ניהול עדכונים - Patch Management

ניהול תיקונים עוסק באיזון בין אבטחת הסייבר לצרכים התפעוליים של העסק. האקרים יכולים לנצל נקודות תורפה בסביבת ה-IT של חברה כדי להפעיל התקפות סייבר ולהפיץ תוכנות זדוניות. הספקים משחררים עדכונים, הנקראים "טלאים", כדי לתקן את הפגיעויות הללו. עם זאת, תהליך התיקון יכול להפריע לתהליכי עבודה וליצור זמן השבתה עבור העסק. ניהול תיקונים נועד למזער את זמן ההשבתה על ידי ייעול פריסת התיקונים.

תיקון הוא קבוצה של שינויים בתוכנית מחשב או בנתונים התומכים שלה שנועדו לעדכן, לתקן או לשפר אותה. זה כולל תיקון פרצות אבטחה ובאגים אחרים, כאשר תיקונים כאלה נקראים בדרך-כלל תיקוני באגים או תיקוני באגים. יש צורך במקור טוב יותר. תיקונים נכתבים לעתים קרובות כדי לשפר את הפונקציונליות, השימושיות או הביצועים של תוכנית. רוב התיקונים מסופקים על ידי ספקי תוכנה עבור עדכוני מערכות הפעלה ויישומים.

ניתן להתקין תיקונים תחת שליטה מתוכנתת או על ידי מתכנת אנושי באמצעות כלי עריכה או באגים. הם עשויים להיות מיושמים על קבצי תוכנה בהתקן אחסון, או בזיכרון המחשב. התיקונים עשויים להיות קבועים (עד לתיקון שוב) או זמניים.

תיקון מאפשר את השינוי של תוכניות אובייקטים של קומפילציה ושפת מכונה כאשר קוד המקור אינו זמין. זה דורש הבנה יסודית של פעולתו הפנימית של קוד האובייקט על ידי האדם שיוצר את התיקון, דבר שקשה ללא לימוד מקרוב של קוד המקור. מישהו שלא מכיר את התוכנית המתוקנת עשוי להתקין תיקון באמצעות כלי עזר לתיקון שנוצר על ידי אדם אחר שהוא המנהל. גם כאשר קוד המקור זמין, תיקון מאפשר התקנה של שינויים קטנים בתוכנית האובייקט ללא צורך בהידור או הרכבה מחדש. עבור שינויים קלים בתוכנה, לרוב קל וחסכוני יותר להפיץ טלאים למשתמשים במקום להפיץ מחדש תוכנית חדשה שהורכבה מחדש או הורכבה מחדש.

למרות שנועדו לתקן בעיות, תיקונים מעוצבים בצורה גרועה יכולים לפעמים להציג בעיות חדשות (ראה רגרסיות תוכנה). במקרים מיוחדים מסוימים עדכונים עשויים לשבור ביודעין את הפונקציונליות או להשבית מכשיר, למשל, על ידי הסרת רכיבים שספק העדכונים אינו מורשה להם עוד.

ניהול תיקונים הוא חלק מניהול מחזור החיים, והוא תהליך השימוש באסטרטגיה ותוכנית של אילו תיקונים יש להחיל על אילו מערכות בזמן מוגדר.

ניהול תיקונים הוא תהליך של החלת עדכונים שהונפקו על ידי הספק כדי לסגור פרצות אבטחה ולייעל את הביצועים של תוכנות ומכשירים. ניהול תיקונים נחשב לפעמים לחלק מניהול נקודות תורפה.

למה חשוב תהליך ניהול התיקון

ניהול תיקונים יוצר תהליך מרכזי להחלת תיקונים חדשים על נכסי IT. תיקונים אלה יכולים לשפר את האבטחה, לשפר את הביצועים ולהגביר את הפרודוקטיביות.

עדכוני אבטחה

תיקוני אבטחה מטפלים בסיכוני אבטחה ספציפיים, לרוב על ידי תיקון פגיעות מסוימת.

האקרים מכוונים לעתים קרובות לנכסים שלא עברו תיקונים, כך שאי יישום עדכוני אבטחה עלול לחשוף חברה לפרצות אבטחה. לדוגמה, תוכנת הכופר 2017 WannaCry התפשטה באמצעות פגיעות של Microsoft Windows שעבורה הונפק תיקון. פושעי סייבר תקפו רשתות שבהן מנהלי מערכת התרשלו להחיל את התיקון, והדביקו יותר מ-200,000 מחשבים ב-150 מדינות.

• עדכוני תכונות: חלק מהטלאים מביאים תכונות חדשות לאפליקציות ומכשירים. עדכונים אלה יכולים לשפר את ביצועי הנכסים ואת פרודוקטיביות המשתמש.
• תיקוני באגים: תיקוני באגים מטפלים בבעיות קלות בחומרה או בתוכנה. בדרך-כלל, בעיות אלו אינן גורמות לבעיות אבטחה אך משפיעות על ביצועי הנכסים.
• צמצום זמן השבתה: רוב החברות מוצאות שזה לא מעשי להוריד ולהחיל כל תיקון עבור כל נכס ברגע שהוא זמין. זה בגלל שהתיקון דורש זמן השבתה. משתמשים חייבים להפסיק לעבוד, להתנתק ולאתחל מערכות מפתח כדי להחיל תיקונים.

תהליך ניהול תיקונים רשמי מאפשר לארגונים לתעדף עדכונים קריטיים. החברה יכולה להרוויח את היתרונות של תיקונים אלה עם הפרעה מינימלית לזרימות העבודה של העובדים.

• תאימות לתקנות: על פי תקנות כמו תקנת הגנת המידע הכללית (GDPR), חוק הניידות והאחריות של ביטוח הבריאות (HIPAA), ותקן אבטחת המידע של תעשיית כרטיסי התשלום (PCI-DSS), חברות חייבות לפעול לפי נוהלי הגנת סייבר מסוימים. ניהול תיקונים יכול לעזור לארגונים לשמור על מערכות קריטיות תואמות למנדטים הללו.
• מחזור החיים של ניהול התיקון: רוב החברות מתייחסות לניהול תיקונים כאל מחזור חיים מתמשך. הסיבה לכך היא שספקים משחררים תיקונים חדשים באופן קבוע. יתר על כן, צרכי התיקון של חברה עשויים להשתנות ככל שסביבת ה-IT שלה משתנה.

כדי לתאר את שיטות העבודה המומלצות לניהול תיקונים שמנהלי מערכת ומשתמשי קצה צריכים לפעול לאורך כל מחזור החיים, חברות מנסחות מדיניות רשמית לניהול תיקונים.

שלבי מחזור החיים של ניהול התיקון כוללים:

1. ניהול נכסים: כדי לעקוב אחר משאבי IT, צוותי IT ואבטחה יוצרים מלאי של נכסי רשת כמו יישומי צד שלישי, מערכות הפעלה, מכשירים ניידים ונקודות קצה מרוחקות ומקומיות. צוותי IT עשויים גם לציין באילו גרסאות חומרה ותוכנה עובדים יכולים להשתמש. סטנדרטיזציה זו של נכסים יכולה לעזור לפשט את תהליך התיקון על ידי הפחתת מספר סוגי הנכסים השונים ברשת. סטנדרטיזציה יכולה גם למנוע מעובדים להשתמש באפליקציות ומכשירים לא בטוחים, מיושנים או לא תואמים.
2. ניטור תיקון: ברגע שלצוותי IT ואבטחה יש מלאי מלא של נכסים, הם יכולים לעקוב אחר תיקונים זמינים, לעקוב אחר מצב התיקון של נכסים ולזהות נכסים שחסרים להם תיקונים.
3. תיעדוף תיקון: חלק מהטלאים חשובים יותר מאחרים, במיוחד כשמדובר בתיקוני אבטחה. לפי גרטנר, 19,093 פגיעויות חדשות דווחו בשנת 2021, אך פושעי סייבר ניצלו רק 1,554 מהן בטבע (הקישור נמצא מחוץ ל-ibm.com). צוותי IT ואבטחה משתמשים במשאבים כמו הזנות של מודיעין איומים כדי לאתר את הפגיעויות הקריטיות ביותר במערכות שלהם. תיקונים עבור פגיעויות אלה מקבלים עדיפות על פני עדכונים פחות חיוניים. תיעדוף היא אחת הדרכים המרכזיות שבהן מדיניות ניהול תיקונים שואפת לקצץ בזמן ההשבתה. על ידי השקת תיקונים קריטיים תחילה, צוותי IT ואבטחה יכולים להגן על הרשת תוך קיצור זמן המשאבים המושקעים במצב לא מקוון לתיקון.
4. בדיקת תיקון: תיקונים חדשים יכולים מדי פעם לגרום לבעיות, לשבור אינטגרציות או להיכשל בטיפול בפרצות שהם שואפים לתקן. האקרים יכולים אפילו לחטוף טלאים במקרים חריגים. בשנת 2021, פושעי סייבר השתמשו בפגם בפלטפורמת VSA של Kaseya (הקישור נמצא מחוץ ל-ibm.com) כדי להפיץ תוכנות כופר ללקוחות במסווה של עדכון תוכנה לגיטימי. על ידי בדיקת תיקונים לפני התקנתם, צוותי IT ואבטחה שואפים לזהות ולתקן בעיות אלו לפני שהן משפיעות על הרשת כולה.
5. פריסת תיקון: "פריסת תיקונים" מתייחסת הן למועד והן לאופן שבו נפרסים תיקונים. חלונות תיקון מוגדרים בדרך-כלל לזמנים שבהם עובדים מעטים או לא עובדים. שחרור תיקון של ספקים עשוי גם להשפיע על לוחות הזמנים של תיקון. לדוגמה, מיקרוסופט בדרך-כלל משחררת תיקונים בימי שלישי, יום המכונה "טלאי שלישי" בקרב חלק מאנשי ה-IT. צוותי IT ואבטחה עשויים להחיל תיקונים על אצוות של נכסים במקום להפיץ אותם לרשת כולה בבת אחת. כך, חלק מהעובדים יכולים להמשיך לעבוד בעוד שאחרים מתנתקים לצורך תיקון. החלת תיקונים בקבוצות מספקת גם הזדמנות אחרונה לזהות בעיות לפני שהן מגיעות לכל הרשת פריסת תיקון עשויה לכלול גם תוכניות לנטר נכסים לאחר תיקון ולבטל כל שינוי שגורם לבעיות בלתי צפויות.
6. תיעוד תיקון: כדי להבטיח תאימות לתיקון, צוותי IT ואבטחה מתעדים את תהליך התיקון, כולל תוצאות בדיקה, תוצאות פריסה וכל נכס שעדיין צריך לתקן. תיעוד זה מעדכן את מלאי הנכסים ויכול להוכיח עמידה בתקנות הגנת סייבר במקרה של ביקורת.

פתרונות ניהול עדכונים

מכיוון שניהול עדכונים הוא מחזור חיים מורכב, ארגונים מחפשים לעתים קרובות דרכים לייעל את העדכונים. יש עסקים במיקור חוץ של התהליך כולו לספקי שירותים מנוהלים (MSP). חברות המטפלות בתיקונים בתוך הבית משתמשות בתוכנת ניהול תיקונים כדי להפוך חלק גדול מהתהליך לאוטומטי.

רוב תוכנות ניהול התיקונים משתלבות עם מערכות הפעלה נפוצות כמו Windows, Mac ולינוקס. התוכנה עוקבת אחר נכסים לאיתור תיקונים חסרים וזמינים. אם זמינים תיקונים, פתרונות ניהול תיקונים יכולים להחיל אותם באופן אוטומטי בזמן אמת או בלוח זמנים מוגדר. כדי לחסוך ברוחב פס, פתרונות רבים מורידים תיקונים לשרת מרכזי ומפיצים אותם לנכסי רשת משם. תוכנות מסוימות לניהול תיקונים יכולות גם להפוך את הבדיקות, התיעוד והחזרת המערכת לאוטומטית אם תיקון מתקלקל.

כלי ניהול תיקונים יכולים להיות תוכנות עצמאיות, אך לרוב הם ניתנים כחלק מפתרון הגנת סייבר גדול יותר. פתרונות רבים לניהול פגיעות וניהול משטח התקפות מציעים תכונות של ניהול תיקונים כמו מלאי נכסים ופריסה אוטומטית של תיקונים. פתרונות רבים לזיהוי ותגובה של נקודות קצה (EDR) יכולים גם להתקין תיקונים באופן אוטומטי. ארגונים מסוימים משתמשים בפלטפורמות ניהול נקודות קצה מאוחדות (UEM) לתיקון התקנים מקומיים ומרוחקים.

עם ניהול טלאים אוטומטי, ארגונים אינם צריכים עוד לנטר, לאשר ולהחיל כל תיקון באופן ידני. זה יכול להפחית את מספר התיקונים הקריטיים שלא מיושמים מכיוון שמשתמשים לא מוצאים זמן נוח להתקין אותם.

כלים ומוצרים לניהול עדכונים עבור מערכות ההפעלה הנפוצות

• Windows:

• Windows Update: כלי ניהול עדכונים מובנה ב-Windows. כלי זה יכול לבדוק אוטומטית עדכונים זמינים ולהתקין אותם.
•  Windows Server Update Services (WSUS): שירות ניהול עדכונים מרכזי עבור מערכות Windows Server. שירות זה יכול לסייע בארגון וניהול עדכונים למערכות Windows Server מרובות.
•  System Center Configuration Manager - פלטפורמה לניהול תצורה ועדכונים
•  PDQ Deploy - מוצר צד-שלישי לניהול עדכונים

• Linux:

• YUM: מנהל חבילות עבור מערכות הפעלה Linux מבוססות RPM. YUM יכול להתקין עדכונים לחבילות RPM.
• APT: מנהל חבילות עבור מערכות הפעלה Linux מבוססות Debian.APT יכול להתקין עדכונים לחבילות DEB.
•  Ansible - כלי אוטומציה התומך בניהול עדכונים
•  Spacewalk - מערכת לניהול עדכונים בהפצות לינוקס
• Puppet - כלי לאוטומציית תצורה וקונפיגורציה

• macOS:

• מנגנון עדכונים מובנה במערכת
• Jamf - פלטפורמת ניהול להתקנה ועדכון תוכנות

מוצרים לניהול עדכונים לרכישה

בנוסף לכלים לניהול עדכונים המובנים במערכות ההפעלה, קיימים מספר מוצרים לניהול עדכונים שניתן לרכוש. מוצרים אלו יכולים להציע מגוון רחב של תכונות ויכולות, כגון:

• ניהול מרוחק של עדכונים: מוצרים אלו יכולים לסייע בארגון וניהול עדכונים למערכות הפעלה מרובות.
• ניהול אוטומטי של עדכונים: מוצרים אלו יכולים להתקין עדכונים באופן אוטומטי, ללא צורך בהתערבות ידנית.
• דיווח על עדכונים: מוצרים אלו יכולים לספק דוחות על עדכונים שהתקנו, עדכונים שעדיין לא התקנו, וכן על כל בעיות שנתגלו בעת התקנת עדכונים. 

דוגמאות למוצרים לניהול עדכונים לרכישה כוללות:

• Microsoft System Center Configuration Manager: פתרון ניהול מורכב המציע מגוון רחב של תכונות ויכולות, כולל ניהול עדכונים.
• SolarWinds Patch Manager: פתרון ניהול עדכונים מקיף המציע תכונות ייחודיות, כגון ניהול עדכונים לפי קבוצות וניהול עדכונים לפי פרופיל משתמש.
• Ivanti Patch Manager Plus: פתרון ניהול עדכונים פשוט לשימוש המציע מגוון רחב של תכונות, כולל ניהול עדכונים למערכות הפעלה, יישומים ותוכנות צד שלישי.

עבור למאמר הבא