标签: patch-management

问题

我试图向我的上级推销组织补丁/更新管理和防病毒管理的想法。到目前为止，我的提议得到了两个回应：

1. 我们还没有遇到任何问题（我想补充一点，我们知道）
2. 我们只是不认为这是一个很大的风险。

题

是否有任何可用资源可以帮助我推销这个想法？

有人告诉我，所有与安全相关的问题中有 55-85% 可以通过适当的防病毒和补丁/更新管理来解决，但告诉我的人无法证实这一说法。能否证实？

附加信息

我们 1/5 的计算机（建筑物上的计算机）默认打开 Windows 更新并安装了防病毒软件。我们 4/5 的计算机不在公司范围内，用户目前可以完全控制防病毒和 Windows 更新（我知道这是一个问题，一次一个步骤）。

我在某处托管了一个运行 Ubuntu 10.04 的 VPS。我怎么知道什么时候给系统打补丁？是否有类似于 Mac OS 或 Windows 警告我（通过电子邮件）应用更新的通知系统？

如何确定 Exchange 安装的 SP 版本号和汇总版本？

我们在 colo 设施中托管了几台服务器，我们已安排另一家公司对我们的机器进行一些监控和服务器维护工作。该提供商建议我们在 Windows Server 2008 R2 服务器中“关闭”Windows Update，并使用某些第三方工具来管理机器的更新。他们声称这为补丁管理提供了一种更精细的方法，并且当我们增加到更多的服务时它会很有价值，因为我们将能够轻松地将相同的补丁应用到所有服务器或执行这样的批量操作.

编辑。他们将使用的第三方工具是Kaseya。

你怎么认为？禁用 Windows 更新是否令人不悦？或者当一个合法的第三方工具到位时就可以了吗？您对这种设置有什么经验（好或坏）吗？谢谢。

我根据 Dreamhost（美国重要的网络托管服务提供商）的最新帖子向 SF 社区提出这个问题，原因是他们遭受了严重的停机时间：

我们运行 Debian 操作系统并使用自动更新来确保安全软件包一可用就安装。我们过去曾因这种方法而受到一些破坏，但没什么大不了的。然而，昨晚的自动更新严重错误，从专用、VPS 和一些共享服务器中删除了必要的软件包。

我很好奇，因为我的方法一直是从不自动更新我的 Windows 服务器、测试补丁并努力跟踪已安装的补丁。我什至在星期二补丁之后让几天过去，看看是否还有其他人遇到刚刚发布的补丁的问题。由于我不维护 *nix 服务器作为一般规则，我想知道 *nix 是否不同？

我是不是太保守了？你做什么工作？

编辑添加：这是他们网站上的更多信息

我们的监控和支持团队快速标记了该问题，我们让管理员、开发人员和 NOC 团队重新安装已被自动更新删除的包、重新启动服务器、修复包依赖项并测试各个服务是否可用。鉴于受影响的服务数量，这需要很长时间才能完成。请放心，我们已经全力解决这个问题，但我知道这对客户来说仍然是一种令人沮丧的体验。

为降低此类事件再次发生的风险，我们将立即关闭自动更新，并转为手动流程，在此流程中，我们只会在经过重要测试后推出 Debian 更新。

我想弄清楚是否有一种简单的方法可以识别我的 RHEL5 机器上丢失的关键补丁/包。这是出于审计目的，并试图找出是否有 RPM 命令或类似的东西可以轻松完成此操作。

我知道在我的 Solaris 10 机器上，我可以运行“smpatch analysis”命令，它会为我显示这些信息。有人知道RHEL5有什么类似的吗？

谢谢。

假设我将正在运行的 Debian 系统的内核更新apt-get upgrade linux-image-amd64为更高的次版本号（例如，5.10.10更新为5.10.11）。我是否必须重新启动 Debian 服务器才能使更新生效？

我正在制定一项计划/策略，以使用 Windows Server 更新服务管理 Windows 客户端上的补丁部署。在制定此计划时需要考虑哪些重要事项？例如，更新后自动重启虽然看起来微不足道，但可能对某些机器产生相当大的影响。因此，一种解决方案是，在 WSUS 中为不应自动重启的机器创建单独的补丁组。告诉我在制定补丁管理计划时要记住的一些事情以及如何解决这些问题。提前致谢

我们有许多 Debian 服务器需要修补，随着它们数量的增加，手动修补成为一个问题。我正在研究的是一种将补丁从中央位置推送到服务器并对其运行情况进行某种报告的方法。我相信应该有一种相对简单的方法来做到这一点，而无需购买第三方工具。Puppet 出现在我的脑海中，但也许还有其他想法可以更好地服务于这个目的？

我有一台运行 Ubuntu Server 8.04 的网络服务器，我想知道正确的命令来保持更新。

我一直在使用 apt-get update 和 apt-get upgrade，但偶尔它会告诉我有包被阻止。我一直在使用 apt-get dist-upgrade 来获取其余的保留包。这是最好的处理方式吗？在 10.04 LTS 发布之前，我不想升级到 8.10 或任何以后。

如果这个问题以前被问过或偏离主题，请原谅我。

我过去安装的几个安全补丁是通过阅读新闻文章发现的，这些文章公开讨论了适用于我服务器上软件的安全漏洞。以下是我从一篇文章中读到的此类漏洞利用的两个示例。

• Apache 再次修复范围标题错误

• 新的 JBOSS 蠕虫感染未打补丁的服务器

毋庸置疑，我很不高兴我不得不发现所有地方的 Slashdot 上都存在这些漏洞。我已经修补了这些，但我想有一些简单的方法来获得通知，或者我可以很容易地在野外搜索与我有关的已知漏洞的位置。

我已经在主要的负面时间运行，因此在发布安全补丁时定期更新它们是完全且毫无疑问的。我需要忽略“理论漏洞”，直到它们变得实用。

你们中有没有人有关于在哪里可以找到这样的信息来源的好信息？

如果是这样，当补丁可用于您感兴趣的软件中的已知漏洞时，任何此类服务是否能够提醒您？

编辑：

不知道downvotes是关于什么的，我不清楚吗？我的问题是 OT 吗？我只是想指出，我并没有以任何方式暗示修补理论漏洞是一个坏主意或浪费时间。

我只是在陈述我的处境令人沮丧的现实，在一个经济糟糕的小公司工作，我预计我要做 6 个人的工作。与我没有时间解决的理论上的安全漏洞相比，下个月没有发放工资单的现实更有可能是我公司的垮台。

我们有一个运行 Windows HyperV 的测试/集成环境 (rig)，其中包含服务器 VM。

我想管理钻机中的补丁（hyper V 主机和里面的虚拟机，它们都在自己的域中），但由于安全问题，我们无法将钻机连接到互联网（甚至我们的公司网络）。

是否可以从浏览器下载 WSUS（或任何适用的技术/应用程序）的补丁信息，然后手动将其加载到装备中？如果没有，您是否有关于在断开连接的服务器上管理补丁的建议（并且在任何情况下都无法连接到 Internet 或公司网络）？

我想运行 apt-get dist-upgrade，但我不知道这将如何影响当前登录的用户。我如何才能知道：
1. 是否需要重新启动
2. 系统是否稳定/正常直到需要重新启动（此页面暗示有时服务器将在重新启动之前无法运行）
3. 将在我运行 apt 更新才能成功之前，用户必须注销