Allgemeines - Patch Management

Das Härten von Windows-Systemen ist, aufgrund der unzähligen Schwachstellen, die in der Vergangenheit und Gegenwart aufgetreten sind, kein leichtes Unterfangen. Einer der wichtigsten Punkte bei der Sicherung von Windows-Systemen ist das Patch-Management. Nachdem in den letzten Monaten etwas Ruhe eingekehrt ist, werden nun wieder fast täglich neue Sicherheitsupdates zur Verfügung gestellt. Während sich die Updates für nicht kritische Einzelgeräte relativ gut automatisieren lassen, muss man für die Server und Computerzimmer an Schulen etwas mehr Aufwand betreiben.

Updates und Patches automatisieren

Für das Patch-Management in Schulen bieten sich die "Software Update Services" von Microsoft an. Das Tool ist kostenlos bei Microsoft erhältlich und kann als zentrales Update- und Patch Management-System betrachtet werden. Der Vorteil hier ist vor allem in der zentralen Konfigurationsmöglichkeit zu sehen und der eingesparten Bandbreite - die Patches müssen nicht mehr für jedes System vom Internet heruntergeladen werden, sondern nur einmal. Die Verteilung auf die Rechner im Computerraum erfolgt dann über das interne Netzwerk. Es lässt sich außerdem festlegen, welche Sprachen und Windows-Versionen man überhaupt in Betracht ziehen will.

Erst testen

Eines ist jedoch eminent wichtig: erst testen, dann installieren. Es kommt immer wieder vor, dass sich Fehler in Sicherheitsupdates oder Service-Packs einschleichen, welche dann mehr Schaden verursachen als der Virus, vor dem sie hätten schützen sollen. Es empfiehlt sich hier, auf einem nicht-kritischen System zu testen, und dann erst in die Breite auszurollen.

Feststellen des Status Quo

Microsoft bietet für die Analyse des Sicherheits- respektive Patch-Status von Windows-Systemen einige nützliche Tools an. Einerseits ist dies der MSBA (Microsoft Baseline Security Analyzer) und andererseits das "Office Update Inventory Tool". Der MSBA kann ein einzelnes System oder eine Reihe von Systemen in einer Domäne auf übliche Fehlkonfigurationen und fehlende Sicherheitspatches hin untersuchen. Das Tool bietet eine graphische Oberfläche, ist aber auch in einer Kommandozeilen-Version verfügbar (für Hardcore-Admins).

Office Update Inventory Tool

Rein für das Office-Umfeld bietet sich das "Office Update Inventory Tool" an, welches einzelne Systeme oder ganze Netzwerke auf den Update-Status der installierten Office-Pakete hin untersucht. Das Tool zeigt an, was installiert und was an neuen Updates verfügbar ist.

• www.microsoft.com/technet/security/tools
• www.microsoft.com/office