Patch-Management ist keine Flickschusterei (Fortsetzung)

Schnelles Abdichten der Sicherheitslücke
Die Frage, ob und wann ein Patch ohne Probleme aufgespielt werden kann, stellt sich freilich erst dann, wenn eine solche Software-Korrektur überhaupt vorhanden ist. Immer öfter wird das nicht der Fall sein, da das Zeitfenster zwischen einer aufgedeckten Sicherheitslücke und der entsprechenden Software-Remedur des Herstellers immer kleiner wird. Manche Einbruchssensoren bieten deshalb als Zwischenlösung so genannte virtuelle Patche an. Technisch handelt es sich dabei um Lösungen ähnlich einer Virensignatur, mit der Angriffe auf eine gerade entdeckte Schwachstelle abgefangen werden können, bis der Hersteller des angegriffenen Systems dieses ausgebessert hat.
Oft ist dabei nur ein einziger Hersteller betroffen, nämlich die Firma Microsoft. Die Redmonder programmieren vermutlich nicht schlampiger als andere, sind aber einfach durch die schiere Zahl der etablierten Systeme im Client-Server-Bereich die Hauptzielscheibe der Angriffe. Ungeachtet vieler Schwierigkeiten beim Erstellen und Ausbringen der Software-Korrekturen lässt sich kaum bestreiten, dass Microsoft mit den »Software Update Services« und vor allem den neuen »Windows Update Services« für Einzelanwender durchaus passable Lösungen bereitstellt. Für Unternehmen sind die angebotenen Lösungen aber nicht brauchbar, da sie weitgehend nur die Verfügbarkeit von Korrektur-Software melden, nur sehr eingeschränkte Analyse- und Reporting-Funktionen haben und vor allem praktisch keine Automatismen für das Ausbringen der Patches bereit stellen.  
 
Patches tangieren viele IT-Bereiche
Das Verteilen der Software-Korrekturen auf die einzelnen Rechner in einem Unternehmen ist schon aus Gründen der Geschwindigkeit - nicht zu reden vom Arbeitsaufwand und der Fehleranfälligkeit - nur automatisch möglich. Damit wird Patch-Management zu einem Spezialfall der Software-Verteilung innerhalb einer System-Management-Lösung. Basis der Operation ist eine Metadatenbank, in der die Fehlermeldung beziehungsweise der Fehlerbehebungsauftrag abgelegt sind. Falls dabei festgestellt wird, dass der betroffene Hersteller noch keine Korrektur-Software erstellt hat, sind Sofortmaßnahmen wie etwa die Blockierung des Zugangs zur Sicherheitslücke (»Virtual Patch«) und die Erhöhung der Frequenz der Datensicherungen notwendig, um etwaige Datenverluste minimal zu halten.
Entscheidend ist vor allem aber das Wissen darum, dass das Vorbereiten und Aufspielen einer Korrektur-Software eine ganze Reihe von Bereichen innerhalb der IT-Abteilung beziehungsweise die entsprechenden Tools tangiert: das Spektrum reicht von der Anwendungsprogrammierung über die Konfigurations-, Änderungs- und Inventar-Verwaltung bis hin zum Sicherheits- und Service-Management. Der Grund ist einsichtig: nur wenn klar ist, welche Systeme in welchem Zustand für welche geschäftlichen Zwecke im Unternehmen im Einsatz sind, kann vernünftigerweise entschieden werden, wie dringend der Patch ist, welche Systeme eingebunden werden müssen und welche Tests vor dem Einspielen ausgeführt werden sollten, damit das System nach dem Aufspielen der Software-Korrektur nicht kollabiert.  
Der deutschlandweit aufgestellte IT-Dienstleister KUMAGroup mit Zentrale im badischen Markdorf kann beispielsweise seine Patch-Management-Lösung so »steuern, dass einige vom Anwender benutze Dienste vor dem Patchen heruntergefahren und danach wieder hochgefahren werden«, erläutert Projektleiter Roman Anger. Der IT-Dienstleister setzt für die automatische Verteilung von Software-Korrekturen das ON iPatch-Tool von Symantec ein und verwaltet damit im Moment 180 Clients an fünf Hauptstandorten. »Bei den Clients war der Entlastungsbedarf am größten, für die diversen Server gelten ohnehin die herstellerspezifischen Sicherheitsbedingungen«, erklärt Roman Anger die Prioritäten.

Integration in System-Management
Die Verzahnung des Patch-Managements mit vielen Fragen des Sicherheits- und System-Managements schlägt sich auch in den Produkten am Markt nieder. Patch-Management wird zunehmend als integriertes Modul innerhalb von Sicherheits- und System-Management-Suiten verkauft. Beispiele sind die Produkte von Altiris, Novell,  LANDesk oder Symantec. Angesichts dieser Entwicklung suchen viele Speziallösungs-Anbieter die Kooperation mit komplementären Sicherheits-Spezialisten oder sie werden von größeren Herstellern aufgekauft. So arbeitet zum Beispiel ­Citadel Security Software mit Internet Security Systems zusammen, BindView mit Shavlik Technologies oder BigFix mit eEye Digital Security (die jeweils ­zuerst Genannten sind Patch-Mana­gement-Anbieter). Von Systemmanagement-Herstellern aufgekauft wurden in den letzten Jahren die Patchworker ­Marimba (durch BMC), ON Techno­logy (durch Symantec) und Novadigm (durch Hewlett-Packard). Die Gartner-Analysten Mark Nicolett, Ronni Colville und Mark Silver plädieren in einem ­Positionspapier (»CIO-Update: Patch Management Vendor Overview, First-Half 2004«) für integrierte Lösungen. Nur wenn »in einem Unternehmen ­keine konsistente Verteilungs-Infrastruktur besteht oder wenn verschie­dene Software-Verteilungs-Produkte
im Einsatz sind«, kann die Imple­mentierung einer Insel-Lösung sinnvoll sein«