Patch-Management: 
Definition und Best Practices

Dieses Video zeigt die Grundlagen bei der Anwendung von Patches, einschließlich Informationen darüber, was ein Patch ist und warum es so wichtig ist. Sie erfahren auch, aus welchen Quellen Patches häufig stammen – Anbieter von Betriebssystemen, Anwendungen und Netzwerkgeräten – und wie Patch-Management-Tools wie BigFix und Microsoft SCCM bei der Behebung von Schwachstellen helfen können. Weitere Details zum Patch-Management, zu seinen Vorteilen und bewährten Praktiken finden Sie weiter unten.

Warum brauchen wir Patch-Management?

Patch-Management ist aus folgenden Gründen wichtig:

• Sicherheit: Patch-Management behebt Schwachstellen in Ihrer Software und Ihren Anwendungen, die anfällig für Cyber-Angriffe sind, und hilft Ihrem Unternehmen, sein Sicherheitsrisiko zu reduzieren.
  
• Systemverfügbarkeit: Patch-Management sorgt dafür, dass Ihre Software und Anwendungen immer aktuell sind und reibungslos laufen, was zu einer besseren Systemverfügbarkeit führt.
  
• Compliance: Bedingt durch die ständig steigende Zahl von Cyber-Angriffen sind Unternehmen häufig gesetzlich verpflichtet, bestimmte Vorschriften einzuhalten. Patch-Management ist ein notwendiges Element bei der Einhaltung von Compliance-Standards.
  
• Funktionsverbesserungen: Patch-Management kann mehr sein als nur Bug-Fixes für Software, oftmals beinhalten sie auch Funktionsverbesserungen. Patches können entscheidend sein, um sicherzustellen, dass Sie das Neueste und Beste haben, was ein Produkt zu bieten hat.
  

So profitiert Ihr Unternehmen von einem effizienten Patch-Management-Programm

Ein Patch-Management kann für Ihr Unternehmen viele Vorteile haben:

• Eine sicherere Umgebung: Wenn Sie regelmäßig Schwachstellen beheben, trägt das Patch-Management dazu bei, die in Ihrer Umgebung bestehenden Risiken zu managen und zu reduzieren. Das trägt zum Schutz Ihres Unternehmens gegen potenzielle Sicherheitsverstöße bei.
  
• Zufriedene Kunden: Wenn Ihr Unternehmen Produkte oder eine Dienstleistung verkauft, bei denen Kunden Ihre Technik verwenden müssen, wissen Sie, wie wichtig es ist, dass diese Technik auch tatsächlich funktioniert. Patch-Management ist der Prozess zur Behebung von Software-Bugs, was dazu beiträgt, Ihre Systeme auf dem neuesten Stand und betriebsbereit zu halten.
  
• Keine unnötigen Geldstrafen: Wenn Ihr Unternehmen keine Patches durchführt und daher die Compliance-Standards nicht erfüllt, kann es unter Umständen passieren, dass Sie eine Geldstrafe auferlegt bekommen. Erfolgreiches Patch-Management sorgt dafür, dass Sie alle Vorschriften einhalten.
  
• Kontinuierliche Produktinnovation: Sie können Patches durchführen, damit Ihre Technik immer mit den neuesten Funktionen ausgestattet ist. Dies bietet Ihrem Unternehmen unter Umständen die Möglichkeit, Ihre jüngsten Innovationen in großem Umfang in Ihrer Software umzusetzen.

Der Patch-Management-Prozess

Es wäre keine gute Strategie, neue Patches in dem Moment, in dem sie veröffentlicht werden, bei allen Assets in Ihrem Unternehmen zu installieren, ohne die Auswirkungen zu berücksichtigen. Stattdessen sollte diese Aufgabe strategisch angegangen werden. Patch-Management sollte in einem detaillierten Unternehmensprozess umgesetzt werden, der sowohl kostengünstig als auch auf Sicherheit fokusiert ist.

Die wichtigsten Schritte beim Patch-Management-Prozess sind:

1. Führung eines aktuellen Bestandsverzeichnisses für all Ihre Produktionssysteme: Egal, ob dies monatlich oder vierteljährlich erfolgt, nur so können Sie wirklich überwachen, welche Assets in Ihrem Ökosystem vorhanden sind: Durch eine sorgfältige Bestandsverwaltung haben Sie einen fundierten Überblick über Betriebssysteme, Versionstypen und bestehende IP-Adressen sowie deren Standorte und Verantwortliche innerhalb des Unternehmens. Allgemein gilt: Je häufiger Sie Ihr Bestandsverzeichnis pflegen, desto besser informiert sind Sie.
   
2. Entwerfen Sie einen Plan zur Standardisierung von Systemen und Betriebssystemen auf einen Versionstypen: Obwohl dies schwierig umzusetzen ist, sorgt die Standardisierung Ihres Bestands dafür, dass Patches schneller und effizienter eingespielt werden können. Es bietet sich auch an, die Anzahl Ihrer Assets auf eine übersichtliche Anzahl zu beschränken, damit der Beseitigungsprozess schneller geht, wenn neue Patches veröffentlicht werden. Dies hilft Ihnen und Ihren technischen Teams, bei der Beseitigung von Schwachstellen Zeit zu sparen.
   
3. Erstellen Sie eine Liste aller Sicherheitsmaßnahmen in Ihrem Unternehmen: Behalten Sie Ihre Firewalls, Ihre Antiviren-Programme und Ihre Schwachstellenmanagement-Tools im Auge. Es ist wichtig, dass Sie wissen, wo sich diese befinden, was sie schützen und welche Assets mit ihnen verbunden sind.
   
4. Vergleichen Sie gemeldete Schwachstellen mit Ihrem Bestand: Wenn Sie Ihr Schwachstellenmanagement-Tool nutzen können, um zu bewerten, welche Schwachstellen für die Assets in Ihrem Ökosystem bestehen, hilft Ihnen das dabei, Ihr Sicherheitsrisiko als Unternehmen zu verstehen.
   
5. Einstufung des Risikos: Durch Schwachstellenmanagement-Tools behalten Sie ganz einfach den Überblick darüber, welche Assets für Ihr Unternehmen kritisch sind und können dadurch festlegen, in welcher Reihenfolge Schwachstellen behoben werden müssen.
   
6. TEST! Wenden Sie die Patches auf eine repräsentative Auswahl von Assets in Ihrer Laborumgebung an. Führen Sie Stresstests an den Geräten durch, um sicherzustellen, dass die Patches keine Probleme in Ihrer Produktionsumgebung verursachen.
   
7. Wenden Sie die Patches an: Sobald Sie festgelegt haben, was zuerst beseitigt werden muss, können Sie mit dem Patchen beginnen, um das Risiko in Ihrer Umgebung tatsächlich zu reduzieren. Fortschrittlichere Schwachstellenmanagement-Tools bieten auch die Möglichkeit, zeitaufwändige Teile des Patch-Prozesses zu automatisieren. Überlegen Sie, ob Sie die Patches auf ganzen Chargen von Assets ausrollen wollen; selbst wenn Sie bereits Tests in Ihrer Laborumgebung durchgeführt haben, kann es in der Produktion noch zu unerwarteten Ergebnissen kommen. Testen Sie das in kleinem Umfang, bevor Sie sich dafür entscheiden, um zu prüfen, ob es keine größeren Probleme gibt.
   
8. Verfolgen Sie Ihren Fortschritt: Überprüfen Sie Ihre Assets hinterher erneut, um sicherzustellen, dass das Patchen erfolgreich war.

Bewährte Praktiken des Patch-Managements

Diese bewährten Praktiken sollten Sie beim Patch-Management nicht außer Acht lassen:

• Legen Sie klare Erwartungen fest und fordern Sie Rechenschaft von den Teams: Der Einsatz von Vereinbarungen, wie z. B. Service-Level-Agreements, können für Teams ein Ansporn sein und sicherstellen, dass die Aufgabe, nämlich Risiken zu reduzieren, auch tatsächlich umgesetzt wird.
  
• Arbeiten Sie eng mit technischen Teams zusammen, um sicherzustellen, dass alle die gleiche Sprache sprechen: Sicherheitsteams bezeichnen Software-Fehler häufig als „Risiko“, während IT/DevOps-Teams vielleicht den Begriff „Patch” verwenden. Der Schlüssel zu einem erfolgreichen Patch-Management-Prozess liegt darin, sicherzustellen, dass alle Beteiligten auf dem gleichen Stand sind und die Bedeutung von Patches verstehen.
  
• Erstellen Sie einen Notfallplan: Für den Fall, dass Ihr Patch-Management-Prozess nicht funktioniert und Probleme verursacht, ist es immer eine gute Idee, einen Plan B zu haben.

Einbetten von Patch-Management in Ihr Schwachstellenmanagement

Patch-Management ist ein wichtiger Bestandteil eines jeden Schwachstellenmanagement-Programms. Ein konsequenter Ansatz für das Patch-Management bedeutet jedoch nicht, allem, was nicht bei drei auf dem Baum ist, einen Patch zu verpassen. Wird eine Schwachstelle erkannt, haben Sie im Wesentlichen drei Optionen:

1. Sofern vorhanden, einen Patch für die Schwachstelle installieren, um das Problem zu beheben.
   
2. Kompensierende Kontrollmaßnahmen einführen, so dass die Schwachstelle begrenzt, jedoch nicht vollständig gepatcht wird. Dieses Vorgehen ist üblich, wenn noch kein angemessener Fix oder Patch zur Verfügung steht und kann verwendet werden, um Zeit bis zur endgültigen Beseitigung zu gewinnen.
   
3. Das Risiko, das von dieser Schwachstelle ausgeht, akzeptieren und gar nichts tun.
   

Jedes Unternehmen muss selbst entscheiden, welche Option am besten zu seiner spezifischen Situation passt, jedoch ist das Patchen die ideale Behandlung, die es anzustreben gilt.

Die Begriffe „Patch-Management“ und „Schwachstellenmanagement“ werden manchmal synonym verwendet, es ist jedoch wichtig, den Unterschied zu kennen. Obwohl beide Strategien darauf abzielen, Risiken zu mindern, hat das Patch-Management (der Prozess, mit dem Software-Updates verwaltet werden) auch seine Grenzen. Um Ihre Umgebung besser zu verstehen und fundierte, wirksame Entscheidungen treffen zu können, müssen Sie mithilfe des Schwachstellenmanagements zu einem ganzheitlicheren Ansatz wechseln. Schwachstellenmanagement ist der Prozess, mit dessen Hilfe Sicherheitsschwachstellen in Systemen und in der auf ihnen laufenden Software erkannt, priorisiert, beseitigt und gemeldet werden.

Patch-Management ist ein wichtiger Bestandteil des Schwachstellenmanagements, es ist jedoch nur ein Teil des Puzzles. Um Patch-Management erfolgreich in Ihr Schwachstellenmanagement-Programm einzubinden, sollten die folgenden Schritte umgesetzt werden:

1. Richten Sie ein Asset-Management ein. Ihre Fähigkeit, Risiken zu reduzieren, ist nur so gut wie die Einblicke, die Sie in Ihre Umgebung haben. Eine Asset-Management-Lösung hilft Ihnen, umfassendes Wissen über Ihre Assets und die mit jedem Asset verbundenen Schwachstellen zu erlangen. Mit diesem Wissen sind Sie gerüstet, um Schwachstellen zu priorisieren, Probleme zu beseitigen und effektiv mit allen beteiligten Akteuren zu kommunizieren.
2. Priorisieren Sie Schwachstellen. Angesichts begrenzter Zeit und Ressourcen und einer sich ständig verändernden Bedrohungslandschaft ist es unrealistisch zu glauben, dass Sie jede Schwachstelle beheben können, sobald sie auftritt. Daher ist Priorisierung eines der wichtigsten Aspekte des Schwachstellenmanagements.
3. Schwachstellen beseitigen, um das Risiko zu reduzieren. Die Identifizierung und Priorisierung von Schwachstellen ist wichtig, aber Sie reduzieren das Risiko so lange nicht, wie Sie nicht die Probleme beseitigen.
4. Messen Sie den Erfolg Ihres Schwachstellenmanagement-Programms. Unabhängig davon, wie viele extravagante Funktionen eine Schwachstellenmanagement-Lösung hat: Sie ist die Investition nur dann wert, wenn sie die speziellen Anforderungen Ihres Unternehmens erfüllt und einen Mehrwert für Sie und Ihr Team bietet. Um zu ermitteln, ob Sie eine gute Kapitalrendite erzielen – und die Kosten gegenüber der Geschäftsleitung zu vertreten–, müssen Sie feststellen, wie Sie den Erfolg messen.
5. Entwickeln Sie Partnerschaften und holen Sie sich Unterstützung. Wenn etwas schiefgeht, möchten Sie sicher sein, dass Sie ein verlässliches Team von Leuten haben, das Ihnen bei der Fehlerbehebung hilft.

Bezugssystem für das Schwachstellenmanagement-Programm