WSUS updates; known issues

[Remco]

Ik hoop dat hier iemand mij wellicht wat verder kan helpen, want via zelf zoeken kom ik er niet uit.
Ik ben op zoek naar een website waarop je je kan abonneren en die mij verteld of de updates die zijn losgelaten door Microsoft known issues heeft met bepaalde applicaties.

Wat is het geval:
Maandelijks worden er updates door Microsoft gereleased en deze komen uiteraard terecht in onze verschillende WSUS installaties.
Wij hebben niet de mogelijkheid om al die updates door te gaan testen op alle omgevingen die wij beheren. Dat is simpelweg gewoon te tijdrovend.
Nu ben ik dus op zoek naar een website die mij kan vertellen dat updatexxx known issues heeft met applicatiexxx zodat wij alleen die problemen kunnen gaan testen.

Als ik zoek op internet kom ik op allerlei patch management tools uit, al dan niet in combinatie met WSUS. Maar dat is natuurlijk niet wat ik zoek. Ik weet ook überhaupt niet of dit wel bestaat wat ik wil.
Kent iemand een dergelijk product ?

[DrFlash]

Ik ken niet een site of product die dit voor jou bepaald.

Remco schreef op dinsdag 17 mei 2011 @ 02:08:
Wij hebben niet de mogelijkheid om al die updates door te gaan testen op alle omgevingen die wij beheren. Dat is simpelweg gewoon te tijdrovend.

Dit is natuurlijk geen excuus, als jij geen tijd hebt om updates te controleren voordat je ze uitrolt is er iets mis met je tijd management. Of er moet geaccepteerd worden dat er een risico is dat een update je omgeving sloopt. Op zich hoef je ook niet je update op 'al jouw omgevingen' te testen. een testomgeving opzetten met de applicaties die verdacht zijn is voldoende. Je hoeft echt niet te controleren of adobe reader, office en quicktime nog wel werkt bij windows updates.

[MAX3400]

Nu ben ik dus op zoek naar een website die mij kan vertellen dat updatexxx known issues heeft met applicatiexxx zodat wij alleen die problemen kunnen gaan testen.

Ik zou jouw vraagstelling maar eens deponeren bij elke afzonderlijke leverancier (betaald, freeware, whatever) waarvan jij minstens 1 DLL of EXE hebt draaien.

Waarom zou jij zorg moeten dragen voor de compatibility van KB2XXXXXX met applicatieY?

/edit: je kan het ook andersom doen maar dan tast je mogelijk de security van je omgeving aan; alles in WSUS wordt niet automatisch gepusht & geinstalleerd op de betreffende machines maar je loopt eens in de week, na de release van elk KB, de sites van al je leveranciers langs om te kijken of ze issues onderkend hebben. En na een maand trap je alsnog alle WSUS-packages over je omgeving heen.

[ Voor 31% gewijzigd door MAX3400 op 17-05-2011 10:43 ]

[robkds]

Je kan als standaard regel aanhouden dat updates (dus geen feature packs of service packs) die ouder dan een maand zijn redelijk veilig kunnen worden uitgerold. Als een patch voor (veel) problemen zorgt worden ze vaak teruggetrokken of vervangen door een nieuwere versie.

Houd ondertussen de diverse fora in de gaten en je hebt vrij weinig kans op problemen. Je kan dan ook nog stellen dat domain controllers nog een maand langer moeten wachten (en dan niet alle dc's tegelijk patchen met die betreffende updates maar eerst eentje en dan een week later de andere).

Bij voorkeur maak je aparte groepen in WSUS zodat je wat redundante machines in een soort van testgroep kunt zetten. Als het dan niet werkt schakel je ze eenvoudigweg uit.

M.a.w. stel gewoon een schema op waarmee je risico's zoveel mogelijk beperkt.

[moppentappers]

Afhankelijk van de grootte van de omgeving zou je ook een testgroep kunnen maken waarbij je de updates uitrolt om als er dan geen problemen zijn de update ook naar de rest van de computers uit t rollen, mocht een update roet in het eten gooien dan is de schade relatief beperkt en kan je toch vrij snel updates uitrollen binnen het netwerk.

[Remco]

Oke, bedankt voor de input. Het maken van 2 seperate groepen hadden we al gedaan.
Maar ik had de hoop gevestigd dat iemand wel een dergelijk website had opgezet.

[alt-92]

Het probleem (en de reden dat die er niet is) is dat het slechts zeer incidenteel voorkomt dat een hotfix echt dingen sloopt (de ppt hotfix van vorige maand dan bij Off2k3) maar dat het testen van alle mogelijke permutaties op een non-standaard softwareload een onmogelijke taak is.

Daar heb je zelf nou eenmaal beter inzicht in dan iemand anders - die kent jouw meuk tenslotte niet.

Voor wat betreft het testen zelf: ik heb persoonlijk meerdere malen meegemaakt dat ook bij non-MS updates aan software er weliswaar getest is maar nooit het volledige usage scenario doorlopen wordt waardoor je op een later stadium alsnog een probleem ondervindt (AcroReader bijvoorbeeld).

[ThomVis]

Wij hebben een gescheiden productie en development/test/acceptatieomgeving. Van alle "gouden" systemen is er zo'n schaduwomgeving. Op DTA worden de patches die maand geinstalleerd, van P later. Zo komen fouten in patches icm. specifieke software naar boven drijven en heb je tijd om ze op te lossen voordat productie plat gaan.

[mcv]

Als je het niet zelf wilt doen, kun je eens kijken bij changebase.com

Zij testen alle WSUS updates op applicatie compatabiliteit in hun lab.

[Remco]

ThomVis schreef op donderdag 19 mei 2011 @ 13:20:
Wij hebben een gescheiden productie en development/test/acceptatieomgeving. Van alle "gouden" systemen is er zo'n schaduwomgeving. Op DTA worden de patches die maand geinstalleerd, van P later. Zo komen fouten in patches icm. specifieke software naar boven drijven en heb je tijd om ze op te lossen voordat productie plat gaan.

Leuk, maar zoiets gaat voor ons niet op. Zoals ik al zei beheren we heel veel omgevingen, en die zijn dermate klein dat een testomgeving haast niet te betalen is.
Tuurlijk weten we best hoe het moet, maar in de praktijk gaat het niet op. De klant wil er niet altijd voor betalen, en neemt liever het risico. Om nu dat risico te beperken dacht ik aan een dergelijk abonnement.

@mcv:
Dank je voor de link. Ik ga het product bekijken.