Patchen jullie anno 2022, hoe?

[loewie1984]

Hallo,

Ik wilde graag een discussie starten over hoe jullie heden ten dage patchen bij jullie werkgevers, opdrachtgevers. Uit interesse om van elkaar mogelijk te leren of nieuwe ideeën op te doen.

Gezien de grote mate van bedreigingen tegenwoordig is niet frequent patchen een groot risico.
Sterker nog, het lijkt meer en meer een dagtaak te worden die andere activiteiten in de weg zit.
Het niet patchen is een groot afbreukrisico voor elke service organisatie die diensten verleent naar opdrachtgevers. Immers mogen zij erop vertrouwen dat de dienstverlener haar zaakjes op orde heeft. Zie oa. nieuws: Ict-dienstverlener is aansprakelijk voor verloren gaan van gegevens n...

Ik zal even aftrappen:

In onze dagelijkse controle controleren wij de websites security.nl, ncsc advisories en de advisories van Microsoft. Daarop maken we een beslissing welke kwetsbaarheden acuut verholpen moeten worden.

Vervolgens gebruiken wij N-Able N-Central (als MSP) met daarin de geïntegreerde optie om te patchen. Dit gebeurd a.d.h.v. gedefinieerde maintenance windows waarin dagelijks 2 keer wordt gedetecteerd, 2 keer wordt gedownload om vervolgens 1 keer in het weekend te patchen gevolgd door een reboot op basis van een afgesproken moment met de opdrachtgever.

Patch approval in N-Central gebeurt automatisch, maar op een bijzondere manier. Namelijk de N-Central agent inventariseert de beschikbare updates per machine, rapporteert deze centraal om vervolgens automatisch te approven als deze binnen de approval regel valt, of handmatig approved te worden door een van onze engineers. Vervolgens worden deze uitgevoerd volgens het ingestelde maintenance window.

Rollback in ons geval een recovery van de VM uit de laatste back-up volgens het back-up window van de opdrachtgever.

Nood patches worden on-demand uitgevoerd en machines die niet automatisch mee gaan moeten helaas nog met de hand worden afgepatched. Iets wat niet meer van deze tijd is natuurlijk.

Dit over een omgeving van 80 servers en 150 werkplekken (windows)

Er zijn natuurlijk legio opties zoals chocolatey, pswindowsupdate module

Om het overzichtelijk te houden wellicht aan de hand van deze 'vragenlijst' inzicht te geven:

Welke bronnen gebruiken jullie voor advisories
Hoe groot is de omgeving die je afpatched
Wat is de patch frequentie
Hoe ga je om met noodpatches
Scope vd patches (windows/unix)
Welke middelen/tools zet je in om geautomatiseerd te patchen
Wat is jullie rollback scenario

[DJMaze]

Hier geen Windows OS.
Alles GNU/Linux, BSD en OSX.
Offsite en gapped backups dagelijks en evt. per uur.

Zijn er achter dat als je zelfs het nieuws in de gaten houdt je toch de pineut kan zijn.
Die dagtaak hebben we gelukkig niet meer.

Volgorde is zeg maar:
02:00u backup
04:00u update systemen (packages)

[ Voor 13% gewijzigd door DJMaze op 02-02-2022 08:03 ]

[ThinkPad]

Excuus voor de kick, maar vanwege nieuws: Microsoft stopt met actieve ontwikkeling van Windows Server Update Se... lijkt dit topic mij wel weer relevant.

Wij gebruiken op het werk nog steeds SCCM/MECM samen met WSUS om onze servers te patchen.
Nu stopt WSUS er nog niet mee, maar ben wel benieuwd wat jullie strategie/tools zijn.

[nelizmastr]

Wij, als MSP, vertrouwen op onze RMM tool om patching te verzorgen. Wij gebruiken DattoRMM, daarin zit een “WSUS-like” mogelijkheid om updates wel of niet toe te staan en ze te plannen. In de praktijk werkt dit prima.

We hanteren twee rondes updates:
- Updates met classificatie kritiek en belangrijk - mogen per eerste window installeren en worden altijd goedgekeurd
- De rest - Updates moeten minimaal 30 dagen oud zijn om een brakke update uit te sluiten, tegen die tijd heeft MS die wel gefilterd.

Linux is geen core business, meestal Ubuntu met automatische security update. Mac wordt via bijgehouden.

[JeroenV_]

Wij gebruiken Atera RMM, en hebben 2 rondes met patchen.
Eerst de minder kritische systemen, een week later de kritische.
Updates filteren kan ook hiermee, maar gebruiken we zelden tenzij er fouten te vinden zijn mbt een specifieke update.