自动化安全补丁管理

我查看过的大量入侵事件，并不涉及复杂的零日漏洞，而是涉及一个早已有补丁、有时已有数月的漏洞，只是还没有打上。补丁是存在的，修复是存在的，只是躺在队列里。补丁管理听起来是任何安全清单上最基础的一项，它确实如此，也正因如此，它才总是最容易出问题：它不光鲜、永无止境，而且在团队人手吃紧时，它是第一个被降低优先级的事项。

难点通常不在技术上的精深，而在纪律和覆盖：了解您所运行的每个系统上每一个重要的补丁，测试到足以确信它不会破坏关键业务，并在“补丁已发布”与“补丁已应用”之间的差距变成攻击者长驱直入的窗口之前真正完成部署。这个窗口在整个行业都在缩短；攻击者对补丁进行逆向工程以找出漏洞，速度几乎与补丁发布一样快。

我会怎么做

我会从准确的资产清单入手，因为您无法给不知道自己在运行的东西打补丁，这正是资产管理与补丁管理直接交会的地方。在此基础上，凡是真正可以安全自动化的地方就自动部署，对风险较高的内容则配合合理的测试和预发布流程，所以目标不是“立刻打补丁”，而是“在对您的环境真正安全的前提下尽快打补丁”。关键漏洞需要优先处理，并排在例行更新之前加快推进，整个流程还需要监控，诚实地告诉您什么真正打了补丁、什么仍然暴露，不是假定自动化在工作，而是验证它确实在工作。

做得好的补丁管理是一种最好意义上的无聊：它在后台悄无声息地运转，在报告确认它正在进行之前，没人需要去想它。这就是目标。

如果您不能完全确信您的系统正在按真正重要的时间线打补丁，请联系我，谈谈如何缩小这个差距。