Patches: niet te beheersen zonder speciale gereedschappen

Niet geïnstalleerde patches vergroten onveiligheid

De beveiliging van computersystemen begint met het up-to-date houden van operating systems en toepassingen. Het grote aantal patches van een groot aantal leveranciers levert echter een beheersprobleem op dat alleen met professionele patch management systemen kan worden aangepakt. Voor de goede werking van dit hele mechanisme zijn leveranciers en gebruikers bovendien van elkaar afhankelijk: Leveranciers moeten hun patches beperken tot de reparatie van bugs en gaten. En beheerders moeten de vrijgegeven patches inderdaad installeren, omdat ze anders averechts gaan werken.

Elke systeembeheerder weet dat de beveiliging van zijn systemen begint met het up-to-date houden van operating systems en toepassingen. Natuurlijk gebruikt hij firewalls, port en vulnerability scanners, en Host en Network Intrusion Detection Systemen (IDS's) om zijn netwerken en systemen te beveiligen. Maar dat alles heeft maar nauwelijks zin als (ook voor hackers en script kiddies) bekende gaten niet zijn gedicht. Niet voor niets heeft Microsoft de afgelopen jaren meerdere malen gesteld dat de veiligheidsproblemen met zijn Windows operating systems deels te wijten zijn aan beheerders die hun systemen niet regelmatig bijwerken.

De systeembeheerders voelden zich echter ten onrechte aangevallen. Microsoft ging met zijn verwijten voorbij aan de problemen die het oplevert om al die upgrades geïnstalleerd te krijgen. Tot voor kort bracht dat bedrijf immers een schier continue stroom lapmiddelen voor zijn Windows software uit. Het was voor de toch al overbezette beheerders welhaast onmogelijk om hun systemen up-to-date te houden. Want zo eenvoudig als dit in eerste instantie mag klinken, zo lastig is de uitvoering hiervan.

Risico's

Er zijn twee belangrijke factoren die patch management niet alleen een arbeidsintensieve maar ook een risicovolle onderneming maken. De eerste is dat bedrijfskritieke systemen die altijd beschikbaar moeten zijn niet zomaar gepatched kunnen worden. Een update zou het systeem immers instabiel kunnen maken, waarmee de continuïteit van de service in gevaar zou kunnen komen. Een welhaast tegengestelde eis is dat dergelijke systemen juist zo snel mogelijk van de laatste security updates moeten worden voorzien. Onveiligheid brengt immers niet alleen de beschikbaarheid maar ook de integriteit van een dienst in gevaar.

Het tweede probleem is het grote aantal client of desktop systemen waar het om kan gaan. Op het moment dat een enkel iemand een patch installeert en daarmee zijn PC onbruikbaar maakt, is de schade te overzien. In het ergste geval moet dat systeem dan van een vers operating system en nieuwe applicaties worden voorzien, en het leed is geleden. Gaat het om zesduizend computersystemen die, in ieder geval tijdelijk, niet meer bruikbaar zijn, dan heeft dat direct grote financiële gevolgen. Behalve verloren productieve werkuren van het personeel, kan er dan ook heel wel allerlei indirecte schade aan de onderneming worden toegebracht.

Testomgeving

Zowel voor bedrijfskritieke systemen als voor grootschalige uitrol is er eigenlijk maar één juiste werkwijze alvorens een patch te installeren: uitproberen in een testomgeving. Pas als een update de stabiliteit en integriteit van het operating system en de applicaties niet blijkt aan te tasten, mag de nieuwe configuratie in productie worden genomen. Omdat deze evaluatie soms een behoorlijke klus kan zijn, moet dit efficiënt gebeuren. Dat betekent dat meestal een hele zwik patches tegelijkertijd onder de loep zal worden genomen. Eerste nadeel van deze aanpak is dat het elke maand om een groot aantal patches kan gaan. Ingeval van problemen maakt dat het lastiger om uit te zoeken waardoor deze precies veroorzaakt worden. Daarnaast zal een systeem met een maandelijkse patch cyclus natuurlijk nooit echt helemaal up-to-date zijn. Het verzamelen, testen en uitrollen van patches kost immers tijd.

Dat betekent ook dat soms een uitzondering zal moeten worden gemaakt voor hele dringende patches. Als bekend wordt dat er een gat zit in de TCP/IP stack van een bepaald operating system, waarmee het hele systeem door iedereen van buitenaf compleet is stil te leggen, dan zal de reparatie daarvan meestal niet kunnen wachten tot een volgende maandelijkse update. Patches en bijbehorende documentatie worden immers ook door hackers gebruikt om de gaten te reverse engineeren. Op die manier werken patches de veiligheid juist tegen als ze niet worden geïnstalleerd. Belangrijke security patches zullen daarom in het algemeen zo snel mogelijk moeten worden verspreid.

Sinds eind vorig jaar zien we deze hele manier van werken ook terug in de manier waarop Microsoft zijn patches beschikbaar stelt. Voorheen produceerde het bedrijf een continue stroom van allerlei patches, fixes en updates. Naar aanleiding van klachten vanuit de markt heeft het echter zijn beleid hieromtrent (onderdeel van het Trustworthy Computing Initiative) moeten herzien. Tegenwoordig komt Microsoft elke tweede dinsdag van de maand in één keer met een hele verzameling patches en security bulletins voor al zijn operating systems. Bovendien bestaan die patches niet langer uit een complete kopie van alle bestanden die zijn gewijzigd, maar worden alleen de verschillen doorgegeven (in de zogenaamde delta patches). Ook Oracle heeft zojuist bekendgemaakt zijn patches vanaf nu in een maandelijkse update uit te brengen. Waar Microsoft beheerders altijd klaagden over de stortvloed van patches, klagen Oracle bezitters nu juist over het feit dat Oracle geen patches meer uitbrengt, waaronder ook patches voor gaten die al meer dan een half jaar bekend zijn, totdat het zijn nieuwe distributiesysteem voor de maandelijkse patches op orde heeft.

Verschillende soorten patches

Om beheerders en gebruikers te helpen bij hun almaar terugkerende patch cycli is het enorm belangrijk dat de leverancier een scherp onderscheid maakt tussen twee verschillende soorten patches. Volgens Herman van der Wal, Senior Consultant bij Computer Associates, is niet de patch zelf de bron van alle ellende, maar zit er een belangrijk onderscheid in de reden voor de patch. "Gaat het om uitbreiding van de functionaliteit? Of gaat het om het oplossen van bugs, waaronder ook vulnerabilities vallen? Voor dat eerste zijn patches eigenlijk niet bedoeld. Voor een gebruiker is het duidelijker als dat in een nieuwe release gebeurt. In het algemeen hoort bij de toevoeging van nieuwe functionaliteit immers ook nieuwe documentatie." Bovendien is dit onderscheid gerelateerd aan de licentie: "Voor een nieuwe release moet worden betaald, voor patches niet."

Met de distributie van Service Pack 2 voor Windows XP via de automatische patch mechanismen (zie volgend artikel) heeft Microsoft het zijn klanten daarom erg lastig gemaakt. "De meeste grote bedrijven maken echt onderscheid tussen grote updates - die worden eerst uitvoerig getest - en kleinere patches - waarbij ze dat niet zo hoeven doen. Veranderingen in de functionaliteit worden alleen snel gepatched bij acute problemen."

Toch begrijpt Van der Wal wel waarom Microsoft deze stap genomen heeft. "Microsoft werd door zijn omgeving gedwongen om deze update zo snel mogelijk als Service Pack uit te leveren. De veiligheidsproblematiek groeit hen boven het hoofd. Niemand had het geaccepteerd als ze deze verbeteringen hadden uitgesteld tot een volgende versie."

Geautomatiseerd patch proces

Als patches inderdaad beperkt blijven tot de reparatie van bugs en gaten, hoeft de enorme hoeveelheid patches die bij de software leveranciers vandaan komt niet persé een probleem te zijn. "Een dergelijke hoeveelheid kun je alleen verwerken in een geautomatiseerd proces. In een professionele omgeving wordt daarom altijd gebruik gemaakt van patch management software. Deze houdt bij welke vulnerabilities er binnen de organisatie zijn, en welke patches daarvoor beschikbaar zijn. In combinatie met een software distributie oplossing kan zo het hele patch proces worden geautomatiseerd."

Ondanks dat patches als het goed is geen nieuwe functionaliteit bevatten, wordt toch altijd een acceptatie omgeving gebruikt om te onderzoeken of de updates geen problemen kunnen veroorzaken. "Ook voor het accepteren van een configuratie zijn tools beschikbaar, zodat ook het acceptatie proces kan worden geautomatiseerd. Daarvoor wordt gebruik gemaakt van scripts en opgenomen transactie sequences die opnieuw worden afgespeeld. Van de uitkomsten wordt een hash gemaakt, die kan worden vergeleken met die van eerdere runs. Daarom is het zo belangrijk dat patches niets veranderen aan de functionaliteit. Zowiezo moet je altijd in staat zijn om de update terug te draaien."

Windows updates

Leveranciers van operating systems hebben allemaal hun eigen oplossingen om een installatie up-to-date te houden. Microsoft levert gratis Windows Update, Automatic Updates en Software Update Services (SUS) voor zijn Windows XP operating systems. De eerste twee zijn bedoeld om individuele systemen te onderhouden. Deze worden dan ook vooral gebruikt door individuele gebruikers en op "onbeheerde" (unmanaged) systemen (bijvoorbeeld laptops, en desktops in test- en ontwikkelomgevingen). De SUS Server kan worden geïnstalleerd op een Windows 2000 of 2003 Server. Via de Group Policy en Active Directory (of met de hand) kan de Automatic Updates component van de Windows clients zo worden ingesteld dat ze hun updates van de SUS Server halen. Deze maakt gebruik van de Windows Update functie om die pakketten zelf weer van de Microsoft site binnen te halen. Wie meer wil, kan aan de slag met Systems Management Server (SMS) 2003. Daarvoor moet echter wel betaald worden.

Op dit moment werkt Microsoft aan de opvolger van SUS, die Windows Update Services (WUS, voorheen bekend als SUS 2.0) moet gaan heten. Dan zullen ook updates voor Office XP en 2003, SQL Server 2000, MSDE 2000 en Exchange 2003 worden ondersteund. Diezelfde WUS engine zal later ook worden toegepast in SMS, zodat ook die de updates voor de andere Microsoft software zal ondersteunen. Hetzelfde geldt voor de verspreiding van updates in de vorm van delta patches; deze zullen straks ook door SMS worden ondersteund. Uiteindelijk zullen WUS en SMS helemaal in elkaar opgaan.

Ook voor Windows Update zit er een opvolger in de pijplijn: Microsoft Update. De release van beide nieuwe software pakketten, WUS en Windows Update, is echter vertraagd, volgens Microsoft ook weer door het vele ontwikkelwerk dat het in SP2 heeft moeten steken. Ze staan nu voor halverwege volgend jaar in de planning.

Linux up-to-date

Zoals Microsoft zijn eigen patch systemen heeft voor de Windows operating systems, zo heeft ook elke Linux distributie zijn eigen systeem voor het up-to-date houden van de software. Bij Red Hat gaat het dan om de up2date tool, waarmee gebruikers steeds de laatste rpm's van libraries en applicaties kunnen binnenhalen en installeren. Draaiende daemons worden na een update automatisch herstart. Zelfs de Linux kernel kan op deze manier worden opgewaardeerd. Voor de SuSE (tegenwoordig onderdeel van Novell) en Debian distributies zijn vergelijkbare tools beschikbaar.

Voor bedrijven die een heleboel Red Hat Linux systemen tegelijkertijd willen onderhouden, is er de mogelijkheid daarvoor een centrale Red Hat Network (RHN) server te installeren (vergelijk de SUS Server en SMS van Microsoft). In de management module kunnen systemen worden gegroepeerd en gezamenlijk worden onderhouden. Het RHN systeem biedt daarnaast de mogelijkheid verschillende permissies aan verschillende beheerders toe te kennen, updates te schedulen, en eenvoudige mogelijkheden voor provisioning, configuratie en roll-back.

Bijzondere vermelding verdient de Red Carpet tool. Deze maakt oorspronkelijk deel uit van de Ximian Desktop (tegenwoordig onderdeel van Novell), maar kan ook als los onderdeel op een standaard Red Hat, SuSE of Mandrake systeem (zonder de Ximian Desktop) worden geïnstalleerd. Omdat Red Carpet verschillende kanalen bevat voor verschillende software pakketten, kan deze gebruikt worden om software van verschillende bronnen up-to-date te houden. Naast de standaard "meegeleverde" channels van onder andere Red Hat, SuSE en natuurlijk de Ximian software zelf, kunnen ook nog eigen channels worden gedefinieerd.

Onbruikbaar

Hoewel genoemde tools van de operating system leveranciers zelf een goede oplossing lijken te bieden, zijn ze onbruikbaar voor grotere ondernemingen, waar men in het algemeen te maken heeft met een heterogene omgeving met allerlei verschillende systemen en toepassingen. Windows Update, SUS en SMS kunnen echter alleen voor de Windows operating systems worden gebruikt, en up2date, RHN en Red Carpet alleen voor Linux systemen. Van der Wal wijst er op dat de inzet van deze leveranciers-specifieke systemen voor grotere organisaties opnieuw voor problemen zorgen. "Deze oplossingen zijn goed bruikbaar voor een klein bedrijf met een stuk of twintig PC's en een servertje. Voor grotere omgevingen moeten alle patches op een centraal punt binnenkomen, anders zijn ze niet te beheersen."

Dat beheerders toch zo veel moeite hebben met hun patches heeft volgens hem te maken met verkeerde bezuinigingen. "Beheerders hebben niet altijd een software distributie systeem. Zij zijn in het algemeen niet zulke goede interne verkopers, en krijgen dit daarom niet voor elkaar bij het management. Het bewustzijn bij de bedrijfsleiding is niet groot genoeg. Die wordt dat pas als er iets gebeurt. Dan pas kan hier ook budget voor worden uitgetrokken."

Toch signaleert hij een toenemende belangstelling voor oplossingen van derden, zoals CA zelf die ook levert. "Het aantal bedrijven dat het laatste half jaar langs is gekomen om zich te oriënteren, is sterk gestegen. Enerzijds heeft dat te maken met de toenemende aandacht voor beveiliging, anderzijds met strengere regelgeving en aansprakelijkheden. Dat komt bijvoorbeeld door de gebeurtenissen in de Verenigde Staten op 9/11, die nieuwe regelgeving tot gevolg hadden. Accountantsverklaringen worden bijvoorbeeld minder snel gegeven. Daarnaast spelen banken een voortrekkersrol. Als zij niet voldoen aan de Basel II eisen, moeten zij meer geld reserveren om hun risico's af te dekken. Ook ICT is daar een onderdeel van; zij doen immers niet anders dan dat. Daarnaast hebben we pas meegemaakt dat een bedrijf door een ander werd gebeld met de mededeling dat vanaf hun computersystemen de systemen bij de beller werden platgelegd. In dit geval ging het om de onderwijssector, en werd deze zaak in den minne geschikt. In de Verenigde Staten worden in dit soort zaken al schadevergoedingen toegekend. We hebben hier in Nederland niet die cultuur, maar de kans dat dergelijke claims worden toegekend, wordt ook hier steeds groter."

Professioneel patch management

Computer Associates verzamelt voor zijn klanten niet alleen de patches en bijbehorende documentatie van een groot aantal software leveranciers. "Waar dat zinvol is, testen wij ze zelf ook uit. Een klant koopt met onze eTrust Vulnerability Manager een complete dienst. Wij leveren een appliance - het enige hardware product dat wij in ons portfolio hebben - die een inspectie doet op alle machines. Die informatie wordt samen de informatie over de bekende vulnerabilities en beschikbare patches opgeslagen in een database: die en die machines zijn daar en daar kwetsbaar voor, met een kwalificatie van het risico. Beheerders kunnen die informatie gebruiken om taaklijsten samen te stellen. De output van de scanner fungeert als input voor het software delivery systeem. Maar ook voor vulnerabilities waarvoor nog geen patch beschikbaar is, geven we advies om de kans op misbruik kleiner te maken. De kennisbank wordt wordt zes of zeven maal per dag bijgewerkt door onze Security Advisory Board. Dat zijn voornamelijk voormalig werknemers van Ernst & Young, die daarvoor samenwerken met alle andere belangrijke instituten op dit gebied."

Altiris onderhoudt voor zijn klanten een XML bestand met een overzicht van alle patches. De input daarvan komt van Microsoft. Arie Goosse, Sales Consultant bij Altiris, geeft aan dat zij zelf de patches niet verrijken, maar alleen het management en distributie systeem leveren. "Wij voegen zelf geen waarde toe, bijvoorbeeld door ze te testen. Een patch is voor ons een blok data die gegarandeerd op een bepaalde plek moet worden afgeleverd." Wel worden onderlinge afhankelijkheden van patches en Service Packs in de database bijgehouden. Op dit moment doet ons product alleen Windows. Aan Linux wordt gewerkt." Volgens Joosse komt Altiris vermoedelijk voor die tijd nog met update services voor derden. "De infrastructuur daarvoor ligt er al. Alleen de zakelijke kant moet nog afgewikkeld worden."

"De patch management module van Altiris is onderdeel van een compleet framework. Bovendien kan onze software direct worden gekoppeld aan HP's OpenView. Wij hadden traditioneel een sterke relatie met Compaq, en nu dus met HP. Hun blade server kan bijvoorbeeld alleen met Altiris worden uitgerold. Wij doen de client kant voor OpenView. Maar hoewel de nadruk nog steeds ligt op clients en mobiele apparaten, focussen we steeds meer op asset management en - voorzichtig - op server management. Onze agent wordt op alle servers, clients en thin clients van HP meegeleverd, en ook Dell en Fujitsu-Siemens gebruiken Altiris als deployment tool. Koppelingen met andere management systemen kunnen ook worden gemaakt, maar daar moet dan wat handwerk voor verricht worden."

Andere populaire management oplossingen dan die van Computer Associates en Altiris zijn bijvoorbeeld de ZENworks Suite van Novell, de Management Suite van LANDesk, en de V2i producten die Symantec met de overname van PowerQuest in handen heeft gekregen.

Integrale aanpak

Patch management staat niet op zichzelf, maar maakt onderdeel uit van een grotere infrastructuur. Voor Joosse is patch management onderdeel van software distributie, met het updaten van moeilijk bereikbare clients als speciale uitdaging. "Patch management is een onderdeel van client management, geen aparte tool op zichzelf." Dat zie je ook terug in de licentie voor hun product. "Als je al Altiris gebruikt, dan kun je het patch management onderdeel gewoon voor niks toevoegen. Je hebt niet eens een nieuwe tool nodig; de agent draait al op de systemen."

Van der Wal is het met zijn collega eens, maar trekt het nog breder. "Een bedrijf moet zich afvragen waar het kwetsbaar voor is. Het niet alleen maar wachten op de volgende patch. Veel onveiligheid heeft bijvoorbeeld te maken met de configuratie van systemen. En soms zijn er gaten waarvoor er simpelweg nog geen oplossing is. Dan moet men bijvoorbeeld met een Intrusion Detection System (IDS) aan de slag."