Wenn ein Anbieter einen Patch veröffentlicht, können Angreifer Hinweise auf die damit behobene Sicherheitslücke erhalten. In dieser Lücke zwischen der Veröffentlichung eines Patches und der verifizierten Installation auf Ihren Endgeräten häufen sich Risiken an.
In diesem Leitfaden erfahren Sie, wie Patches technisch funktionieren, welche verschiedenen Arten von Patches es gibt und warum die Überprüfung ebenso wichtig ist wie die Bereitstellung.
Was ein Software-Patch tatsächlich bewirkt
Ein Software-Patch ist ein kleiner Codeabschnitt, der ein bestehendes Programm oder Betriebssystem modifiziert. Patches beheben Fehler, schließen Sicherheitslücken oder verbessern die Leistung. Im Gegensatz zu einem vollständigen Software-Update oder der Veröffentlichung einer neuen Version behebt ein Patch bestimmte Probleme, ohne die gesamte Anwendung zu ersetzen.
Wenn ein Anbieter einen Fehler entdeckt – sei es ein Programmierfehler, der Abstürze verursacht, oder eine der vielen bekannten Sicherheitslücken, die Angreifer ausnutzen könnten –, entwickelt er einen Patch, um diesen Fehler zu beheben. Der Patch überschreibt oder ändert bestimmte Dateien, Registrierungseinträge oder Konfigurationseinstellungen auf dem Zielsystem. Stellen Sie sich das so vor, als würden Sie ein einzelnes defektes Bauteil in einer Maschine austauschen, anstatt den gesamten Motor auszutauschen.
Patches werden über die Websites der Anbieter, automatische Update-Dienste wie Windows Update, App-Stores oder Patch-Management-Tools für Unternehmen bereitgestellt. Nach der Installation verändert der Patch das Verhalten der Software, indem er den zugrunde liegenden Code, der das Problem verursacht hat, anpasst.
Folgendes unterscheidet Patches von anderen Arten von Updates:
- Geltungsbereich: Patches beheben spezifische, eng gefasste Probleme, anstatt umfassende Änderungen an der Funktionalität vorzunehmen
- Größe: Sie sind in der Regel klein, oft nur wenige Megabyte groß
- Dringlichkeit: Insbesondere Sicherheitspatches sind zeitkritisch, da sie Sicherheitslücken schließen, die Angreifern möglicherweise bereits bekannt sind
Sobald ein Anbieter einen Patch veröffentlicht, beginnt das Sicherheitsrisiko für Unternehmen, die diesen noch nicht installiert haben. Hacker und andere Angreifer, darunter auch organisierte Cyberkriminelle, verfolgen häufig die Veröffentlichung von Patches, da diese wichtige Hinweise darauf liefern können, wo eine Sicherheitslücke besteht. Aus diesem Grund ist der Zeitraum zwischen der Verfügbarkeit eines Patches und der bestätigten Installation von so großer Bedeutung.
Nachdem wir nun die Grundlagen geklärt haben, lautet die nächste Frage: Welche Arten von Patches gibt es, und wie unterscheiden sie sich voneinander?
Eine präzise Klassifizierung der Arten von Software-Patches
Nicht alle Software-Patches weisen denselben Dringlichkeitsgrad oder dasselbe Risikoprofil auf. Wenn Sie die Unterschiede kennen, können Sie die Bereitstellung nach den tatsächlichen Auswirkungen und nicht nach der Reihenfolge des Eintreffens planen.
| Patch-Typ | Zweck | Typische Dringlichkeit | Komplexität des Rollbacks |
|---|---|---|---|
| Sicherheitspatch | Behebt eine bestimmte Sicherheitslücke | Hoch bis kritisch | In der Regel unkompliziert |
| Hotfix | Behebt einen dringenden Fehler außerhalb der regulären Release-Zyklen | Hoch | Je nach Umfang unterschiedlich |
| Fehlerbehebung | Behebt Funktionsfehler, die die Leistung beeinträchtigen | Mittel | In der Regel unkompliziert |
| Kumulatives Update | Fasst mehrere Patches zu einem einzigen Paket zusammen | Mittel | Komplexer |
| Service Pack | Enthält Patches, Fehlerbehebungen und Funktionserweiterungen | Nach unten | Komplex |
| Funktionsupdate | Fügt neue Features und neue Funktionen hinzu | Nach unten | Unterschiedlich |
Sicherheitspatches – manchmal auch als Sicherheitsupdates bezeichnet – beheben Sicherheitslücken, die unbefugten Zugriff, Datendiebstahl oder die Kompromittierung des Systems ermöglichen könnten. Das Common Vulnerability Scoring System (CVSS) bewertet den Schweregrad auf einer Skala von 0 bis 10. Ein CVSS-Wert von 9,0 oder höher deutet in der Regel auf eine kritische Sicherheitslücke hin, deren Behebung unverzüglich Priorität haben sollte.
Hotfixes sind Patches zur schnellen Fehlerbehebung, die außerhalb des regulären Aktualisierungsplans veröffentlicht werden. Anbieter veröffentlichen Hotfixes, wenn das Warten auf die nächste geplante Version dazu führen würde, dass Systeme aktiven Bedrohungen oder kritischen Fehlern ausgesetzt wären.
Kumulative Updates fassen mehrere Patches in einem Paket zusammen. Die monatlichen „Patch Tuesday“-Veröffentlichungen von Microsoft erfolgen häufig in dieser Form. Kumulative Updates sind zwar praktisch, lassen sich jedoch möglicherweise schwerer rückgängig machen, da sie zahlreiche Änderungen bündeln.
Die praktische Konsequenz: Sicherheitspatches sowie Hotfixes erfordern eine möglichst schnelle Reaktion, da sie aktive Sicherheitslücken schließen. Die kumulativen Updates und sowie die Service Packs fassen mehrere Fehlerbehebungen und Verbesserungen zusammen, was ein sauberes Zurücksetzen erschwert. Testen Sie diese in repräsentativen Anwendungsumgebungen, bevor Sie sie flächendeckend einführen.
Funktionsaktualisierungen , die neue Funktionen einführen, weisen die geringste Dringlichkeit auf, sind jedoch hinsichtlich ihrer Kompatibilität am wenigsten vorhersehbar.
Nachdem nun die verschiedenen Patch-Typen geklärt sind, wollen wir den Weg nachverfolgen, den ein Patch von der Veröffentlichung durch den Anbieter bis zur Installation auf dem Endgerät zurücklegt.
Der Lebenszyklus eines Software-Patches von der Veröffentlichung durch den Anbieter bis zur Installation auf dem Endgerät
Zwischen dem Zeitpunkt, zu dem ein Anbieter einen Software-Patch versendet, und dem Zeitpunkt, zu dem dieser auf Ihren Endgeräten überprüft wird, kann vieles schiefgehen. Jede Phase im Lebenszyklus birgt das Risiko einer Verzögerung, und jede Verzögerung verlängert den Zeitrahmen, in dem Angreifer aktiv werden können.
1. Entdeckung: Der Anbieter identifiziert eine Sicherheitslücke durch interne Tests, Hinweise von Sicherheitsforschern oder Meldungen von Kunden. Aus Sicherheitsgründen erfordert dies häufig eine Abstimmung mit Organisationen wie der CISA oder dem National Institute of Standards and Technology ( , NIST) , bevor die Informationen öffentlich bekannt gegeben werden.
2. Entwicklung: Die Ingenieure entwickeln eine Korrektur, testen diese unter verschiedenen Konfigurationen und bereiten sie für die Verteilung vor. Diese Phase kann je nach Komplexität Tage oder Wochen dauern.
3. Veröffentlichung: Der Anbieter veröffentlicht den Patch über offizielle Kanäle. Bei weit verbreiteter Software kann diese Bekanntgabe Angreifer auf die Existenz der Sicherheitslücke aufmerksam machen.
4. Erkennung: Ihre Organisation erfährt, dass neue Patches verfügbar sind, sowohl für Eigenentwicklungen als auch für Anwendungen von Drittanbietern unter . Dies geschieht über Herstellerhinweise, automatisierte Benachrichtigungen von Patch-Management-Plattformen, den CISA-Katalog „Known Exploited Vulnerabilities“ (KEV), die National Vulnerability Database (NVD) oder automatisierte Scan-Tools.
5. Priorisierung: Sie beurteilen, welche Endpunkte betroffen sind und wie dringend der Patch bereitgestellt werden muss, und zwar auf der Grundlage der Schwere der Sicherheitslücke gemäß , der Kritikalität der Ressourcen sowie des geschäftlichen Kontexts.
6. Testen: Vor der flächendeckenden Bereitstellung testen Sie Patches an einer repräsentativen Stichprobe von Endgeräten, um Kompatibilitätsprobleme oder unerwartetes Verhalten zu erkennen.
7. Bereitstellung: Der Patch wird über Ihre Bereitstellungsinfrastruktur an die vorgesehenen Endgeräte verteilt. Dies könnte schrittweise erfolgen, wobei zunächst weniger kritische Systeme einbezogen werden, bevor die Umstellung auf die Produktionsumgebungen erfolgt.
8. Überprüfung: Sie stellen sicher, dass der Software-Patch erfolgreich auf den betroffenen Endgeräten installiert wurde, und überprüfen, ob der anfällige Anwendungscode oder die Bibliothek tatsächlich ersetzt wurde – und nicht nur, ob der Bereitstellungsbefehl ausgeführt wurde.
In der Lücke zwischen Schritt 3 (Freigabe) und Schritt 8 (Überprüfung) häufen sich Risiken an. Jeder Tag, der verstreicht, an dem Endgeräte unter nicht gepatcht sind , kann das Zeitfenster für Angreifer vergrößern.
Tipp: Ordnen Sie Ihren aktuellen Workflow für den Patching-Prozess unter diesen Phasen zu. Wo treten in der Regel Verzögerungen auf? Genau dort sollten die Verbesserungsmaßnahmen ansetzen.
Das Expositionsfenster und das damit verbundene Risiko
Das Sicherheitslückenfenster ist der Zeitraum zwischen der Veröffentlichung eines Patches durch einen Anbieter und dem Zeitpunkt, zu dem Sie sich vergewissert haben, dass dieser auf allen betroffenen Endgeräten installiert ist. Dies ist kein abstraktes Konzept. Es handelt sich um ein messbares Risiko.
Angreifer warten nicht ab. Wenn ein Patch veröffentlicht wird, enthält er häufig Angaben dazu, welche Sicherheitslücke damit behoben wird. Sowohl Sicherheitsforscher als auch Angreifer können den Patch rückentwickeln, um genau zu verstehen, wie sich ungepatchte Systeme ausnutzen lassen. In vielen Fällen nutzen sie dieses Wissen umgehend aus und setzen Malware ein, die gezielt auf die neu aufgedeckte Schwachstelle abzielt, noch bevor die betroffenen Organisationen Gelegenheit hatten, darauf zu reagieren.
Jeder Tag innerhalb dieses Sicherheitsfensters ist ein Tag, an dem Angreifer die Informationen nutzen können, die Ihr eigener Anbieter ihnen mit der Veröffentlichung des Patches zur Verfügung gestellt hat. Betrachten Sie, was während eines typischen Expositionszeitraums geschieht:
- Tag 0: „ “ – Der Anbieter veröffentlicht einen Patch und einen Sicherheitshinweis
- Tag 1–3: Angreifer beginnen mit der Entwicklung von Exploits auf der Grundlage der Patch-Details
- Tag 7: „ “ – In Untergrundforen könnte bereits Exploit-Code im Umlauf sein
- Tag 14: Es werden automatisierte Angriffstools verfügbar, die den Exploit enthalten
- Tag 30+: Ihr Unternehmen schließt die Bereitstellung endlich ab
Während dieses Zeitraums können nicht gepatchte Endpunkte unter weiterhin anfällig sein. Je länger das Fenster geöffnet bleibt, desto höher ist die Wahrscheinlichkeit eines Sicherheitsverstoßes. Nicht behobene Sicherheitslücken in Anwendungen werden zunehmend zu aktiven Angriffspunkten für Angreifer, wodurch das Risiko von Datenpannen steigt, die regulatorische, finanzielle und rufschädigende Folgen nach sich ziehen.
Beim Belichtungsfenster geht es jedoch nicht nur um die Verschlusszeit. Es geht auch um Vollständigkeit. Wenn Sie 95 Prozent der betroffenen Endgeräte zügig mit Patches versorgen, dabei jedoch 5 Prozent übersehen, bleiben diese übersehenen Systeme auf unbestimmte Zeit ungeschützt.
In einem großen Unternehmen könnten 5 Prozent Tausende von anfälligen Endgeräten bedeuten.
Um das Sicherheitsrisiko zu beseitigen, sind zwei Maßnahmen erforderlich: die rasche Bereitstellung von Software-Patches und die Überprüfung, ob diese tatsächlich auf jedem betroffenen Endgerät installiert wurden. Die meisten Organisationen sind im ersten Teil recht gut. Der zweite Fall ist der, in dem Programme unbemerkt ausfallen.
Warum die Bereitstellung von Software-Patches in großem Maßstab häufig scheitert
Die Bereitstellung eines Software-Patches auf Tausenden von Endgeräten klingt nach einer rein mechanischen Aufgabe. In der Praxis entstehen dort unbemerkt Lücken im Schutz, nehmen Sicherheitslücken Gestalt an und bleiben ungepatchte Anwendungsschwachstellen am längsten bestehen.
Endpunkte sind nicht immer erreichbar. Laptops sind mobil. Mitarbeiter im Homeoffice sind nur zeitweise online. Server in isolierten Netzwerksegmenten erhalten möglicherweise keine Bereitstellungsbefehle. Ist ein Endgerät zum Zeitpunkt der Patch-Bereitstellung nicht online und nicht verbunden, wird es nicht aktualisiert.
Abhängigkeiten führen zu Konflikten. Ein Software-Patch für eine Anwendung kann dazu führen, dass eine andere Anwendung, die auf eine bestimmte Version oder eine gemeinsam genutzte Bibliothek angewiesen ist, nicht mehr funktioniert. Ohne einen Überblick darüber, was installiert ist und wie Anwendungen miteinander interagieren, werden Sie erst dann bemerken, dass ein Problem vorliegt, wenn etwas nicht mehr funktioniert.
Heterogene Umgebungen erhöhen die Komplexität. Unternehmen betreiben mehrere Anwendungsversionen, Abhängigkeitsstacks und Betriebssystemkonfigurationen gleichzeitig. Ein Software-Patch, der für eine bestimmte Anwendungsversion validiert wurde, kann sich bei einer anderen Version möglicherweise anders verhalten. Ohne Einblick in die tatsächlich installierten Komponenten führen Sie die Bereitstellung blind durch.
Selbstauskünfte sind nicht zuverlässig. Viele Patching-Tools melden den Erfolg danach, ob der Bereitstellungsbefehl ausgeführt wurde, und nicht danach, ob der Patch tatsächlich korrekt installiert wurde. Ein Endgerät kann den Status „gepatcht“ anzeigen, obwohl die zugrunde liegende Sicherheitslücke weiterhin besteht.
Die Wartungsfenster sind begrenzt. Anwendungen, die während der Geschäftszeiten aufgrund möglicher Ausfallzeiten nicht neu gestartet werden können, schränken die Zeitfenster für die Installation von Patches ein. Wenn diese Fenster geschlossen werden, bevor die Bereitstellung abgeschlossen ist, werden die Software-Patches in die Warteschlange gestellt, anstatt angewendet zu werden. Der Rückstand wächst mit der Zeit immer weiter an, wodurch sich das Sicherheitsrisiko für jeden Patch, der nicht berücksichtigt wurde, vergrößert und die IT-Supportteams dazu gezwungen werden, reaktiv Probleme zu beheben, anstatt proaktiv Maßnahmen zu ergreifen.
Überprüfung, ob ein Patch tatsächlich angewendet wurde
Die Inbetriebnahme ist nicht das Ziel. Die Überprüfung ist.
Ein Software-Patch, der ohne überprüfte Installation bereitgestellt wurde, stellt eine offene Frage dar und ist keine behobene Sicherheitslücke. Genau in dieser Lücke zwischen „wir haben den Patch bereitgestellt“ und „wir haben ihn bestätigt“ überschätzen Unternehmen regelmäßig ihre tatsächliche Patch-Abdeckung.
Die Verifizierung beantwortet drei Fragen:
- Ist der Patch am Endpunkt angekommen? Netzwerkprobleme, Geräte im Offline-Modus oder Fehler bei der Bereitstellung können die Zustellung verhindern.
- Wurden die Patches auf dem Endgerät erfolgreich installiert? Unzureichender Speicherplatz, Berechtigungsfehler oder Konflikte können zu Fehlschlägen bei der Installation führen, selbst wenn der Patch bereitgestellt wurde.
- Wurde die Sicherheitslücke tatsächlich behoben? In einigen Fällen kann es vorkommen, dass ein Patch zwar installiert wird, das Problem jedoch aufgrund von Konfigurationsanforderungen oder noch ausstehenden Neustarts nicht vollständig behoben wird.
Viele Unternehmen verlassen sich auf die Erfolgsberichte ihrer Patch-Tools. Diese Berichte spiegeln jedoch häufig lediglich Einsatzversuche wider, nicht aber nachgewiesene Ergebnisse. Das Tool meldet, dass es den Patch bereitgestellt hat. Dies bestätigt weder, dass der Endpunkt die Patches tatsächlich korrekt empfangen und installiert hat, noch dass die zugrunde liegende Sicherheitslücke geschlossen wurde.
Eine effektive Überprüfung erfordert die direkte Abfrage der Endpunkte, um deren aktuellen Status zu bestätigen. Welche Anwendungsversion ist installiert? Ist die anfällige Bibliothek oder Datei noch vorhanden? Wurde die Anwendung neu gestartet, um den gepatchten Code zu aktivieren?
An dieser Stelle kommt die Echtzeit-Endpunktüberwachung von zum Tragen. Bei zeitpunktbezogenen Scans werden Endgeräte übersehen, die während des Scans offline waren.
Außerdem werden Änderungen übersehen, die nach Abschluss des Scans vorgenommen wurden. Eine kontinuierliche Transparenz bietet Ihnen einen aktuellen und genauen Überblick über den Status der Patches in Ihrer gesamten Umgebung.
Tipp: Nach jeder Bereitstellung eines kritischen Patches sollten Sie die betroffenen Endpunkte direkt abfragen, um sicherzustellen, dass die anfällige Komponente nicht mehr vorhanden ist. Verlassen Sie sich nicht ausschließlich auf die Bereitstellungsprotokolle.
Mit der Verifizierung wird der Prozess für einen einzelnen Software-Patch abgeschlossen. Doch kein einzelner Patch wird isoliert bereitgestellt, und das Programm, das dafür zuständig ist, Patches von der Veröffentlichung durch den Anbieter in den verifizierten Endpunktstatus zu überführen, entscheidet darüber, ob Ihre Abdeckung auch in großem Maßstab gewährleistet ist.
Die Rolle von Software-Patches im Patch-Management
Es ist von grundlegender Bedeutung, zu verstehen, was ein Software-Patch ist und wie er funktioniert. Im Unternehmenskontext lassen sich einzelne Patches jedoch nicht von selbst installieren. Sie durchlaufen einen Prozess: Erkennung, Priorisierung, Test, Bereitstellung und Überprüfung.
Dieses Programm ist das Patch-Management, und davon, wie gut es funktioniert, hängt ab, wie schnell Ihr Unternehmen das Sicherheitsrisiko nach der Veröffentlichung eines Software-Patches beseitigt. Einen tieferen Einblick in den Aufbau und die Bewertung von Patch-Management-Programmen erhalten Sie in unserem Leitfaden zum Patch-Management von „ “ unter.
Ein Software-Patch ist das Artefakt. Das Patch-Management ist das System, das dieses Artefakt von der Veröffentlichung durch den Anbieter bis zur verifizierten Installation auf potenziell Hunderttausenden von Endgeräten begleitet.
Diese Unterscheidung ist von Bedeutung, da viele Fehler bei der Installation von Patches nicht auf den Patch selbst zurückzuführen sind. Es geht um das Programm:
- Lücken bei der Erfassung: Sie wissen nicht, dass ein Patch existiert oder welche Endpunkte ihn benötigen
- Fehler bei der Priorisierung: Kritische Patches warten in der Warteschlange hinter routinemäßigen Updates
- Engpässe bei der Testphase: Die Bereitstellung verzögert sich, da die Teams die Kompatibilität manuell überprüfen
- Einschränkungen bei der Bereitstellung: Patches können nicht alle betroffenen Endgeräte erreichen
- Überprüfungslücken: Sie sind sich nicht sicher, ob die Patches tatsächlich installiert wurden
Jedes dieser Probleme stellt eine Herausforderung auf Programmebene dar und ist kein Problem auf Patch-Ebene.
Die Auswahl der richtigen Patch-Management-Software ist oft der erste Schritt, um diese Lücken systematisch zu schließen, und bietet den Teams die Transparenz, Automatisierung und Berichterstellung, die sie benötigen, um in großem Maßstab zu arbeiten.
Für Organisationen, die große, verteilte Endgerätebestände verwalten, stellen die Herausforderungen auf Programmebene die technische Komplexität einzelner Patches oft in den Schatten.
Echtzeit-Transparenz, verifizierte Bereitstellung, klare Richtlinien für die Patch-Verwaltung sowie automatisierte Workflows für das Patch-Management werden zu betrieblichen Notwendigkeiten und sind nicht mehr nur ein „Nice-to-have“ – insbesondere, wenn die Alternative darin besteht, den Patch-Status über Tausende von Endgeräten hinweg manuell nachzuverfolgen.
Wie Tanium das Software-Patch-Management für Unternehmen unterstützt
Die oben beschriebenen Herausforderungen, darunter veraltete Transparenz, Fehler bei der Bereitstellung und nicht überprüfte Korrekturmaßnahmen, sind Probleme auf Programmebene, die sich nicht durch einzelne Patches beheben lassen.
Die autonome IT-Plattform „ “ von Tanium geht diese Probleme an der Quelle an: Sie fragt Endgeräte direkt nach dem Patch-Status in Echtzeit ab, ordnet Bereitstellungen anhand des tatsächlichen Risikos unter Verwendung der „-Vertrauenswerte“ und von Schwachstellendaten in eine Reihenfolge und überprüft die erfolgreiche Installation, anstatt sich allein auf Bereitstellungsprotokolle zu verlassen.
Für Unternehmen, die große, verteilte Endgerätebestände verwalten, soll diese Kombination dazu beitragen, die Lücke zwischen der Veröffentlichung eines Patches und der verifizierten Behebung schneller zu schließen, als dies mit scanbasierten Ansätzen in der Regel möglich ist, ohne dass eine zusätzliche Infrastruktur erforderlich ist.
Echtzeit-Transparenz als Grundlage
Der häufigste Grund dafür, dass Patch-Programme in großem Maßstab scheitern, ist nicht mangelnder Einsatz. Es mangelt an genauen, aktuellen Daten. Die autonome IT-Plattform von Tanium geht dieses Problem direkt an, indem sie in Echtzeit Einblick in die Endgeräte n und den Patch-Status auf Windows--, Linux- und macOS-Geräten bietet.
Anstatt sich auf Scandaten zu verlassen, die möglicherweise bereits Stunden oder Tage alt sind, können Unternehmen, die Tanium einsetzen, Endgeräte direkt abfragen, um deren aktuellen Zustand zu ermitteln. Wenn ein kritischer Patch veröffentlicht wird, können IT-Teams schnell feststellen, welche Endgeräte wahrscheinlich betroffen sind, welche offenbar bereits gepatcht sind und bei welchen eine Verschiebung erforderlich sein könnte, ohne darauf warten zu müssen, dass ein geplanter Scan-Zyklus abgeschlossen ist.
Die autonome IT-Plattform von Tanium wurde entwickelt, um die Transparenz in verteilten Umgebungen zu gewährleisten, einschließlich Endgeräten in Zweigstellen, an entfernten Standorten und an geografisch verstreuten Standorten – und dies alles über eine einzige Tanium-Instanz, wodurch die Abhängigkeit von sekundären Relais-, Datenbank- oder Verteilungsservern verringert wird.
Die Architektur der Plattform ist darauf ausgelegt, groß angelegte Umgebungen zu unterstützen, darunter auch Bereitstellungen mit Hunderttausenden von Endpunkten. Dieser Maßstab ist von Bedeutung, da Lücken bei der Patch-Verteilung selten gleichmäßig verteilt sind: Die Endpunkte, die am schwersten zu erreichen sind, sind oft diejenigen, bei denen die Wahrscheinlichkeit am größten ist, dass sie ungepatcht bleiben.
Risikobasierte Priorisierung vor der Bereitstellung
Nicht jeder Software-Patch erfordert denselben Dringlichkeitsgrad. Eine Bereitstellung ohne Priorisierung bedeutet, dass Ihre Teams mit gleicher Wahrscheinlichkeit sowohl Anwendungsupdates mit geringem Risiko vornehmen als auch aktive Sicherheitslücken schließen.
Die autonome IT-Plattform von Tanium ermöglicht es Unternehmen, Schwachstellendaten mit der Kritikalität der Endgeräte und Konfidenzwerten zu kombinieren, um die Installation von Patches zu priorisieren und sich zunächst auf Lücken mit hohem Risiko zu konzentrieren.
Vertrauenswerte werden durch eine in Echtzeit durchgeführte Cloud-Intelligence-Analyse von Trends ermittelt, darunter Installationserfolgsraten, Absturzhäufigkeit und Auswirkungen auf die Leistung. Dadurch erhalten die Teams verwertbare Daten, auf deren Grundlage sie fundierte Entscheidungen zur Reihenfolge der Maßnahmen treffen können, bevor ein Patch flächendeckend bereitgestellt wird.
Die Plattform ermöglicht es Teams zudem, anhand von Risikosignalen und geschäftlichen Zusammenhängen diejenigen Patches vorrangig zu behandeln, die das Risiko am stärksten verringern. Dieser Ansatz bindet das Patch-Management direkt in den übergeordneten Workflow „ “ (Risikomanagement) ein, anstatt es als isolierte Aufgabe des IT-Betriebs zu betrachten.
Teams können behebbare Sicherheitslücken sowie die wichtigsten außerplanmäßigen Patches identifizieren, was dazu beiträgt, die Kommunikation zwischen Sicherheits- und Betriebsteams zu optimieren und sicherzustellen, dass Patches priorisiert und effektiv angewendet werden.
Kontrollierte Bereitstellung durch ringbasierte Rollouts
Eine der aus betrieblicher Sicht besonders wichtigen Funktionen der „Autonomous IT Platform“ von Tanium ist die Unterstützung einer schrittweisen, auf „ -Ringen“ basierenden Bereitstellung. Anstatt einen Patch gleichzeitig auf alle Endgeräte zu übertragen, können Unternehmen zunächst mit einer kleinen Gruppe von Endgeräten beginnen, die Ergebnisse überprüfen und Erkenntnisse aus der Tanium-Kundengemeinschaft nutzen, um die Einführung sicher auszuweiten, sobald die jeweiligen Phasen die Erfolgskriterien erfüllen.
Dieser Ansatz ist insbesondere im Zusammenhang mit Zero-Day-Sicherheitslücken bei „ “ () von Bedeutung, bei denen Schnelligkeit entscheidend ist, das Risiko jedoch ebenfalls hoch ist, dass ein fehlerhafter Patch weitreichende Störungen verursacht.
Die Bereitstellung von Patches kann über Genehmigungsworkflows geleitet und in Wartungsfenster eingeplant werden, um die Auswirkungen auf den Geschäftsbetrieb so gering wie möglich zu halten. Teams können den Zeitplan für Patches und die Arbeitsabläufe so konfigurieren, dass sie sich an die bestehenden Abläufe ihres Unternehmens anpassen. Dabei legen sie fest, welche Endgeräte Patches in welcher Reihenfolge erhalten und unter welchen Bedingungen eine Bereitstellung in den nächsten Ring übergeht.
Mit Tanium Automate erstellte Automatisierungs-Playbooks können Software-Patch-Workflows in großen Endgerätebeständen in Echtzeit verwalten und dabei die Schritte der Erkennung, der Bereitstellungsreihenfolge und der Überprüfung als einen einzigen wiederholbaren Prozess abwickeln, anstatt eine Abfolge manueller Übergaben zwischen verschiedenen Tools zu erfordern.
Validierung und Sanierungsmaßnahmen im geschlossenen Regelkreis
Die Bereitstellung ist nicht dasselbe wie die Fehlerbehebung. Die autonome IT-Plattform von Tanium erfasst in Echtzeit den Erfolg von Patches, Ausnahmen und Leistungskennzahlen und liefert detaillierte Berichte, um künftige Prozessverbesserungen hinsichtlich Zielauswahl, Zeitplanung und Abfolge zu unterstützen.
Nach einer Bereitstellung können Unternehmen den Patch-Status überprüfen und Systeme identifizieren, bei denen die Aktualisierung fehlgeschlagen ist, wobei zwischen Endgeräten, an die der Patch zwar übermittelt, aber nicht installiert wurde, und Endgeräten, die während des Bereitstellungsfensters schlichtweg nicht erreichbar waren, unterschieden wird.
Tanium Comply geht noch einen Schritt weiter, indem es überprüft, ob Software-Sicherheitslücken nach der Installation eines Patches tatsächlich behoben wurden – und nicht nur, ob die Bereitstellung abgeschlossen wurde. Teams können direkt von der Identifizierung einer nicht gepatchten Software-Sicherheitslücke zur Einleitung und Nachverfolgung von Abhilfemaßnahmen innerhalb derselben Plattform übergehen, ohne zwischen verschiedenen Tools wechseln oder Daten aus separaten Systemen abgleichen zu müssen.
Dieser Kreislauf aus Identifizierung, Behebung und Validierung bedeutet, dass das Patch-Management nicht mit der Bereitstellung endet, sondern erst dann abgeschlossen ist, wenn die Schwachstelle als behoben validiert wurde.
Compliance-Berichterstattung und Prüfungsbereitschaft
Der Nachweis, dass Software-Patches installiert und korrekt angewendet wurden, gewinnt im Rahmen von Prüfprogrammen der Aufsichtsbehörden zunehmend an Bedeutung, einschließlich derjenigen, die an Rahmenwerke wie HIPAA und PCI geknüpft sind. Tanium wurde entwickelt, um diese Dokumentationsanforderungen zu erfüllen.
Tanium Patch fasst den Bereitstellungsstatus für jeden Software-Patch zusammen und liefert sofortiges Feedback zu Erfolgen und Fehlern, die einer Behebung bedürfen. Wenn Auditoren fragen, welche Software-Patches wann installiert wurden, liefert Tanium den Teams den Installationsverlauf, den Neustartstatus und die Bestätigung der Fehlerbehebung – alles, was erforderlich ist, um diese Frage anhand von Daten statt anhand von Schätzungen zu beantworten.
Von der Compliance-Lücke zur 90-prozentigen Patch-Abdeckung: Honeywell
, ein Unternehmen von Honeywell, sah sich mit einer geringen Patch-Compliance-Rate konfrontiert, wodurch das Unternehmen dem Risiko von Ransomware und anderen Cyberangriffen ausgesetzt war. Nach der Einführung von Tanium erreichte Honeywell drei Monate in Folge eine Patch-Compliance von über 90 Prozent – ein Leistungsniveau, das das Unternehmen zuvor nicht hatte erreichen können.
Dank Tanium konnte Honeywell zudem andere Patch-Tools konsolidieren und in einigen Fällen sogar ganz abschaffen; außerdem bot die Lösung eine zentrale Übersicht für die Compliance-Berichterstattung auf Führungsebene und im operativen Bereich.
[Lesen Sie die Fallstudie zu Honeywell]
„“ Vor dem Einsatz von Tanium war unsere Patch-Compliance gering. Mit Tanium haben wir nun drei Monate in Folge die Marke von 90 % bei der Patch-Compliance überschritten. Das ist beachtlich.”Manish Chopra, IT-Leiter bei Honeywell
Die Funktionsweise eines Software-Patches ist einfach. Die praktische Umsetzung einer solchen Lösung auf Tausenden von Endgeräten ist jedoch nicht so einfach. Im Folgenden finden Sie Antworten auf die am häufigsten gestellten Fragen.
Häufig gestellte Fragen zu Software-Patches
Was ist der Unterschied zwischen einem Software-Patch und einem Update?
Ein Patch ist eine gezielte Korrektur für ein bestimmtes Problem, in der Regel einen Fehler oder eine Sicherheitslücke in einer Software. Ein Update ist ein weiter gefasster Begriff, der Patches, neue Funktionen, Leistungsverbesserungen und andere Änderungen umfassen kann. Alle Patches sind Updates, aber nicht alle Updates sind Patches.
Wie schnell reagieren Angreifer nach der Veröffentlichung eines Software-Patches?
Schneller, als es die meisten Unternehmen umsetzen können. Wenn ein Anbieter einen Software-Patch veröffentlicht, kann der Patch selbst Details über die zugrunde liegende Sicherheitslücke preisgeben und Angreifern damit eine Anleitung liefern, wie sie ungepatchte Systeme ausnutzen können. Bei viel beachteten Software-Sicherheitslücken kann bereits innerhalb weniger Stunden nach der Veröffentlichung eines Patches Exploit-Code auftauchen.
Die Sicherheitslücke „ 2021 Log4j “, ein Fehler in einer weit verbreiteten Java-Logging-Bibliothek, war innerhalb von 24 Stunden nach ihrer Bekanntgabe Gegenstand von über 200 000 Angriffsversuchen, wie Check Point Research mitteilt. Aus diesem Grund stellt die Zeitspanne zwischen der Veröffentlichung eines Software-Patches und der überprüften Installation ein messbares Risiko dar und ist nicht nur eine betriebliche Unannehmlichkeit.
Kann ein Software-Patch rückgängig gemacht werden, falls etwas schiefgeht?
Das hängt davon ab, wie der Patch gepackt wurde. Die meisten eigenständigen Software-Patches lassen sich über die Anwendung oder Ihr Patch-Management-Tool deinstallieren, wodurch die vorherige Version wiederhergestellt wird. Kumulative Updates lassen sich nur schwer sauber rückgängig machen, da das Rückgängigmachen einer Änderung das Rückgängigmachen mehrerer Änderungen erfordert.
Bevor Sie einen Software-Patch flächendeckend bereitstellen, testen Sie ihn an einer repräsentativen Stichprobe von Endgeräten und stellen Sie sicher, dass Sie über eine Rollback-Möglichkeit verfügen, falls der Patch Kompatibilitätsprobleme oder ein unerwartetes Anwendungsverhalten verursacht.
Warum erfordern manche Software-Patches einen Neustart?
Software-Patches, die Anwendungsdateien oder gemeinsam genutzte Bibliotheken ändern, die derzeit in Gebrauch sind, können die Installation nicht abschließen, solange diese Dateien aktiv sind. Ein Neustart oder in manchen Fällen ein Neustart der Anwendung hebt diese Sperren auf und sorgt dafür, dass die gepatchten Dateien wirksam werden. Ob ein Neustart erforderlich ist, hängt davon ab, welche Änderungen der Software-Patch bewirkt und ob die betroffene Anwendung ohne einen vollständigen Systemneustart sicher neu gestartet werden kann.
Was geschieht, wenn auf einem Endgerät die Bereitstellung eines Software-Patches versäumt wird?
Der Endpunkt ist weiterhin der Software-Sicherheitslücke ausgesetzt, die durch den Patch behoben werden sollte. Eine versäumte Bereitstellung ist keine geringfügige Lücke. Das bedeutet, dass der zugrunde liegende Codefehler nach wie vor besteht und ausgenutzt werden kann. Um übersehene Endpunkte zu identifizieren, müssen diese direkt nach den aktuellen Softwareversionen und dem Patch-Status abgefragt werden; man darf sich nicht auf Bereitstellungsprotokolle verlassen, die lediglich bestätigen, dass der Patch übertragen wurde, nicht jedoch, dass er korrekt installiert wurde.
Viele moderne Patch-Management-Lösungen sind so konzipiert, dass sie versäumte Installationen nachverfolgen, automatisch erneute Versuche unternehmen und Lücken aufdecken, sodass weniger Endgeräte über längere Zeiträume hinweg ungepatcht bleiben.
Ein effektives Software-Patch-Management beginnt damit, dass Sie verstehen, was Sie bereitstellen und warum – bis hin zu den konkreten Codeänderungen, die ein Patch bewirkt, und den Folgen, die eintreten, wenn er nicht korrekt installiert wird. Anschließend geht es darum, das Sicherheitsrisiko so schnell und vollständig wie möglich zu beseitigen und anschließend zu überprüfen, ob dies tatsächlich gelungen ist.
Tanium bietet Echtzeit-Einblick in den Status von Software-Patches in verteilten Endpunktumgebungen und ermöglicht es Teams, Lücken zu identifizieren, Updates zuverlässig bereitzustellen und die Behebung von Sicherheitslücken zu bestätigen, anstatt sie lediglich anzunehmen. Vereinbaren Sie eine Demo unter , um zu erfahren, wie das System im Unternehmensmaßstab funktioniert.