Für IT-Administratoren und Managed Service Provider (MSP) ist es wichtig, mit den heutigen Cybersicherheitsbedrohungen Schritt zu halten. Da die Anzahl der von Unternehmen genutzten Anwendungen jedes Jahr um 30 Prozent steigt, ist ein solider Patch-Management-Plan einer der Eckpfeiler einer guten Cybersicherheitsstrategie.
Atera, ein Unternehmen im Bereich Remote Monitoring & Management (RMM) und Professional Services Automation (PSA), erläutert wie dies gelingen kann und worauf es beim Patch-Management ankommt.
Beim Patch-Management werden kleine Änderungen am Code verschiedener Programme oder Software-Anwendungen vorgenommen, um bekannte Schwachstellen und Fehler zu beheben, die Benutzer einem Risiko aussetzen. MSPs sollten wissen, welche Software-Updates oder Patches verfügbar sind, und über einen Prozess verfügen, um diese Patches herunterzuladen, sie für die entsprechenden Clients und die spezifischen Maschinen bereitzustellen und zu überprüfen, ob sie korrekt installiert und aktualisiert wurden. Bestimmte Patches sind zum Beispiel mit einigen Betriebssystemen oder Anwendungen nicht kompatibel und erfordern daher einen eigenen Prozess oder eine Diskussion mit dem betreffenden Kunden.
Die Wahrheit ist: Patch-Management wird immer schwieriger
Das Ausmaß dieses Problems wird immer größer. Heutzutage nutzen Unternehmen nicht nur mehr Anwendungen als je zuvor, sondern die Unternehmenslandschaft wird auch immer komplizierter. In der Vergangenheit haben Unternehmen vielleicht alle von einem einzigen Büro aus gearbeitet, alle mit dem gleichen Typ von Geräten. Dies ist heute nicht mehr der Fall, da BYOD (Bring Your Own Device), Arbeit von zu Hause aus und Choice- oder Remote-First-Richtlinien auf dem Vormarsch sind und es sogar eine entspanntere Herangehensweise gibt, um Mitarbeitern die Vorliebe für ihre Geräte und Software zu ermöglichen.
Auf der anderen Seite der Angriffsfläche werden die Angreifer immer schlauer, automatisieren Elemente ihrer Angriffe und schaffen es, sich länger unter dem Radar zu verstecken. Unternehmen müssen auf neueste Informationen reagieren und die Verteidigung schneller verstärken, als der Angreifer selbst auf die gleichen Informationen reagieren kann. Schließlich haben die Bösewichte Zugriff auf die gleiche Liste von Schwachstellen wie MSPs. Letztere müssen blitzschnell alle Lücken schließen, Patches einspielen und möglichst zwei Schritte voraus sein. Allein im Jahr 2019 wurden 12.000 CVEs veröffentlicht, so dass es kein Wunder ist, dass laut Ponemon der durchschnittliche Zeitrahmen für das Patchen 102 Tage beträgt.
Was befindet sich unter dem Dach des Kunden? Zeit für die Netzwerkerkundung
Der erste Schritt muss eine genaue Bestandsaufnahme von allem sein, was jeder Kunde verwendet, einschließlich Software, Hardware und aller Geräte, die mit dem Netzwerk verbunden sind. Es reicht nicht aus, die Kunden einfach zu fragen, was sie verwenden, denn oft fällt ihnen nicht alles ein, oder sie wissen nicht einmal, dass bestimmte Maschinen mit dem Netzwerk verbunden sind. Das sind genau die Probleme, die zu einem Sicherheitsverstoß führen, daher ist es umso wichtiger, dass sie Teil eines Patch-Management-Plans sind.
Automatisierung ist hier nach Meinung von Atera wichtig. Einige MSPs führen diese Art von Scan nur durch, wenn sie sich zum ersten Mal bei einem neuen Kunden anmelden, aber das ist nicht genug. Idealerweise müssen MSPs regelmäßige oder sogar kontinuierliche Scans durchführen, um auf dem neuesten Stand zu bleiben. Eine robuste Network Discovery-Lösung kann dies wesentlich erleichtern, indem sie neue angeschlossene Systeme und Tools sofort zu einer umfassenden Liste für jeden Kunden hinzufügt.
Intelligente Priorisierung für dringende Patches
Nicht alle Patches sind gleichwertig, und die Behebung bestimmter Probleme könnte zu Betriebsunterbrechungen führen, daher ist es wichtig, dass MSPs ihren Prozess durchdenken, bevor sie ihn einführen. Ein Ampelsystem ist ein Beispiel für einen Prozess, der dabei helfen kann, den Schweregrad einer Sicherheitslücke zu bestimmen und einen intelligenten Patch-Management-Plan zu erstellen. Wenn eine Anwendung beispielsweise sensible Kundendaten enthält, könnten sie diese rot markieren, weil ein dringendes und sofortiges Patching erforderlich ist.
Auf der anderen Seite gibt es vielleicht gelbe oder grüne Elemente, die eine Woche oder länger warten können, bevor sie zusammen mit anderen geplanten Wartungsarbeiten gepatcht werden. MSPs können diesen farbcodierten Prozess innerhalb ihrer SLA etablieren, so dass Kunden wählen können, welche Risiken als „rot“ eingestuft werden sollen und wissen, dass wichtige Patches sofort durchgeführt werden.
Regelmäßige Beratung bei Architektur- und Umgebungsänderungen
Der beste Weg, die Kunden vor einem Cyberangriff zu schützen, ist, regelmäßig offen mit ihnen über ihre Sicherheitslage zu sprechen. Haben sie riskante Zugriffsberechtigungen, doppelte Softwarelösungen oder eine zu komplexe Anwendung oder IT-Topologie? Wenn sich die bestehende Architektur vereinfachen lässt, bedeutet das, dass weniger gepatcht werden muss und weniger Änderungen an Schwachstellen auftreten.
Dies gilt insbesondere für Software und Produkte von Drittanbietern, die von Jahr zu Jahr mehr Verbreitung finden und möglicherweise von Mitarbeitern ohne Aufsicht der Geschäftsführung installiert werden. Kunden sollten einen offenen, risikofreien Prozess für die Zulassung der lokalen Installation neuer Software einrichten, um sicherzustellen, dass sie alle Drittanbieter, die sie auf dem Radar haben sollten, kennen.
Individuelle Kundenprofile einrichten
Wie bereits erwähnt, funktionieren nicht alle Patches auf allen Rechnern gleichermaßen. Es ist leicht nachvollziehbar, wie diese durch die Lücken fallen oder verschoben werden können, bis jemand mehr Zeit hat, sich manuell um einen Kunden oder eine Instanz zu kümmern, die nicht der Norm entspricht. Das ist genau die Art und Weise, wie Cyberangriffe entstehen, und MSPs müssen für diese Situationen im Voraus einen Prozess einrichten. Atera verwendet IT-Automatisierungsprofile, die es ermöglichen, Aufgaben für bestimmte Server oder Workstations detailliert zu planen, wie z. B. die Installation von Java-Updates, Betriebssystem-Updates oder Office-Updates, und für andere nicht.
Robuste Berichtsfunktionen zeigen die Erfolgsrate der Automatisierungsprofile an, welche Patches es nicht bis zum Abschluss geschafft haben, und schlüsseln die Informationen nach bestimmten Kunden, Anwendungen, Patch-Typen und mehr auf. So können MSPs nach unerwarteten Problemen suchen und die Automatisierung so einrichten, dass beim nächsten Mal keine Verzögerungen beim Patchen auftreten.
Automatisieren, automatisieren, automatisieren
Automatisierung ist der klügste Weg, um ein erfolgreicher MSP zu sein, meint Atera. Denn je mehr sie von der Liste der manuellen Aufgaben streichen können, desto profitabler können MSPs ihr Geschäft gestalten. Atera ist immer auf der Suche nach weiteren Möglichkeiten zur Integration von intelligenter Automatisierung. Aktuelle Beispiele sind die Chocolatey- und Homebrew-Integrationen für Windows bzw. Mac, die das Software-Patch-Management übernehmen und auch in IT-Automatisierungsprofile eingebunden werden können.
Diese Integration ermöglicht es MSPs, eine breite Palette von Software mit einem einzigen Klick zu aktualisieren oder dieses automatische Patch-Management als Teil eines IT-Automatisierungsprofils einzurichten. Für Chocolatey umfasst dies Chrome, Adobe, Teams, Zoom, Dropbox, Firefox, Java und mehr. Für HomeBrew sind viele der gleichen Software enthalten, sowie Skype, Dashlane, Evernote, VLC Media Player und mehr.
Für MSPs ist das Patch-Management ein wesentlicher Bestandteil des Toolkits. Die Kunden verlassen sich darauf, dass der MSP den Überblick über Patches behält, Schwachstellen schnell behebt und ihnen die operative Verantwortung abnimmt, damit sie sich auf ihre Kernkompetenzen konzentrieren können.
www.atera.com/de
