Condividi tramite

Processo di gestione delle patch

Fase 1 - Valutazione

Aggiornato: 1 giugno 2007

In questa pagina

Argomenti del modulo Obiettivi Ambito di applicazione Utilizzo del modulo Panoramica Inventario delle risorse informatiche presenti Valutazione dei pericoli per la protezione e vulnerabilità Individuazione della migliore fonte di informazioni sugli aggiornamenti software Valutazione dell'infrastruttura di distribuzione esistente del software Valutazione dell'efficienza operativa Riepilogo Passaggio alla fase di identificazione

Argomenti del modulo

Questo modulo descrive la prima fase, la valutazione, del processo di gestione degli aggiornamenti in quattro passaggi. La fase di valutazione riguarda il controllo del software nell'ambiente di produzione, la valutazione dei pericoli per la sicurezza e delle vulnerabilità potenziali e la valutazione dell'infrastruttura di gestione degli aggiornamenti.

Lo scopo di questo modulo consiste nella descrizione dei principi della fase di valutazione del processo di gestione degli aggiornamenti e nell'introduzione dei tipi di attività che consentono di eseguire la valutazione con Microsoft Windows Server Update Services (WSUS) e Microsoft Systems Management Server (SMS).

Nota: la versione di valutazione del successivo rilascio di SMS, chiamata System Center Configuration Manager 2007, è ora disponibile per il download all'indirizzo http://www.microsoft.com/technet/sms/2007/evaluate/download.mspx (in inglese). Grazie ai notevoli investimenti in semplificazione, configurazione, distribuzione e protezione, Configuration Manager 2007 rende radicalmente più facile la distribuzione dei sistemi, l'automazione delle attività, la gestione della conformità e la gestione della protezione basata su criteri, aumentando l'agilità dell'azienda.

Dopo aver letto questo modulo si sarà in grado di pianificare le attività necessarie per stabilire:

  • Cosa è presente nell'ambiente di produzione.

  • A quali pericoli per la protezione e vulnerabilità si potrebbe essere esposti.

  • Come e quando l'organizzazione è preparata per rispondere ai nuovi aggiornamenti software.

Senza un processo continuo di valutazione, non si saprà di quali risorse informatiche si dispone, come proteggerle e come poter assicurare che l'architettura di distribuzione del software sia in grado di supportare la gestione degli aggiornamenti.

Inizio pagina

Obiettivi

Il modulo consente di:

  • Fare l'inventario delle risorse informatiche presenti.

  • Valutare i pericoli per la protezione e le vulnerabilità.

  • Stabilire la fonte migliore di informazioni sui nuovi aggiornamenti software.

  • Valutare l'infrastruttura di distribuzione esistente del software.

  • Valutare l'efficienza operativa.

Inizio pagina

Ambito di applicazione

Le informazioni contenute in questo modulo sono valide per i seguenti prodotti e tecnologie:

  • Tutti i prodotti e le tecnologie Microsoft

Inizio pagina

Utilizzo del modulo

In questo modulo viene descritta la fase di valutazione del processo di gestione in quattro fasi degli aggiornamenti. Vengono illustrate le attività di base richieste per portare a termine la valutazione utilizzando Microsoft Windows Server Update Services (WSUS) e Microsoft Systems Management Server (SMS).

Per trarre il massimo vantaggio dal modulo:

Inizio pagina

Panoramica

La valutazione è la prima fase importante del processo di gestione delle patch illustrato nella Figura 1.

Figura 1. Il processo di gestione delle patch

Idealmente, si tratta di un processo continuo da seguire per assicurare di essere sempre al corrente sulle risorse informatiche di cui si dispone, su come proteggerle e come far sì che l'architettura di distribuzione del software sia in grado di supportare la gestione degli aggiornamenti.

Il resto di questa sezione sarà dedicato ai requisiti chiave per una valutazione continua. I requisiti sono:

  • Fare l'inventario delle risorse informatiche presenti.

  • Valutare i pericoli per la protezione e le vulnerabilità.

  • Stabilire la fonte migliore di informazioni sui nuovi aggiornamenti software.

  • Valutare l'infrastruttura di distribuzione esistente del software.

  • Valutare l'efficienza operativa.

Inizio pagina

Inventario delle risorse informatiche presenti

Dal punto di vista dell'automazione della gestione degli aggiornamenti, esistono due tipi di obiettivi dell'inventario. I sistemi che sono gestiti tramite uno strumento quale Microsoft Windows Server Update Services (WSUS) o Systems Management Server (SMS) sono classificati come infrastruttura gestita. I sistemi che non hanno un agente SMS operativo, un client Aggiornamenti automatici operativo (per l'utilizzo con WSUS) o che sono stati di proposito esclusi dall'automazione della gestione sono considerati infrastruttura non gestita. L'infrastruttura non gestita può includere sistemi quali:

  • Sistemi di protezione, host esterni e DMZ e sistemi noti in ambienti specifici quali quelli di test e di sviluppo.

  • Computer autonomi.

Le risorse non gestite devono essere sottoposte comunque alla gestione degli aggiornamenti. È necessario controllare questi sistemi per accertarsi che siano stati installati gli aggiornamenti software più recenti. I controlli manuali, o l'utilizzo di Microsoft Update, potrebbero essere la modalità più efficiente per distribuire gli aggiornamenti software in questi sistemi.

Identificare i requisiti di gestione degli aggiornamenti dei computer autonomi o che non sono membri di un dominio sotto il proprio controllo può essere arduo. Senza diritti amministrativi locali su questi client non gestiti, potrebbe risultare molto difficile raccogliere informazioni di sistema a parte il nome del computer e l'indirizzo IP (Internet Protocol). Tuttavia, queste informazioni di base possono servire come punto di partenza per identificare i client non gestiti nell'ambiente.

Nota: nel caso di sistemi basati su Microsoft Windows, Microsoft Baseline Security Analyzer (MBSA) compilerà un report con i nomi e gli indirizzi IP dei computer che non può analizzare perché l'account utente che inizia l'analisi non possiede diritti amministrativi sui computer di destinazione.

Quali informazioni è necessario raccogliere?

Per una gestione efficiente degli aggiornamenti è necessaria una conoscenza accurata e aggiornata dell'hardware e del software distribuiti nell'ambiente di produzione. Senza queste informazioni non sarà possibile stabilire quali computer nell'ambiente richiedono un aggiornamento software. Inoltre, è importante stabilire in che modo i computer client sono connessi alla rete. Se alcuni utilizzano collegamenti lenti o non affidabili oppure l'accesso remoto, ad esempio funzionalità di accesso remoto, il metodo di distribuzione e installazione di un aggiornamento software sarà diverso da quello utilizzato per i computer connessi a una rete veloce e affidabile.

Nelle sezioni seguenti vengono presentate le informazioni da recuperare dai computer distribuiti nell'ambiente di produzione per poter gestire in maniera efficiente gli aggiornamenti.

Identificazione dei tipi di hardware e delle versioni

Capire se un computer è un portatile (client mobile), un desktop o un server aiuta gli amministratori a stabilire come installare un particolare aggiornamento software. Se, ad esempio, si aggiorna un server, potrebbe essere necessario osservare gli intervalli di interruzione (orari specifici in cui sono permesse modifiche e riavvii dei computer) o controllare che il server venga sottoposto a backup prima della distribuzione dell'aggiornamento software.

SMS permette di creare dei gruppi che contengono i server aggiornabili in uno specifico intervallo di interruzione, il che assicura che gli aggiornamenti software non vengano installati durante la normale attività dell'azienda. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Identificazione dei tipi e delle versioni del sistema operativo

Gli amministratori devono conoscere quali sono le versioni e i tipi di sistema operativo distribuiti nell'ambiente di produzione. MBSA compilerà un report in merito agli aggiornamenti della protezione e ai service pack mancanti e identificherà le vulnerabilità per le installazioni dei sistemi operativi Microsoft Windows Server™ 2003, Windows Vista, Windows XP, Windows 2000 e Windows NT 4.0. Inoltre indicherà se la configurazione del computer è conforme alle normali pratiche consigliate per la protezione, quali ad esempio password sicure.

Identificazione delle applicazioni e del middleware

Analogamente a quanto avviene per il sistema operativo e la versione del service pack, gli amministratori devono essere a conoscenza di tutte le applicazioni software distribuite e delle relative versioni.

Se si distribuisce WSUS, è necessario utilizzare MBSA 2.0.1 per identificare gli aggiornamenti per la protezione mancanti. MBSA identificherà anche le impostazioni di protezione configurate in modo errato per alcune applicazioni, ad esempio Microsoft Office, Internet Information Services (IIS), Internet Explorer e Microsoft SQL Server™. Per informazioni dettagliate sull'utilizzo di WSUS nella fase di valutazione, vedere Windows Server Update Services (WSUS) Technical Library (in inglese).

Se si utilizza SMS 2003, è possibile avvalersi dell'agente client per l'inventario dell'hardware per raccogliere le informazioni su tutte le applicazioni, i service pack e gli aggiornamenti software installati che sono stati registrati nel programma Installazione applicazioni di Windows. L'agente client per l'inventario del software di SMS 2003 può essere utilizzato per ottenere dettagli su ogni file eseguibile (exe) installato, comprese tutte le applicazioni, anche quelle che non sono registrate in Installazione applicazioni. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Determinazione dei ruoli

È fondamentale stabilire il ruolo di un computer perché gli amministratori hanno bisogno di queste informazioni per valutare l'impatto del riavvio del computer dopo la distribuzione di un aggiornamento software. Ad esempio:

  • Se il computer è un server con un'applicazione critica per l'attività dell'azienda, si potrebbe dover ripianificare l'installazione di un aggiornamento software in periodi in cui l'impatto sull'azienda è minimo. Potrebbe anche essere necessario prendere provvedimenti per la continuità dell'attività, ad esempio, in maniera che gli utenti possano continuare a utilizzare l'applicazione mentre il server viene riavviato.

  • Se il computer è un controller di dominio che svolge uno o più dei ruoli principali per le operazioni, conosciuti anche come Flexible Single Master Operation (FSMO), sarà necessario trasferire questi ruoli ad altri controller di dominio mentre è in corso l'aggiornamento del computer. Al termine del riavvio riuscito, ripristinare i ruoli nel computer originale.

Se si utilizza SMS 2003, l'agente client per l'inventario dell'hardware può compilare un report sui servizi in esecuzione in un particolare computer. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Nota: come anticipato nel modulo d'introduzione, la versione di valutazione del successivo rilascio di SMS, chiamata System Center Configuration Manager 2007, è ora disponibile per il download all'indirizzo http://technet.microsoft.com/library/cc163151.aspx (in inglese).

Conoscenza della connettività

Conoscere il layout dell'infrastruttura di rete, le sue capacità, il livello di protezione, la velocità e la disponibilità del collegamento è importante per un aggiornamento efficiente. Gli aggiornamenti software possono avere dimensioni diverse ed essere consapevoli delle limitazioni dell'infrastruttura di rete può, potenzialmente, ridurre i ritardi nella loro distribuzione oltre a determinare il modo in cui l'aggiornamento software verrà distribuito in particolari computer client.

SMS Network Discovery può fornire informazioni sulla topologia della rete e sulle periferiche connesse alla rete. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Identificazione degli aggiornamenti software installati e di quelli mancanti

Identificare quali aggiornamenti software sono stati installati nei computer è di fondamentale importanza. Se si utilizza WSUS, è necessario avvalersi di MBSA per stabilire quali aggiornamenti software sono richiesti per i server e le workstation dell'organizzazione, dato che WSUS non include strumenti di controllo specifici. Tuttavia, MBSA non è in grado di rilevare la presenza o l'assenza degli aggiornamenti software per tutti i sistemi operativi e per tutte le applicazioni software. Per l'elenco completo di aggiornamenti rilevabili, vedere l'articolo della Microsoft Knowledge Base 895660 intitolato "Microsoft Baseline Security Analyzer (MBSA) 2.0 is available" all'indirizzo http://technet.microsoft.com/library/cc163151.aspx (in inglese). Se l'organizzazione richiede un controllo completo dell'hardware e del software, la capacità di aggiornare le applicazioni installate quali SQL Server 2000 e la capacità di distribuire gli aggiornamenti software che non sono legati alla protezione, è opportuno valutare la distribuzione di SMS per supportare la gestione degli aggiornamenti. Per informazioni dettagliate sull'utilizzo di WSUS nella fase di valutazione, vedere Windows Server Update Services (WSUS) Technical Library (in inglese).

Se si utilizza SMS 2003, è possibile avvalersi di Security Updates Inventory Tool e Inventory Tool for Microsoft Updates (parte della gestione degli aggiornamenti software) per estendere l'inventario hardware di SMS in maniera che riporti informazioni sugli aggiornamenti software da installare in un gruppo di client. I client SMS 2003 confrontano ciò che è stato installato con l'elenco degli aggiornamenti software disponibili contenuto nell'ultimo catalogo degli aggiornamenti software (Mssecure.cab) scaricato dal sito Web Microsoft Update. Anche se questo strumento non compila un report sui service pack mancanti, è possibile utilizzare gli agenti client per l'inventario dell'hardware e del software di SMS in modo da scoprire qual è il service pack correntemente installato. SMS 2003 include anche Microsoft Office Inventory Tool for Updates, come parte della gestione degli aggiornamenti software. Ciò estende l'inventario dell'hardware di SMS in modo che compili un report sugli aggiornamenti software Microsoft Office richiesti. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Esecuzione dell'inventario/controllo

Un controllo aiuta un'organizzazione a capire e ottenere una registrazione accurata del proprio ambiente di produzione prima di stabilire le configurazioni di base tramite gli strumenti identificati in precedenza. È inoltre necessario aggiungere i risultati del controllo ottenuti fino a questo punto all'archivio centrale dell'organizzazione per tenere traccia delle informazioni sull'ambiente di produzione. Si avrà così un doppio punto di riferimento che assicura non solo la correttezza del controllo ma anche l'aggiornamento dell'archivio. Annotare qualsiasi differenza tra i risultati del controllo e l'archivio e trasmettere queste informazioni al team che si occupa della gestione dei problemi affinché provveda a indagare. I membri del team di gestione dei problemi devono cercare di stabilire il punto di errore nella registrazione delle informazioni e trovare una soluzione per evitare che l'inconveniente si ripeta in futuro.

Dato che la presenza di informazioni accurate e aggiornate su quanto è disponibile nell'ambiente è fondamentale per la gestione degli aggiornamenti, gli amministratori devono verificare che sia stato effettuato un controllo prima di poter iniziare a utilizzare WSUS o SMS per distribuire gli aggiornamenti software nell'ambiente di produzione.

Se si utilizza WSUS, sarà necessario avvalersi di MBSA per identificare le applicazioni installate e gli aggiornamenti per la protezione da applicare per renderle sicure. Per informazioni dettagliate sull'utilizzo di WSUS nella fase di valutazione, vedere Windows Server Update Services (WSUS) Technical Library (in inglese).

Se si utilizza SMS 2003, per valutare la correttezza del controllo verificare innanzitutto che Microsoft Office Inventory Tool for Updates e Security Updates Inventory Tool siano stati eseguiti correttamente. A questo fine, controllare i messaggi sullo stato per vedere se si sono verificati dei problemi. Controllare quindi lo stato dell'inventario dell'hardware e del software in ogni client SMS creando un report Web in cui sono elencati i computer client SMS nei quali l'installazione degli agenti client per l'inventario dell'hardware e del software non è riuscita oppure quelli in cui non è riuscita durante il periodo di tempo specificato. Per ulteriori informazioni sull'uso di SMS nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Analisi della completezza dei dati dell'inventario

Una volta effettuato il controllo, gli amministratori devono accertare se i risultati sono completi per assicurare che tutti i computer gestiti abbiano riferito informazioni aggiornate. Svolgere le seguenti attività:

  • Confrontare i risultati emersi dal controllo con quelli di un controllo precedente e annotare l'aumento o la diminuzione riscontrati nei computer. Uno scostamento significativo nel conteggio rispetto a quanto riportato dai controlli precedenti può indicare un vuoto nella completezza.

  • Confrontare inoltre i risultati del controllo con gli oggetti computer (account di computer) nei domini del servizio directory Microsoft Active Directory. A condizione che gli account non aggiornati vengano rimossi, questo sarà utile quanto il confronto rispetto ai servizi di risoluzione dei nomi.

  • I sistemi in uso attivo registreranno e utilizzeranno i servizi di risoluzione dei nomi, Windows Internet Name Service (WINS) e Domain Name System (DNS), nell'ambiente. Gli script con riferimenti incrociati rispetto all'infrastruttura attiva come questi servizi possono dare un'ampia visione della completezza dell'inventario per la gestione degli aggiornamenti. Controllare che nei server di risoluzione dei nomi siano attivati lo scavenging o l'eliminazione dei record non aggiornati, per ottenere risultati più accurati.

Se l'analisi mette in luce una discrepanza nelle informazioni restituite, indagare per stabilire qual è la causa e intraprendere le misure appropriate per far sì che i sistemi non rilevati dal controllo vengano inclusi nel controllo successivo.

Definizione della configurazione di base dell'ambiente

Con questo termine si intende una serie di configurazioni documentate di un prodotto o di un sistema, stabilita in un determinato momento. La configurazione di base fissa lo standard che i sistemi della stessa classe e categoria devono rispettare. Le operazioni IT efficienti utilizzano queste informazioni come punto sicuro a partire dal quale realizzare e distribuire i sistemi. In genere, la configurazione fissata come base viene rigorosamente testata e certificata dal fornitore.

La configurazione di base di un'applicazione o di un software fornisce le informazioni richieste per rigenerare un sistema portandolo allo stato desiderato. Potrebbe essere necessario stabilire delle configurazioni di base per diverse applicazioni software, fornitori di hardware o tipi di computer.

La definizione della configurazione di base richiede l'esecuzione e la gestione di un inventario accurato dei computer e dei servizi presenti nell'ambiente. Al momento di stabilire la configurazione di base per l'ambiente, tenere presenti i seguenti punti:

  • L'infrastruttura che è al di sotto della configurazione di base deve essere affrontata tramite la gestione dei problemi. Tutti i computer identificati come al di sotto della configurazione di base devono essere ricondotti entro i limiti della conformità. Questi computer possono aver avuto problemi di distribuzione, pianificazione o autorizzazione oppure potrebbero richiedere un'attenzione speciale tramite una gestione eccezionale.

  • Le infrastrutture che sono al di sopra della configurazione di base non si trovano necessariamente in una posizione di vantaggio. I computer con una configurazione di base superiore a quella della propria classe devono essere controllati per stabilire se si sono prodotte modifiche non autorizzate. In alcuni casi potrebbe essere necessario riportare un sistema a livello attendibile oppure controllarlo tramite un congelamento delle modifiche. I sistemi che superano la configurazione di base approvata contengono versioni delle applicazioni o aggiornamenti software di cui non è stata testata l'interoperatività e che non sono stati formalmente approvati da IT Operations and IT Security.

  • Alcuni sistemi possono essere soggetti a circostanze speciali che li esentano dalla configurazione di base della loro classe. Ad esempio, una workstation non recente con un'applicazione precedente di fogli paga che si connette a un ente di elaborazione tramite modem può richiedere un livello di sistema operativo molto al di sotto della configurazione di base stabilita. Potrebbe non essere appropriato aggiornare questo sistema all'ultima configurazione di base dato che ciò potrebbe impedire l'esecuzione dell'applicazione precedente.

Inizio pagina

Valutazione dei pericoli per la protezione e vulnerabilità

Una volta preso atto dei computer e dei dati distribuiti nell'ambiente di produzione, è necessario effettuare una valutazione continua della protezione per stabilire i passaggi da intraprendere per proteggere la disponibilità, l'integrità e la riservatezza dei computer e dei dati. La valutazione della protezione dovrebbe coprire almeno le seguenti attività:

  • Identificazione degli standard e dei criteri di protezione.

  • Determinazione della modalità in cui applicare gli standard e i criteri di protezione.

  • Analisi delle vulnerabilità del sistema.

Per informazioni più dettagliate sull'esecuzione di una valutazione di protezione, vedere "Guida alla gestione dei rischi di protezione" all'indirizzo http://technet.microsoft.com/library/cc163151.aspx (in inglese).

Identificazione degli standard e dei criteri di protezione

Un criterio di protezione efficiente deve identificare gli standard di protezione minimi per i computer e aiutare a ridurre al minimo l'esposizione a potenziali vulnerabilità della protezione. Per essere efficace, un criterio di protezione di un'organizzazione deve essere rivisto ogni volta che si apportano modifiche ai sistemi IT e al software nell'ambiente di produzione e includere, almeno, quanto segue:

  • Standard di installazione che descrivono i percorsi di installazione e i metodi supportati.

  • Standard di rete e di dominio, che indicano in che modo i nomi e le informazioni TCP/IP (Transmission Control Protocol/Internet Protocol) vengono assegnati e di quali domini dovrebbero far parte i computer.

  • Opzioni di protezione del sistema operativo e impostazioni dei criteri, incluse quelle per ridurre le porte aperte basate sui servizi richiesti.

  • Qualsiasi standard che descrive l'utilizzo di file system crittografati.

  • Conformità minima di service pack o aggiornamenti software, aggiornata con ogni rilascio di protezione.

  • Conformità del software antivirus.

  • Impostazioni di configurazione della protezione delle applicazioni, quali la protezione dei file delle macro e le aree di protezione.

  • Standard di account amministrativi, quali la ridenominazione o la disattivazione degli account e l'impostazione di account decoy.

  • Standard di password sicure.

La violazione di un criterio di protezione suggerisce la presenza di una vulnerabilità che deve essere eliminata dall'ambiente. La vulnerabilità potrebbe essere rappresentata da un computer che manca dei vari aggiornamenti software o che non è configurato correttamente o da un utente che non utilizza password sicure.

Il criterio di protezione può fornire linee guida per ogni tipo di violazione della conformità. Queste linee guida possono essere utilizzate per stabilire la gravità dell'incidenza di una specifica vulnerabilità.

Nota: MBSA analizza gli aggiornamenti della protezione e le più comuni configurazioni di protezione errate. Non analizza la conformità con tutti gli elementi di un criterio di protezione di un'organizzazione.

Dopo aver stabilito e attivato un criterio di protezione che definisce gli standard di protezione del computer, è necessario applicare le strategie presentate nella prossima sezione per risolvere le violazioni o le vulnerabilità identificate tramite una serie di escalation.

Determinazione della modalità in cui applicare gli standard e i criteri di protezione

L'applicazione di un criterio di protezione può essere complicata dall'amministrazione distribuita e da risorse vulnerabili che non sono gestite a livello centrale. I responsabili dell'amministrazione delle risorse e della risoluzione della vulnerabilità potrebbero essere sconosciuti o difficili da identificare, potrebbero trovarsi in un altro dipartimento dell'organizzazione o non avere le capacità necessarie per risolvere autonomamente i problemi di vulnerabilità.

Di conseguenza, esistono diverse pratiche che si rendono necessarie e sono utili per l'applicazione del criterio di protezione:

  • I criteri di protezione, i tempi di applicazione e gli approcci devono avere il supporto dei dirigenti di tutta l'organizzazione.

  • Tecniche e strumenti per stabilire la proprietà e le informazioni amministrative su un computer non gestito devono essere a disposizione di tecnici specifici dell'assistenza.

  • I tecnici dell'assistenza devono essere in possesso di una formazione idonea per attenuare le vulnerabilità che violano il criterio di protezione.

  • È necessario utilizzare strumenti e tecniche automatizzate, quali i Criteri di gruppo, per assicurare che i computer siano sempre conformi agli standard e ai criteri di protezione aziendali.

La natura di una vulnerabilità della protezione, quale il rischio che venga sfruttata a fini di attacco e il costo del ripristino, deve contribuire a stabilire il livello della risposta a un sistema che non risulta conforme. Se i tentativi di risolvere la vulnerabilità nell'arco di tempo richiesto non riescono, si potrebbe scegliere di ricorrere a tattiche più aggressive, tra cui:

  • L'escalation del problema all'interno dell'organizzazione del responsabile della violazione.

  • La disattivazione dell'account principale utilizzato per accedere al computer.

  • La rimozione del computer dalla rete scollegandolo fisicamente o configurando l'hardware di rete per rimuovere automaticamente la periferica dalla rete disattivando ad esempio le porte.

Queste ultime due tattiche risultano in genere in una chiamata al servizio di assistenza, che potrà prendere in esame le vulnerabilità non risolte e stabilire una soluzione accettabile. Prima di procedere all'escalation delle violazioni della protezione e applicare queste tecniche, assicurarsi che i dirigenti appoggino il criterio di protezione.

Analisi delle vulnerabilità del sistema

L'analisi e il reporting continuo dei problemi di protezione sono vitali per assicurare che vengano identificate e risolte tutte le potenziali vulnerabilità della protezione.

Quanto meno, le organizzazioni devono mettere in atto le seguenti azioni:

  • Controllare i computer distribuiti nell'ambiente di produzione e che il sistema operativo e gli altri componenti installati, ad esempio Microsoft Internet Information Services (IIS) e Microsoft SQL Server™, non abbiano configurazioni che potrebbero compromettere la protezione. È possibile utilizzare MBSA per identificare molte configurazioni di protezione errate, ma è altresì importante controllare il sito Web Microsoft Security Central per ulteriori informazioni sul rafforzamento dei computer e la protezione. Il sito si trova all'indirizzo http://www.microsoft.com/security.

  • Analizzare e identificare regolarmente i computer che potrebbero essere stati infettati da un virus. È possibile creare questi report utilizzando gli strumenti antivirus selezionati dall'organizzazione.

  • Esaminare le informazioni restituite dagli strumenti di monitoraggio della rete, dai registri eventi e da altri strumenti di monitoraggio, così come il risultato di un qualsiasi strumento di rilevamento delle intrusioni, per stabilire se gli attacchi sono rivolti ai computer nell'ambiente di produzione.

  • Creare e gestire immagini del sistema operativo (configurazione di base) che possono essere applicate a una determinata piattaforma hardware per ripristinare il corretto funzionamento di un sistema operativo compromesso.

  • Controllare che tutti gli utenti e gli amministratori siano al corrente dei passaggi da intraprendere in caso di attacco a computer nell'ambiente di produzione.

  • Mantenere un elenco prioritario di tutte le informazioni e le risorse vitali che devono essere protette per prime in caso di attacco.

  • Controllare i registri di firewall e router e le configurazioni per essere certi che siano conformi agli standard stabiliti dall'organizzazione per queste periferiche.

  • Esaminare i criteri di protezione dei controller di dominio.

L'analisi dei sistemi per l'individuazione di potenziali vulnerabilità della protezione deve essere quanto più automatica possibile e deve essere effettuata su base regolare, quotidianamente per la maggior parte dei sistemi. La frequenza dipenderà dal livello di automazione disponibile per ognuna di queste aree, dalla disponibilità e dalle competenze del personale IT addetto alla protezione in seno all'organizzazione e dal livello di impegno per garantire un ambiente protetto.

Se si scopre che una vulnerabilità della protezione è stata sfruttata, è necessario attuare un processo di risposta di emergenza per ridurre al minimo l'impatto.

Inizio pagina

Individuazione della migliore fonte di informazioni sugli aggiornamenti software

Una volta al corrente di quanto è stato distribuito nell'ambiente di produzione e dopo aver valutato i problemi di protezione e le vulnerabilità, è necessario individuare la fonte migliore di informazioni sui nuovi aggiornamenti software. Queste informazioni verranno utilizzate nella fase successiva che interessa l'identificazione dei nuovi aggiornamenti software. Fonti di informazioni sugli aggiornamenti software possono essere:

  • Notifiche tramite posta elettronica.

  • Siti Web.

  • Rappresentanti tecnici Microsoft.

L'adozione dei metodi di notifica corretti è essenziale per mantenere e aggiornare la configurazione operativa di base stabilita e per implementare un processo efficiente di gestione degli aggiornamenti.

Microsoft Security Response Center (MSRC) si occupa dei problemi riferiti direttamente a Microsoft e di quelli discussi in certi rinomati newsgroup sulla protezione. I bollettini sulla sicurezza rilasciati da Microsoft contengono informazioni di riepilogo in cui vengono evidenziate le vulnerabilità e i prodotti da esse interessati. I bollettini includono anche informazioni tecniche dettagliate in cui vengono descritte le vulnerabilità, gli aggiornamenti e le soluzioni, nonché considerazioni sulla distribuzione e istruzioni per scaricare gli aggiornamenti disponibili.

I bollettini sulla sicurezza e i relativi aggiornamenti della protezione vengono resi noti il secondo martedì del mese tra le 10 e le 11, ora del Pacifico, a meno che Microsoft non stabilisca che sia più opportuno, per i clienti, scegliere un altro orario. Questa politica è stata stabilita in risposta ai riscontri dei clienti di tutto il mondo, allo scopo di permettere loro di pianificare i piani di gestione degli aggiornamenti.

È possibile esaminare tutti i bollettini sulla sicurezza e altre informazioni sulla protezione per i prodotti Microsoft all'indirizzo http://technet.microsoft.com/it-it/security/default.aspx. Da questo sito è possibile scaricare tutti gli aggiornamenti della protezione inclusi negli ultimi due service pack per tutti i prodotti supportati correntemente.

Messaggi di posta elettronica forniscono informazioni sui nuovi aggiornamenti del software Microsoft. Il livello di informazioni richieste dipenderà dalle dimensioni dell'organizzazione e dal tipo di informazioni tecniche desiderate:

  • Ai clienti con una conoscenza approfondita o che sono interessati alla tecnologia alla base degli aggiornamenti della protezione, Microsoft TechNet offre il servizio Microsoft Security Notification Service. Si tratta di un servizio gratuito di notifica tramite posta elettronica rivolto ai professionisti IT. I messaggi di posta elettronica contengono informazioni tecniche dettagliate. Per ulteriori informazioni o per iscriversi per ricevere il servizio Microsoft Security Notification Service, vedere http://www.microsoft.com/technet/security/bulletin/notify.mspx (in inglese).

  • Microsoft offre ora Microsoft Security Update, un servizio di avviso tramite posta elettronica che rende più semplice per le piccole aziende mantenersi al corrente degli ultimi aggiornamenti della protezione. Ogni volta che Microsoft rilascia un aggiornamento, gli abbonati ricevono un messaggio di posta elettronica in cui ne viene spiegato, in termini non tecnici, il motivo. Nel messaggio sono anche elencati i prodotti interessati e viene incluso un collegamento all'articolo completo sul sito Web Microsoft Security Central. È possibile iscriversi per ricevere il servizio Microsoft Technical Security Notifications all'indirizzo https://profile.microsoft.com/RegSysProfileCenter/subscriptionwizard.aspx?wizid=5a2a311b-5189-4c9b-9f1a-d5e913a26c2e&lcid=1033 (in inglese).

  • Inoltre è possibile ricevere notifiche sui nuovi articoli della Knowledge Base tramite "Register for the Free TechNet Flash Newsletter" all'indirizzo http://www.microsoft.com/technet/abouttn/subscriptions/flash_register.mspx (in inglese). Questi articoli contengono spesso informazioni sugli aggiornamenti software da distribuire per risolvere i problemi dell'ambiente di produzione.

Inizio pagina

Valutazione dell'infrastruttura di distribuzione esistente del software

La valutazione dell'infrastruttura di distribuzione del software è un altro elemento chiave di un processo efficiente di gestione degli aggiornamenti. La valutazione dovrebbe interessare i seguenti aspetti:

  • Esiste un'infrastruttura di distribuzione del software?

  • Può essere utilizzata per distribuire gli aggiornamenti software?

  • Serve tutti i computer presenti nell'ambiente? È progettata per gestire l'aggiornamento dei computer critici per l'attività dell'azienda?

  • L'implementazione dell'infrastruttura WSUS o SMS, di Active Directory e di Criteri di gruppo è gestita correttamente?

Se si utilizza WSUS, è necessario configurare un singolo server padre WSUS per scaricare automaticamente gli aggiornamenti software dai server pubblici di Microsoft Windows Update. Gli aggiornamenti devono essere effettuati su base quotidiana secondo una pianificazione di sincronizzazione preconfigurata. Una volta approvati, gli aggiornamenti diventano immediatamente disponibili per tutti i client WSUS. Il download deve essere configurato in maniera che abbia luogo nelle ore di minor traffico della rete. Per informazioni dettagliate sull'utilizzo di WSUS nella fase di valutazione, vedere Windows Server Update Services (WSUS) Technical Library (in inglese).

Se si utilizza SMS, tenere presente che i server del sito devono essere ubicati in un punto in cui vi sia una grande popolazione di client o là dove è richiesta la gestione o il controllo della larghezza di banda della rete. In alcune località, potrebbe essere necessario disporre di due server di sito SMS, uno per supportare i client workstation e uno per supportare i computer critici per l'attività dell'azienda.

Ulteriori informazioni

Per informazioni dettagliate sull'utilizzo di WSUS nella fase di valutazione, vedere Windows Server Update Services (WSUS) Technical Library (in inglese).

Per ulteriori informazioni sull'uso di SMS e SMS 2003 nella fase di valutazione, vedere Technical Library for Systems Management Server 2003 (in inglese).

Inizio pagina

Valutazione dell'efficienza operativa

Processi operativi IT efficienti sono forse il requisito più importante per una gestione efficiente degli aggiornamenti. In Microsoft Operations Framework (MOF), basato sulla IT Infrastructure Library (ITIL), sono riportate nei dettagli 20 funzioni di gestione dei servizi (SMF, Service Management Function). Per ulteriori informazioni sulle SMF che hanno un impatto diretto sulla gestione degli aggiornamenti, incluse Gestione dei cambiamenti, Gestione della configurazione e Gestione del rilascio, vedere le indicazioni di TechNet, "Microsoft Solutions for Management on TechNet" all'indirizzo http://www.microsoft.com/technet/itsolutions/cits/mo/default.mspx (in inglese).

Al momento di valutare l'efficienza operativa nel contesto di queste SMF, è opportuno porsi diverse domande:

  • Esiste un numero sufficiente di persone qualificate in grado di eseguire la gestione degli aggiornamenti?

  • Esiste la consapevolezza della necessità della gestione degli aggiornamenti?

  • I responsabili capiscono le impostazioni di protezione, le comuni vulnerabilità dei computer, le tecniche di distribuzione del software, l'amministrazione remota e il processo di gestione degli aggiornamenti?

  • Sono in atto processi operativi standard oppure le operazioni quotidiane sono in gran parte non definite e imprecise?

  • Esistono dei processi per la gestione dei cambiamenti e dei rilasci, anche di tipo informale? La protezione di un ambiente dagli attacchi non deve essere lasciata al caso o quando ve ne è la necessità.

  • Esiste un processo di emergenza per la distribuzione degli aggiornamenti software?

  • I processi vengono valutati e testati su base continua?

La gestione degli aggiornamenti è una delle molte aree delle attività IT. Le organizzazioni spendono una percentuale notevole del proprio bilancio IT per questo genere di attività perché raggiungere l'eccellenza operativa riduce le spese e al contempo migliora l'affidabilità, la disponibilità, la supportabilità e la gestibilità dei servizi mission-critical.

La valutazione delle attività permette al personale addetto di ottenere benefici tangibili dalle attività esistenti o proposte, a prescindere dalle dimensioni dell'azienda o dal suo livello di maturità.

Per una rapida autovalutazione dell'eccellenza operativa della propria organizzazione, vedere MOF Self-Assessment Tool all'indirizzo http://www.microsoft.com/technet/itsolutions/cits/mo/mof/moftool.mspx (in inglese).

Per ulteriori informazioni sulle valutazioni delle attività e per trovare servizi di consulenza in grado di effettuare una valutazione, vedere MOF Operations Assessment Service Offering all'indirizzo http://www.microsoft.com/services/microsoftservices/srv_mgmt_ops.mspx (in inglese).

Modello di amministrazione

Un'organizzazione dovrebbe anche esaminare il modello corrente di amministrazione del proprio ambiente IT e stabilire in che misura è in grado di supportare la gestione degli aggiornamenti. Qui di seguito sono riportati alcuni quesiti da porsi:

  • Quanto è grande l'infrastruttura rispetto al numero degli addetti? Qual è il rapporto tra amministratori e sistema?

  • Qual è il modello di supporto corrente: centralizzato, decentralizzato o condiviso?

  • Quali sono le ore operative per il personale addetto al supporto tecnico? Esistono intervalli di modifica sufficienti per la manutenzione e l'amministrazione?

  • I ruoli sono definiti chiaramente e sono stati comunicati ai membri del team?

  • I processi di gestione del servizio sono formalizzati e rispettati?

  • Il numero di strumenti è sufficiente per permettere ai singoli di espletare il proprio ruolo in maniera efficiente?

Competenze

Le seguenti domande possono aiutare a stabilire le competenze appropriate richieste per portare a termine in maniera efficiente la gestione degli aggiornamenti.

  • I singoli individui dispongono di esperienza sufficiente per gestire la dimensione e la complessità dell'infrastruttura?

  • Il personale ha ricevuto una formazione corretta e con le tecnologie pertinenti?

  • I singoli lavorano assieme sinergicamente come un team?

  • I singoli dispongono dell'esperienza o della formazione appropriata per capire le discipline e le metodologie operative principali?

  • I singoli sono in grado di realizzare script?

  • I singoli capiscono le autorizzazioni utente e di sistema e i contesti?

  • I singoli capiscono le strutture e le dipendenze degli aggiornamenti software?

Inizio pagina

Qui di seguito sono riportati i punti chiave da ricordare in merito alla fase di valutazione del processo di gestione degli aggiornamenti:

  • È necessario individuare i pericoli e le vulnerabilità dell'ambiente di produzione.

  • È necessario capire quali sono le risorse critiche per l'attività dell'azienda.

  • È necessario capire cosa è distribuito nell'ambiente di produzione e ciò che è classificato come gestito (tramite strumenti di gestione) e ciò che non lo è.

  • È necessario accertarsi che gli strumenti di distribuzione del software siano configurati, mantenuti e in grado di supportare la gestione normale e di emergenza degli aggiornamenti.

  • È necessario assicurarsi che al personale siano stati assegnati dei ruoli e delle responsabilità e che sappia come rispondere in un'emergenza, vale a dire, sappia come gestire l'aggiornamento software e come attenuarne l'impatto.

Inizio pagina

Passaggio alla fase di identificazione

Ciò che fa scattare il passaggio alla fase di identificazione del processo di gestione degli aggiornamenti è la notifica della presenza di un nuovo aggiornamento software. Per informazioni più dettagliate sulla fase di identificazione, vedere il modulo "Fase 2 del processo di gestione degli aggiornamenti - Identificazione".

Inizio pagina

  • Last updated on