Was ist Microsoft Patch Tuesday?

Wenn Sie einen Windows-Computer verwenden, kennen Sie wahrscheinlich die üblichen Popups oder Benachrichtigungen, die Sie darüber informieren, dass Ihr Gerät neu gestartet werden muss, um die Installation von Updates abzuschließen. oder Sie werden aufgefordert, den Neustart für einen günstigeren Zeitpunkt zu planen. Diese Updates werden von Microsoft normalerweise an einem besonderen Tag veröffentlicht, der als bekannt gegeben wirdPatch-Dienstag.

Patch Tuesday (auch bekannt als Update Tuesday) ist ein informeller Begriff, der sich darauf bezieht, wann Microsoft regelmäßig Software-Patches für seine Softwareprodukte wie das Windows-Betriebssystem, Microsoft Office und andere Microsoft-Softwareanwendungen veröffentlicht. Der Patch-Dienstag findet in Nordamerika am zweiten und manchmal am vierten Dienstag eines jeden Monats statt.

Microsoft hat keinen garantierten Zeitpunkt für die Veröffentlichung dieser Patches. Im Laufe der Jahre zeigt sich jedoch, dass die Aktualisierungen im Allgemeinen gegen 10 Uhr Pacific Standard Time (UTC-8) eintreffen, sie können jedoch auch später am Tag veröffentlicht werden. Die Updates werden im Download Center angezeigt, bevor sie zu Windows Update (WU) hinzugefügt werden. Diese Patches werden veröffentlicht, um Fehler in der Softwareanwendung zu beheben, die zu Schwachstellen führen können, und um die Sicherheit von Microsoft-Anwendungen zu verbessern. Die meisten dieser Schwachstellen werden von externen Forschern gefunden, die sie über das verantwortlich an Microsoft melden Bug-Bounty-Programm von Microsoft . Microsoft Security Response Center untersucht die gemeldeten Schwachstellen und bietet Lösungen zur Minderung von Sicherheitsrisiken.

Die Hauptidee hinter Patch Tuesday besteht darin, den Update-Prozess so vorhersehbar wie möglich zu gestalten, um zu verhindern, dass Windows-Administratoren mit unregelmäßig veröffentlichten Updates zu kämpfen haben. Dadurch können sie Pläne zum Testen und Installieren erstellen. Andere Unternehmen wie Adobe und Oracle haben den gleichen Patch-Dienstag-Zeitplan übernommen, um Systemadministratoren die Patch-Verwaltung zu erleichtern.

Kleinere Updates werden häufig zu anderen Zeiten (out-of-band) veröffentlicht, insbesondere wenn sie dringend und kritisch sind.

Verwandter Beitrag: Beste Partch-Management-Tools

Wie alles begann

Windows 98 war das erste Microsoft-Betriebssystem, das die Möglichkeit bot, Updates für das Betriebssystem zu prüfen und zu installieren. In diesem Zeitraum wurden Updates für Microsoft-Produkte unregelmäßig und zu zufälligen Zeitpunkten veröffentlicht, bis im Oktober 2003 der zweite Dienstag des Monats zum „Update-Tag“ gewählt wurde, der heute in der Branche als Patch-Dienstag bekannt ist.

Der Prozess der unregelmäßigen Veröffentlichung und Verteilung dieser Software-Patches kostet Microsoft und Unternehmen viel Geld, Zeit und Mühe – insbesondere Unternehmen mit einer großen Anzahl von Windows-Computern. Sie können sich vorstellen, wie zeitaufwändig es sein kann, jeden Windows-Computer einzeln manuell zu aktualisieren. Microsoft hat den „Patch Tuesday“ eingeführt, um die Kosten für die Verteilung von Patches zu senken. Der neue Ansatz ermöglicht die Ansammlung von Sicherheitspatches über einen Monat hinweg und versendet sie alle am zweiten Dienstag jedes Monats.

Vor dem Erscheinen des Patch-Dienstags wurden Updates veröffentlicht, wann immer sie bereit waren (Versand, wenn sie bereit sind), ohne vorherige Warnung oder Ankündigung. Dadurch konnten Fixes zwar fast sofort veröffentlicht werden, es stellte jedoch eine Belastung für Windows-Administratoren und Benutzer dar, die ihre Computer manchmal mehrmals neu starten mussten, um neue Updates anzuwenden, und nicht nur einen Neustart, um ein kumulatives Update anzuwenden.

Laut Microsoft wurde der Dienstag aus zwei Gründen ausgewählt:

• Um Benutzern einen Tag (Montag) zur Verfügung zu stellen, an dem sie sich mit unerwarteten Problemen befassen können, die am vorangegangenen Wochenende aufgetreten sein könnten.
• Um Benutzern ausreichend Zeit zu geben, die Updates zu testen und sie auf Geräten bereitzustellen, können sie im weiteren Verlauf der Woche auf etwaige Probleme reagieren.

Warum ist es wichtig?

Der Patch-Dienstag ist für Windows-Benutzer und -Administratoren zu einer großen Sache geworden. Sie sollten sich jeden Monat darauf freuen, die neuesten Sicherheitsupdates für Ihre Desktops und Server zu erhalten. Diese Updates sind wichtig und entscheidend für den Gesamtzustand Ihrer Systeme und Server. Jede Organisation wird aufgefordert, am Patch-Dienstag Patches einzuspielen. Warum ist das wichtig?

Software-Updates sind wichtig für den Gesamtzustand Ihrer Systeme. Starke Sicherheit ist für alle Unternehmen von entscheidender Bedeutung, insbesondere für diejenigen, die Systeme verwenden, die sensible Daten wie persönliche Informationen speichern oder Zugriff darauf haben. Betriebssysteme und andere Anwendungen, die nicht aktualisiert werden, werden wahrscheinlich anfällig für Cyberangriffe. Angreifer nutzen häufig veraltete Systeme aus – sie nutzen Schwachstellen aus, für die Patches verfügbar, aber nicht installiert sind. Aus diesem Grund empfiehlt Microsoft seinen Kunden, dem Patchen Priorität einzuräumen. Patches können potenzielle Fehler und Sicherheitslücken beheben und gleichzeitig die Effizienz von Betriebssystemen und darauf ausgeführten Softwareanwendungen steigern.

Am Patch-Dienstag werden die wichtigsten Sicherheitsupdates und Patches zur Behebung kritischer Fehler oder Schwachstellen veröffentlicht. Sogar Zero-Day-Schwachstellen werden während des Patch-Dienstags behoben, es sei denn, die Schwachstelle ist kritisch und wird stark ausgenutzt. In diesem Fall wird ein Out-of-Band-Sicherheitsupdate veröffentlicht, um diese bestimmte Schwachstelle zu beheben. Viele Exploit-Ereignisse treten kurz nach der Veröffentlichung eines Patches auf. Tatsächlich wird der Tag nach dem Patch-Dienstag oft als Exploit-Mittwoch bezeichnet. Angreifer haben einen Weg gefunden, Patches zurückzuentwickeln, um die zugrunde liegenden Schwachstellen zu identifizieren und dann Methoden zu entwickeln, um die Schwachstelle auszunutzen. Diese Gelegenheit nutzen sie dann, um Computer anzugreifen, auf denen die Patches des Vortages nicht aktualisiert wurden.

Es war der Mangel an Patches, der das ermöglichte WannaCry-Ransomware-Angriff Das geschah im Mai 2017 und verbreitete sich so schnell. Zwar hatte Microsoft bereits zuvor Patches veröffentlicht, um die WannaCry-Schwachstelle zu schließen, doch ein Großteil der Verbreitung erfolgte durch Organisationen, die den Patch nicht angewendet hatten oder ältere Windows-Systeme verwendeten, deren Lebensdauer überschritten war. Diese Patches sind für die Cybersicherheit eines Unternehmens von entscheidender Bedeutung, viele wurden jedoch nicht angewendet, weil der Betrieb nicht unterbrochen werden musste.

Woher wissen Sie, was veröffentlicht wird?

Microsoft veröffentlicht jeden zweiten Dienstag im Monat sicherheitsrelevante Updates für Windows (Desktop- und Server-Editionen), Office und verwandte Produkte. Der vierte Dienstag im Monat ist für Updates reserviert, die nichts mit der Sicherheit zu tun haben. Gelegentlich veröffentlicht Microsoft für kritische Sicherheitsprobleme ein sogenanntes „Out-of-Band“-Update (Update, das an einem Tag außerhalb der normalen Update-Routine am Dienstag veröffentlicht wird). Dies geschieht normalerweise nur, wenn ein Sicherheitsproblem äußerst schwerwiegend ist und aktiv ausgenutzt wird.

Patch Tuesday wird bei Microsoft auch als „B“-Release bezeichnet, um ihn von den „C“- und „D“-Releases zu unterscheiden, die in der dritten bzw. vierten Woche des Monats erscheinen. Die „C“- und „D“-Versionen enthalten nur nicht sicherheitsrelevante Updates und sollen Sichtbarkeit und Tests der geplanten nicht sicherheitsrelevanten Korrekturen ermöglichen, die für die Update Tuesday-Veröffentlichung im nächsten Monat vorgesehen sind. Diese Updates werden dann als Teil der „B“- oder Update Tuesday-Version des folgenden Monats ausgeliefert.

Jedes von Microsoft herausgegebene Sicherheitsupdate (sei es am Patch-Dienstag oder als Out-of-Band-Version) wird von begleitet Sicherheitshinweise und Bulletins die von der veröffentlicht werden Microsoft Security Response Center (MSRC) Ungefähr zur gleichen Zeit werden die Updates veröffentlicht. Das MSRC veröffentlicht diese Dokumente im Rahmen der laufenden Bemühungen, Benutzern beim Umgang mit Sicherheitsrisiken und beim Schutz ihrer Systeme zu helfen. Die Sicherheitshinweise und Bulletins bestehen aus den folgenden Schlüsselelementen:

• Zusammenfassungen der Sicherheitsbulletins : Bieten Sie einen allgemeinen Überblick über die Sicherheitsbulletins, die jeden Monat vom MSRC veröffentlicht werden. Die Zusammenfassungen enthalten Informationen, die Benutzern dabei helfen, monatliche Sicherheitsupdates zu priorisieren.
• Sicherheitsbulletins : Geben Sie eine Beschreibung der verfügbaren Abhilfemaßnahmen sowie Wissensdatenbankartikel (KB) an, die weitere Informationen zu den Updates enthalten.
• Sicherheitshinweise : Behandeln Sie Sicherheitsänderungen, die möglicherweise kein Sicherheitsbulletin erfordern, sich aber dennoch auf die Gesamtsicherheit der Benutzer auswirken können. Jedem Advisory liegt ein Microsoft-KB-Artikel bei, der zusätzliche Informationen zu Updates bereitstellt, die mit der Release des Advisory bereitgestellt werden.
• Hinweise zur Microsoft Vulnerability Research (MSVR). : Beschreiben Sie Sicherheitslücken, die Microsoft oder externe Forscher in Produkten von Drittanbietern entdeckt und die Microsoft den betroffenen Anbietern offengelegt hat.

Die Schwachstellen werden mithilfe eines Identifizierungssystems beschrieben, das als Common Vulnerabilities and Exposures (CVE) bekannt ist. CVEs wie CVE-2021-31184 Und CVE-2021-30540 sind eindeutige, allgemeine Kennungen für öffentlich bekannte Sicherheitslücken in der Informationssicherheit in öffentlich veröffentlichten Softwarepaketen. Die Einzelheiten jedes Patch-Bundles variieren je nach den behandelten Sicherheitsproblemen – Einzelheiten zu jedem Patch-Bundle finden Sie unter Microsofts MSRC-Sicherheitsupdate-Leitfaden .

Woher wissen Sie, welche Updates am kritischsten sind?

Nicht alle Schwachstellen sind im Hinblick auf den Schweregrad und das damit verbundene Risikoniveau gleich. Um Benutzern zu helfen, das mit jeder gepatchten Sicherheitslücke verbundene Risiko zu verstehen, hat Microsoft eine veröffentlicht Schweregradbewertungssystem Dabei wird jede Schwachstelle nach dem schlechtesten theoretischen Ergebnis bewertet, wenn diese Schwachstelle ausgenutzt würde. Die Schweregrade werden wie folgt beschrieben:

• Kritisch : Eine als „Kritisch“ gekennzeichnete Schwachstelle bedeutet, dass ihre Ausnutzung zur Codeausführung ohne Benutzerinteraktion führen könnte. Beispiele hierfür sind selbstverbreitende Malware wie Würmer. Microsoft empfiehlt Benutzern, kritische Updates sofort nach der Veröffentlichung zu installieren.
• Wichtig : Eine als „Wichtig“ gekennzeichnete Sicherheitslücke bedeutet, dass ihre Ausnutzung die Vertraulichkeit, Verfügbarkeit oder Integrität (CIA) von Benutzerdaten gefährden könnte. Beispiele hierfür sind Denial-of-Service-Angriffe wie Ransomware und andere Malware, die unsere Daten stehlen. Microsoft empfiehlt Benutzern, wichtige Updates zum frühestmöglichen Zeitpunkt anzuwenden.
• Mäßig : Eine als „Moderat“ gekennzeichnete Schwachstelle bedeutet, dass ihre Auswirkungen durch Faktoren wie Authentifizierungsanforderungen oder die Anwendbarkeit nur auf nicht standardmäßige Konfigurationen erheblich gemindert werden. Microsoft empfiehlt Benutzern, die Anwendung des Sicherheitsupdates in Betracht zu ziehen.
• Niedrig : Eine als „Niedrig“ gekennzeichnete Schwachstelle bedeutet, dass ihre Auswirkung durch die Eigenschaften der betroffenen Komponente gemindert wird. Diese Art von Schwachstelle erfordert normalerweise entweder umfangreiche Interaktion oder eine ungewöhnliche Konfiguration. Microsoft empfiehlt Benutzern, zu prüfen, ob das Sicherheitsupdate auf den betroffenen Systemen installiert werden soll.

Die Bewertung des Schweregrads einer Schwachstelle unterscheidet sich von der Wahrscheinlichkeit ihres Auftretens. Zur Beurteilung der Eintrittswahrscheinlichkeit wird die Microsoft Exploitability Index Bietet zusätzliche Informationen zur Wahrscheinlichkeit, dass eine in einem Microsoft-Sicherheitsupdate behobene Sicherheitslücke ausgenutzt wird. Microsoft empfiehlt Systemadministratoren, ihre eigenen Umgebungen zu bewerten und Entscheidungen darüber zu treffen, welche Updates erforderlich sind, um ihre Systeme zu schützen.

Risikofaktoren und mögliche Schadensbegrenzung

So wichtig die Anwendung von Patches am Patch Tuesday für den allgemeinen Zustand von Computersystemen und Servern ist, sie ist nicht ohne Herausforderungen und Risiken – insbesondere für Unternehmen mit einer großen Anzahl von Windows-Systemen und benutzerdefinierten Anwendungen. Viele Unternehmen lehnen es aufgrund der damit verbundenen Risiken ab, Patches an Patch-Dienstags anzuwenden.

Patch-Tuesday-Updates bereiten den meisten Windows-Administratoren Kopfzerbrechen, da sie das Potenzial haben, weitere Probleme und Komplikationen zu verursachen. Die Patches sind teilweise nicht mit Software von Drittanbietern oder sogar mit Microsoft-eigener Software kompatibel, was zu Systemstörungen und Ausfallzeiten führen kann. Wenn man sich die heutige Bedrohungslandschaft ansieht, haben Zero-Day-Angriffe in den letzten Jahren sowohl an Geschwindigkeit als auch an Raffinesse exponentiell zugenommen, wie die etablierten „Exploit Wednesday“-Angriffe belegen.

Laut Christopher Budd (ehemaliger Mitarbeiter des Microsoft Security Response Center) „gab es viel Kritik, als Microsoft begann, sich von dem Modell „Versand, wenn bereit“ zu lösen, dass wir Menschen länger als nötig für Angriffe angreifbar machten.“ – Vor allem, wenn es eine Zero-Day-Situation gibt und die Leute nach einer „Out-of-Band“-Veröffentlichung schreien. „In solchen Situationen kollidieren die Vorteile eines strukturierten Prozesses mit dem Problem, dass eine Schwachstelle länger angreifbar ist.“ Dies führt in der Regel zu einem längeren Gefährdungsfenster – dem Zeitraum zwischen der Veröffentlichung einer Schwachstelle und der Verfügbarkeit eines Patches.

Patch Tuesday kann sich auch auf die Internetbandbreite einer Organisation auswirken, wenn er nicht ordnungsgemäß gehandhabt wird. Dies macht sich besonders in Umgebungen bemerkbar, in denen viele Maschinen Aktualisierungen diskret über eine gemeinsame, bandbreitenbeschränkte Verbindung abrufen, wie sie beispielsweise in vielen Arbeitsgruppennetzwerken oder in einigen kleinen bis mittleren Unternehmen zu finden ist. Wie gehen wir also mit diesen Risikofaktoren um?

Als Windows-Administrator empfiehlt es sich in erster Linie, Patches in einer Labor- oder Sandbox-Umgebung zu testen und sicherzustellen, dass sie mit Ihren Systemen kompatibel sind, bevor Sie sie auf Produktionssysteme anwenden. Darüber hinaus stellt Microsoft ein Tool namens zur Verfügung Windows Server Update Services (WSUS) Dies ermöglicht einen kontrollierten Rollout von Patches. Dies erleichtert die Verwaltung der Bereitstellung von Patches in Ihrer Test- und Produktionsumgebung.

Um die Auswirkungen auf die Internetbandbreite einer Organisation zu minimieren, kann das WSUS-Tool zur lokalen Verteilung der Updates verwendet werden. Dadurch wird der Bandbreitenbedarf für das Patchen einer großen Anzahl von Computern erheblich reduziert. Zusätzlich zu WSUS können Windows 10-Computer Updates im Peer-to-Peer-Verfahren mit anderen Windows 10-Computern im lokalen Netzwerk oder sogar mit Windows 10-Computern im Internet „teilen“. Dies trägt dazu bei, dass Updates schneller verteilt werden und gleichzeitig die Nutzung für Netzwerke mit einer getakteten Verbindung reduziert wird.