essentials

Agenda Patch Management und Patch Testing Herausforderungen des Patch Managements Grundlagen des Patch Managements Patch Testing im Rahmen des Patch Managements Patch Testing Tools und Resourcen Microsoft Application Compatibility Toolkit (ACT) Microsoft Virtual Server 2005 R2 und Windows Virtualization Microsoft Windows Update Microsoft Windows Server Update Services 3.0 Microsoft System Center Essentials 2007 Network Access Protection in Microsoft Windows Server 2008

3/28/2017 6:51 PM Since human beings themselves are not fully debugged yet, there will be bugs in your code no matter what you do. -Chris Mason © 2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Bill Gates: Trustworthy computing Öffentliche Quelle: http://www.microsoft.com/about/companyinformation/timeline/timeline/docs/bp_Trustworthy.rtf

Bedeutung des Patch Managements Angriff Datum der bekanntgegebenen Entdeckung MSRC- Schweregrad MSRC- Bulletin Datum des MSRC- Bulletins Tage vor dem Angriff Trojan.Kaht 5. Mai 2003 Kritisch MS03-007 17. 03.2003 49 SQL Slammer 24. Januar 2003 MS02-039 24. 07.2002 184 Klez-E 17. Januar 2002 * MS01-020 29.03.2001 294 Nimda 18. September 2001 MS00-078 17.10.2000 336 Code Red 16. Juli 2001 MS01-033 18.06.2001 28

Positionierung von Patch Management Patch Management ist integraler Bestandteil jeder Security Policy. Patches minimieren das Risikoprofil durch das Beheben von Verwundbarkeiten. Patch Management berührt mehrere Ebenen des Security-in-Depth Modells: Anwendungen (z.B. MS Office) Host (z.B. Windows Vista) Internes Netzwerk (Hardware, Switches, Servers, etc.) Perimeter (Router und Firewalls) Richtlinien, Verfahren & Sicherheitsbewusstsein (Patch Management ist ein Prozess) Richtlinien, Verfahren & Sicherheitsbewusstsein Daten Patch Management Anwendung Host Internes Netzwerk Perimeter Physische Absicherung Security Defense-in-Depth

Patch Management Herausforderungen Fehlen aktueller und korrekter Inventurdaten Fehlen eines etablierten Prozesses BEURTEILEN Erhalten zeitnaher Informationen über Patches Verstehen der Auswirkungen eines Patches BESTIMMEN Fehlen von Zeit und Ressourcen für Patch-Testing Begründung der Kosten für Patch Management PRÜFEN & PLANEN Bereitstellen im Verwundbarkeitszeitfenster Bedenken über Patchinkompatibilitäten BEREITSTELLEN

Patch Management Grundlagen Beurteilen Sammeln technischer Informationen über die Ausnutzbarkeit der Sicherheitslücke Sammeln von Abschwächungsfaktoren Einschätzen der Gefahren zur Festlegung von Prioritäten Bestimmen Technical Security Notifications Email: Security Notification Service RSS: Security for IT Professionals Windows Live Alert: Technical Security Update Alerts Windows Update Assess Identify Evaluate Deploy

Patch Managements Grundlagen Prüfen & Planen Methoden zum Testen von Patches Planen der Bereitstellung Überprüfen der Installation Management von Veränderungsprozessen Bereitstellen Zuverlässige Implementierung im Produktionssystem Effiziente Bereitstellung Compliance Reporting Compliance Enforcement Assess Identify Evaluate Deploy

Patch Testing in Testumgebung Baseline- oder “Gold”-Images müssen speziell geschützt und zentral verwaltet werden. Patch Testing erfolgt immer nur gegen Kopien der “Gold”-Images. Jede erfolgreich getestete Änderung, die in das Produktionssystem übernommen wird, wird in das “Gold”-Image überführt. “Gold”-Images der Testumgebung müssen immer aktuell gehalten werden, um den Stand der Produktionsumgebung abbilden zu können.

Virtualisieren der Testumgebung Vorteile durch Virtualisierung Erhöhte Flexibilität Geringere TCO für Testnetz Verringerter Platzbedarf Schnellere Bereitstellungszeiten

Virtualisierungsszenarien im Testnetz Virtuelles Netzwerkdesign Vollständige Isolation jedes Hosts Isoliert mit Netzwerkzugriff (NAT) Isoliertes VLAN mit Domainzugriff Virtuelles Maschinendesign Hosts enthalten eine Reihe virtueller Maschinen gruppiert nach Funktion Hosts enthalten virtuelle Maschinen gruppiert nach Lokation (Remote Office) Gemischtes Design gruppiert nach Funktion, Lokation und Serverlast des Virtual Server Hosts

Windows Server Update Services Microsoft Update WSUS Server Desktop Clients Gruppe 1 Server Clients Gruppe 2 WSUS Administrator Administrator genehmigt die Updates Administrator ordnet die Rechner in unterschiedliche Gruppen ein Administrator “abonniert” die Update Kategorien Server holt die “Updates” von Microsoft Update Rechner registrieren sich beim Server Rechner installieren die vom Administrator genehmigten Updates

WSUS Deploymentszenarien Microsoft Update WSUS Server Downstream WSUS Server

WSUS Deploymentszenarien Microsoft Update WSUS Server WSUS Server Offline Medium

{ Windows Sever Update Services 3.0 } 3/28/2017 6:51 PM { Windows Sever Update Services 3.0 } demo © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

System Center Essentials 2007 Einheitliche Konsole Bestandsaufnahme der Desktops & Server Umfassende Überwachung der IT Dienste Einheitliche Berichterstattung Zentrale Verteilung von Software Automatisierte Updateverwaltung Einfache Installation, Einrichtung & Einführung inkl. Remote Mangement

Zugrundeliegende Architektur WSUS 3.0 OpsMgr 2007

{ System Center Essentials 2007 } 3/28/2017 6:51 PM { System Center Essentials 2007 } demo © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Bestandsaufnahme 60+ Hardware und Softwareeigenschaften werden von den Clients eingesammelt Softwaredaten stammen aus der Registry und zeigen die gleichen Applikationen wie “Add/Remove” aus dem Control Panel Hardwaredaten werden über einen WMI Provider ausgelesen: Harddisk und Speichernutzung, Netzwerk etc. 22 22 22 22

Beispiel der Datenbanküberwachung vom SQL Server Alle Funktionen unterstützt Clustering, Log Shipping, Backup, SQL Server Agent Instanzen, Datenbanken, Jobs, Dateigruppen, Rollen, Replikation 3 Überwachungsarten Verfügbarkeit, Performance, Konfiguration

Es existieren Management Packs für Unmengen von Anwendungen Exchange 2003 / 2007 SQL Server 2000 / 2005 / 2008* Windows Server 2003 / 2008* AD, DHCP, DNS, IIS, DFS, RRAS… Sharepoint & MOSS Server Hardware von HP, IBM, Dell, Intel… Netzwerk-Geräte Microsoft Dynamics… Vorgabe für alle Microsoft Serverprodukte *mit und nach Produktverfügbarkeit

Beispiel: freier Datenbankplatz

Beispiel: Exchange Berichte 3/28/2017 6:51 PM Beispiel: Exchange Berichte “Health-Model” erlaubt Reporting vom Exchange Service bis hinunter zu einzelnen Komponenten Konfigurationsüberwachung erlaubt Änderungsberichte über die Zeitachse zum Vergleichen © 2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

SCE: Update Funktionen Automatische Konfiguration der GPOs Unterstützt Microsoft, 3rd Party & Custom Updates “Update now” Funktionalität Überwachung des Update Status Täglicher Übersichtsbericht

System Center Essentials fokussiert sich auf die Benutzerproduktivität 3/28/2017 6:51 PM System Center Essentials fokussiert sich auf die Benutzerproduktivität Unterstützte Versionen Windows 2000 Professional, Windows XP und Windows Vista; Office XP, 2003, 2007, Zusatz-Meldungen für Outlook über Exchange Berichte über Ihre Gesamtumgebung Stürzen meine Applikationen ab? Brauchen meine Anwendungen zu viel Systemressourcen? Wie sind die Antwortzeiten? Anwendungsspezifische Aussagen Können meine Outlook Anwender Emails empfangen / senden? Kann der IE auf Webseiten zugreifen? Können Windows Desktops auf Datenbanken zugreifen? Kann man auf File-Shares / Sharepoint zugreifen? © 2006 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Comprehensive Office Monitoring 3/28/2017 6:51 PM Comprehensive Office Monitoring © 2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Endbenutzerunterstützung 3/28/2017 6:51 PM Endbenutzerunterstützung Detaillierte PC Übersicht für die Helpdesk-Mitarbeiter inkl. Update-Now Schneller Zugriff auf typische Trouble-Shooting Tasks: Ping, IPConfig, Auflisten der Prozesse etc. Remote-Zugriff Unterstützung direkt aus SCE Konsole (Windows XP / Windows Vista) © 2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Was ist mit Benutzer verwalten, PCs aufsetzen? Benutzerverwaltung ist Bestandteil der Plattform: Active Directory & GPOs Neue Funktionen mit Group Preferences! Windows PowerShell hilft beim Automatisieren Lernen Sie mehr in meinen Gratisworkshops! PCs aufsetzen ist Bestandteil der Plattform: Windows Deployment Services Kostenlos PC Images erstellen und verteilen Multicast-Support im Windows Server 2008 Microsoft Deployment beschreibt alles im Detail

Integration in Ihre bestehende IT 1 Windows Server 2003 SP1 oder höher SQL Server 2005 SP1 als zentrale Datenbank Express Edition liegt bei Das Produkt unterstützt bis zu 500 Desktops Windows 2000 SP4, XP SP2 & Vista (32 / 64bit) 30 Server Windows 2000 SP4, Windows 2003 SP1 & R2 beliebig viele SNMP Netzwerkkomponenten OSI Schicht 3 und niedriger

Tipps zur Installation von SCE 2007 Vor einer Neuinstallation erst den Rollup-Fix von Microsoft Downloads einspielen Slip-Stream Installation, erzeugt neues Medium SCE basiert auf WSUS 3.0 und OpsMgr 2007 WSUS 3.0 SP1 wird nicht unterstützt! OpsMgr 2007 SP1 wird nicht unterstützt Warten Sie auf das SCE 2007 SP1, welches WSUS 3.0SP1 und OpsMgr 2007 SP1 beinhaltet

Schrittweise Einführung Normerweise haben Mittelstandkunden bereits (Teil-) Lösungen im Einsatz Eine denkbare Einführung kann so aussehen: Beginn der Server- und Netzwerküberwachung zur schnellen Problemerkennung und –lösung Umstellen auf zentrale Updateverteilung Inventarisierung aller Desktop Systeme Umstellen des Helpdesks Einführung der Softwareverteilung

System Center Essentials (SCE) Intel hat SCE lizenziert und liefert es mit seinen Serverprodukten aus Bestandteil ist eine Einzelserverüberwachung Intel bietet Upgradekey auf bis zu 15 Server Intel bietet Upgradekey auf SCE 2007 Intel® System Management Software

Network Access Protection Policy Server z.B. Patch, AV 3 DHCP, VPN, Switch/Router 1 2 MSFT NPS Nicht richtlinien-konform Einge- schränktes Netzwerk 4 Fix-Up- Server z.B. Patch Windows- Client Richtlinien-konform Client bittet um Zugang zum Netzwerk und präsentiert seinen gegenwärtigen „Gesundheitszustand“. 1 5 Unternehmensnetz 2 DHCP, VPN oder Switch/Router leitet Gesundheitszustand an Microsoft Network Policy-Server (RADIUS-basierend) weiter. 3 Network Policy Server (NPS) validiert diesen mit der von der Unternehmens-IT definierten „Gesundheitsrichtlinie“. 4 Falls nicht richtlinien-konform, wird Client in ein eingeschränktes VLAN umgeleitet und erhält Zugriff auf Ressourcen wie Patches, Konfigurationen und Signaturen. 5 Bei Richtlinien-Konformität wird vollständiger Zugang zum Unternehmensnetz gewährt. INF210

Patch Testing Tools und Ressourcen Windows Live OneCare Safety Scanner http://onecare.live.com/site/de-de/default.htm Windows Update http://www.windowsupdate.com Microsoft Baseline Security Analyzer (MBSA) http://www.microsoft.com/technet/security/tools/mbsahome.mspx Microsoft Application Compatibility Toolkit (ACT) http://technet.microsoft.com/de-de/windowsvista/aa905102 Network Access Protection (Windows Server 2008) http://www.microsoft.com/nap Windows Server Update Services (WSUS) 3.0 http://technet.microsoft.com/en-us/wsus/default.aspx System Center Configuration Manager 2007 http://www.microsoft.com/smserver/default.mspx Virtual Server 2005 R2 und Windows Virtualization http://www.microsoft.com/windowsserversystem/virtualserver

Weiterführende Informationen Information zu Patch Management: http://www.microsoft.com/technet/security/topics/Patch Management.mspx Der Patchverwaltungsprozess – Einführung http://www.microsoft.com/germany/technet/datenbank/articles/900193.mspx Implementieren der Patchverwaltung http://www.microsoft.com/germany/msdn/library/security/ErhoehenDerSicherheitVonWebanwendungen/secmod108.mspx?mfr=true

3/28/2017 6:51 PM © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION. © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.