Управление обновлениями в малом бизнесе: как обновлять системы и ничего не сломать
Необновлённое ПО остаётся одним из главных способов проникнуть в сеть компании. При этом у каждого есть история про обновление, которое сломало принтер, VPN или бухгалтерскую программу. Хорошее управление обновлениями (patch management) это баланс между этими двумя рисками: обновляться быстро, но под контролем.
Что нужно обновлять
- Операционные системы на ноутбуках и серверах: Windows, macOS, Linux.
- Сторонние программы: браузеры, просмотрщики PDF, Zoom, Java, архиваторы. О них часто забывают, и их часто атакуют.
- Сетевое оборудование: межсетевые экраны, VPN-шлюзы, коммутаторы, точки доступа Wi-Fi. Уязвимости в прошивках VPN-шлюзов стоят за многими атаками последних лет.
- Серверы и их ПО: гипервизоры, базы данных, веб-серверы.
- Сайты и плагины, об этом наш чек-лист обслуживания WordPress.
Простой ежемесячный ритм
Microsoft выпускает большинство обновлений безопасности во второй вторник месяца, и многие команды строят процесс вокруг этой даты:
- Неделя 1: просмотреть вышедшие обновления и известные проблемы с ними.
- Недели 1-2: установить на пилотную группу, например IT и двух-трёх добровольцев из разных отделов.
- Недели 2-3: если ничего не сломалось, раскатить на все рабочие станции.
- Неделя 3: обновить серверы в согласованное окно обслуживания, предварительно сделав свежий бэкап или снапшот.
- Неделя 4: проверить покрытие и разобраться с устройствами, которые не обновились.
Срочные исправления безопасности
Некоторые уязвимости не могут ждать ежемесячного цикла, особенно те, что уже активно используются и затрагивают системы, доступные из интернета: VPN-шлюзы, межсетевые экраны, почтовые серверы и сайты. Заранее определите, что считается срочным, кто принимает решение и как быстро вы действуете. Для систем, открытых в интернет, ориентир дни, а не недели.
Инструменты, которые помогают
- Windows Update for Business или Intune для Windows-устройств в среде Microsoft 365.
- RMM-система, которая обновляет и ОС, и популярные сторонние программы.
- Автоматические обновления безопасности (unattended-upgrades) на Linux-серверах.
- Сканер уязвимостей, чтобы найти то, что пропустил процесс обновлений.
Как ничего не сломать
- Всегда начинайте с пилотной группы, прежде чем обновлять всех.
- Делайте снапшоты виртуальных машин перед обновлением серверов.
- Ведите список критичных программ и проверяйте их после обновлений.
- Сообщайте об окнах обслуживания заранее, чтобы перезагрузка никого не застала врасплох.
- Записывайте известные проблемы и способ отката.
Измеряйте результат
Две цифры показывают, работает ли процесс: доля полностью обновлённых устройств и время от выхода критичного обновления до его установки. Если сегодня вы не можете получить эти цифры, начните с этого.
Ежемесячные обновления серверов и сетевого оборудования входят во все наши тарифы на инфраструктуру, а бесплатный IT-аудит показывает устаревшее ПО, видимое из интернета.