Установка патчей в небольшой среде

В крупных корпоративных IT-отделах установка системных патчей — это сложный процесс, включающий большое количество тестовых систем, зеркально отражающих производственные, чтобы каждый новый патч от производителей операционных систем и программного обеспечения можно было протестировать в реальной среде с учётом взаимодействия аппаратных и программных конфигураций, используемых в организации. В идеальном мире каждый отдел имел бы управляемый процесс установки патчей, который немедленно реагировал бы на вновь опубликованные патчи, мгновенно тестировал их и применял сразу же, как только патч признавался безопасным и применимым. Но мир не идеален, и в реальной жизни приходится обходиться ограниченными ресурсами: физическими, временными и финансовыми.

Патчи, как правило, выпускаются по нескольким ключевым причинам: безопасность, стабильность, производительность и, иногда, для добавления новых функций. За исключением добавления новых функций, которое обычно обрабатывается через другой процесс выпуска, патчи представляют собой исправление известной проблемы. Это не ситуация «работает — не трогай», а ситуация «сломано, но ещё не полностью отказало», которая требует внимания – чем скорее, тем лучше. Подход «подождать и посмотреть» к патчам неразумен, поскольку существование нового патча означает, что злоумышленники имеют «исправление» для анализа, и даже если эксплойт ранее не существовал, он появится очень скоро. Выпуск самого патча может стать триггером для немедленной необходимости в нём.

Эта экосистема патчей формирует потребность в менталитете «патч быстро». Патчи никогда не должны залёживаться — их нужно применять как можно быстрее после выпуска и тестирования. Ожидание с установкой патчей может означать работу с критическими уязвимостями безопасности или поддержание систем в излишне ненадёжном состоянии.

Небольшие IT-отделы редко, если вообще когда-либо, имеют тестовые среды — ни для серверов, ни для сетевого оборудования, ни даже для рабочих станций. Это не идеально, но реалистично: даже если бы эти среды были доступны, у немногих небольших отделов есть достаточные человеческие IT-ресурсы для своевременного проведения этих тестов.

Это не так мрачно, как кажется. Тестирование, выполняемое для большинства патчей, избыточно по отношению к тестированию, уже проведённому поставщиком. Поставщики не могут протестировать все возможные взаимодействия аппаратного и программного обеспечения со своими продуктами, но они, как правило, тестируют широкий спектр комбинаций и изучают области, где взаимодействия наиболее вероятны. Редкий крупный поставщик выводит из строя собственное программное обеспечение плохими патчами. Да, такое случается, и наличие хороших резервных копий и планов отката важно, но в повседневной работе установка патчей — это относительно безопасный процесс, выполнение которого своевременно гораздо важнее, чем ожидание возможностей, которые могут появиться или не появиться.

Как и любое изменение системы, патчи лучше всего применять часто и небольшими порциями. Если патчи применяются своевременно, то обычно в одно и то же время нужно применить только один или несколько патчей. Для операционных систем вам всё равно может потребоваться применять несколько патчей одновременно, особенно при установке патчей только еженедельно, но редко приходится устанавливать десятки или сотни файлов одновременно при таком подходе. При таком методе значительно проще оценить патчи на предмет нежелательных последствий и откатить изменения, если процесс установки патча прошёл неудачно.

Наихудший сценарий для малого бизнеса, не имеющего надлежащего рабочего процесса тестирования патчей, — это откладывание установки патчей. Ожидание означает, что системы долгое время не получают необходимого обслуживания, а когда патчи наконец применяются, это часто происходит в виде крупных, объёмных процессов. Применение многих патчей одновременно увеличивает вероятность того, что что-то пойдёт не так, и когда это происходит, определить, какой именно патч виноват, и найти путь к устранению проблемы может быть значительно сложнее.

Отложенная установка патчей — это процесс, который даёт мало преимуществ или вовсе их не даёт ни IT-отделу, ни бизнесу, но несёт существенный риск для безопасности, стабильности и производительности. Лучшие практики для установки патчей в небольшой среде — либо разрешить системам самостоятельно устанавливать патчи как можно быстрее, либо запланировать регулярный процесс установки патчей, возможно еженедельный, в то время, когда бизнес наиболее готов к возможному сбою при установке патча и к устранению последствий. Независимо от того, предпочитаете ли вы автоматическую или просто регулярную установку патчей через ручной процесс, устанавливайте патчи часто и своевременно для достижения наилучших результатов.