Insights for Better Patch Management

Thema

Bei der Erstellung dieses Leitfadens haben wir mit NinjaOne-Partnern zusammengearbeitet, um zu verstehen, wie diese die Funktionen der Patch-Verwaltung von NinjaOne nutzen, und ihr Fachwissen mit unserem eigenen kombiniert. In diesem Leitfaden geben wir diese Erkenntnisse weiter, damit neue Partner die Patch-Verwaltung optimal nutzen können.

Umgebung

NinjaOne-Plattform

Patch-Verwaltung

Beschreibung

• So richten NinjaOne-Nutzer Windows-Patches ein
• Scan-Pläne
• Update-Pläne
• Verpasste Zeitpläne
• Patch-Genehmigungen
• Gewöhnliche Patch-Profile
• Verhalten beim Neustart

So richten NinjaOne-Nutzer Windows-Patches ein

Das Patch-Management ist eine der wichtigsten Aufgaben eines IT-Teams. Unternehmen wenden erhebliche Ressourcen auf, um ihre Infrastruktur auf dem neuesten Stand zu halten, doch mehr als die Hälfte aller Sicherheitsverletzungen hätte durch die Installation verfügbarer Software- und Betriebssystem-Patches verhindert werden können.

Neben den Auswirkungen auf die Sicherheit stellt eine effektive Patch-Strategie sicher, dass Endbenutzer über die aktuellste, funktionsreiche Software verfügen, mit der sie ihre Arbeit erledigen können.

Wenn jedoch selbst einige der größten und finanzstärksten Organisationen der Welt Schwierigkeiten mit dem Patch-Management haben, welche Chancen haben dann kleine und mittlere Unternehmen mit begrenztem IT-Support? Ohne die richtigen Tools ist der Prozess zeitaufwendig, kompliziert, für Endbenutzer störend und fehleranfällig.

Patch-Management-Software, wie sie beispielsweise in NinjaOne enthalten ist, bietet Anwendern einen vollständigen, zentralisierten Überblick über ihre Patch-Compliance-Rate und automatisiert die Identifizierung, das Herunterladen und die Verteilung von Patches auf allen von Ihnen verwalteten Geräten.

NinjaOne ermöglicht Ihnen eine detaillierte Steuerung über Ihren Patch-Genehmigungsprozess, verbessert Ihre Erfolgsquote beim ersten Patch-Durchlauf und reduziert den Zeitaufwand Ihrer Techniker für das Patching.

Scan-Pläne

Mit den Richtlinien von NinjaOne können Benutzer Patch-Scans unabhängig vom Aktualisierungsprozess planen. Der Scan identifiziert alle noch nicht installierten Patches auf einem Gerät und sortiert sie anhand der richtlinienbasierten Genehmigungseinstellungen in die Kategorien „Genehmigt“, „Ausstehend“ oder „Abgelehnt“.

Indem Sie den Scan Stunden oder Tage vor der Durchführung eines Updates durchführen, können Sie den Genehmigungsstatus eines Patches manuell anpassen, was der Update-Prozess dann berücksichtigt. Dies ist äußerst hilfreich für manuell genehmigte Patches oder um problematische Patches zu vermeiden, die normalerweise automatisch genehmigt würden.

Wann sollten Scans geplant werden?

Wochentag

Die meisten NinjaOne-Partner planen ihre Patch-Scans einmal pro Woche ein. Freitags finden Patch-Scans mit Abstand am häufigsten statt. Die nächsthäufigste Option ist die tägliche Durchführung eines Scans. Tägliche Patch-Scans beanspruchen zwar mehr Ressourcen, bieten den Partnern jedoch ein Maximum an Zeit, um Ad-hoc-Änderungen an Patches vorzunehmen.

Tageszeit

Die häufigste Zeit für Patch-Scans liegt zwischen 17:00 und 18:00 Uhr (Gerätezeit). Viele Benutzer planen Scans nach 18:00 Uhr, um Beeinträchtigungen für Endbenutzer zu vermeiden, die länger arbeiten. Obwohl Patch-Scans nicht ressourcenintensiv sind, werden die meisten Scans außerhalb der üblichen Arbeitszeiten geplant, um Beeinträchtigungen für Endbenutzer zu vermeiden. Benutzer, die Scans während der Arbeitszeiten planen, tun dies möglicherweise, um die größtmögliche Anzahl an online befindlichen Geräten zu erfassen.

Scan-Dauer

Die meisten NinjaOne-Benutzer legen keine Scan-Dauer fest, sodass Scans so lange dauern können, wie nötig. Für diejenigen, die die Dauer begrenzen, sind die gängigsten Optionen 9 Stunden, 6 Stunden und 3 Stunden. Scan-Dauern können verwendet werden, wenn Sie eine neue Infrastruktur übernehmen oder wenn Benutzer aus mehreren Zeitzonen auf einen Server zugreifen müssen und das Patch-Fenster kürzer sein muss, um die Auswirkungen auf die Endnutzer zu minimieren.

Update-Pläne

Der NinjaOne-Aktualisierungsplan sucht zunächst nach verfügbaren Patches, lädt dann sowohl neu entdeckte als auch bereits durch einen Patch-Scan identifizierte Patches herunter und anwendet sie – basierend auf den Genehmigungen der Richtlinie und etwaigen geltenden Überschreibungen. Anschließend führt das NinjaOne-Patch-Management einen zusätzlichen Scan durch, um den Vorgang abzuschließen.

Der durch die Richtlinie festgelegte Genehmigungsstatus kann für einzelne Geräte oder für ganze Richtlinien überschrieben werden, sofern dies bei einem Scan vor der Anwendung erkannt wird.

Sobald während eines Update-Zyklus versucht wurde, einen Patch zu installieren, wird dieser im OS-Patch-Dashboard unter „Installiert“ oder „Fehlgeschlagen“ sortiert.

Wann sollten Updates geplant werden?

Wochentag

Patches werden gewöhnlich am Wochenende angewendet, um Störungen für die Endbenutzer zu vermeiden. Auch freitags – in der Regel nach Feierabend – ist dies gewöhnlich. Nach der anfänglichen Geräteeinbindung wenden viele Benutzer Patches zudem täglich an, um die Zeit zu minimieren, in der Endpunkte angreifbar sind.

Tageszeit

Die gewöhnlichste Zeit für den Start des Patch-Installationsprozesses liegt zwischen 17:00 und 18:00 Uhr (Gerätezeit). Viele Benutzer planen ihre Updates nach 18:00 Uhr, um Beeinträchtigungen für Endnutzer zu vermeiden, die länger arbeiten. Da die Installation von Patches ressourcenintensiver ist und oft einen Neustart erfordert, werden die meisten Updates außerhalb der Arbeitszeiten geplant.

Dauer des Updates

Die meisten NinjaOne-Nutzer legen keine Dauer für die Patch-Anwendung fest, sodass Updates so lange dauern können, wie nötig. Diejenigen, die die Dauer begrenzen, beschränken Updates meist auf 4 Stunden oder weniger.

Verpasste Zeitpläne

Mit NinjaOne können Nutzer versäumte Scans oder Updates nachholen. Dies tritt gewöhnlich auf, wenn das Gerät aus ist, wenn der Scan oder das Update beginnen soll.

Scan- und Update-Optionen können separat aktiviert werden.

Versäumte Scans und Updates werden ausgeführt, sobald der NinjaOne-Agent sich beim Server meldet.

Nachholen nicht vorhandener Scans und Updates

Verpasste Scans

Fast die Hälfte der NinjaOne-Nutzer holt versäumte Patch-Scans automatisch nach. Diese Funktion ist besonders hilfreich für diejenigen, die Scans normalerweise außerhalb der Betriebsstunden durchführen, wenn möglicherweise mehr Geräte ausgeschaltet sind.

Verpasste Updates

Das Nachholen verpasster Updates ist seltener als das Nachholen von Scans. Außerplanmäßige Updates stören Endbenutzer eher, da sie Ressourcen beanspruchen oder einen Neustart des Geräts nach dem Update erfordern.

Patch-Genehmigungen

Mit NinjaOne können Sie Genehmigungsworkflows für jede der vier Schweregrade von Microsoft-Sicherheitsupdates und die sieben Microsoft-Update-Kategorien konfigurieren. Je nach Patch-Kategorie können Sie Patches automatisch genehmigen, automatisch ablehnen oder manuell genehmigen bzw. ablehnen.

In den nächsten Abschnitten teilen wir Ihnen die gängigsten Patch-Profile mit, die NinjaOne-Nutzer auf ihren Geräten anwenden.

Genehmigungen für Sicherheitsupdate

Update-Kategorien

Gewöhnliche Patch-Profile

Wählen Sie einen Profiltyp aus, um mehr zu erfahren: 

• Standard-Patching-Profil
• Profil für vollständige Automatisierung der Genehmigungen
• Profil mit niedriger Risikoausprägung und ausgewogener Automatisierung
• Profil mit niedrigem Risiko und geringer Automatisierung
• Vollständiges manuelles Profil

Standard-Patching-Profil

Viele unserer Partner nutzen das Standard-Patching-Profil von NinjaOne, das darauf ausgerichtet ist, zeitsparende Automatisierungen und Risikominderung in Einklang zu bringen.

Nahezu alle Genehmigungen in diesem Profil erfolgen automatisiert. Wichtige Updates werden genehmigt, optionale Updates hingegen abgelehnt, um die Zeitersparnis zu maximieren. Optionale Patches und solche mit niedriger Priorität werden automatisch abgelehnt, um den Automatisierungsgrad hoch zu halten und gleichzeitig operative Risiken zu vermeiden.

Treiber- und Feature Updates sind in diesem Profil deaktiviert, da diese Arten von Updates eher zu Problemen für Endbenutzer führen können.

Profil für vollständige Automatisierung der Genehmigungen

Das Profil „Vollständige Automatisierung“ ist das am zweithäufigsten von NinjaOne-Partnern verwendete Profil. Dieses Profil genehmigt automatisch alle Microsoft-Patches.

Dieses Profil stellt sicher, dass alle mit der Richtlinie verknüpften Geräte stets auf dem neuesten Stand sind, setzt die Geräte jedoch aufgrund problematischer Patches einem gewissen Betriebsrisiko aus.

Durch die Kombination dieses Profils mit regelmäßigen Patch-Scans können Techniker Betriebsrisiken vermeiden, indem sie problematische Patches ablehnen, sobald diese auftreten und vor der Anwendung.

Durch die Kombination dieses Profils mit Testgeräten können Sie zudem die Auswirkungen des Patching-Vorgangs beobachten, bevor Sie diesen auf Produktionsrechner ausrollen.

Niedriges, ausgewogenes Profil der Automatisierung

Dieses Profil legt den Schwerpunkt auf das Erreichen einer 100-prozentigen Patch-Compliance und versucht gleichzeitig, das Betriebsrisiko zu minimieren, indem es Automatisierungen und manuelle Genehmigungen ausgewogen kombiniert.

Dieses Profil erfordert mehr manuelle Eingriffe, um eine vollständige Patch-Compliance zu erreichen, bietet jedoch den zusätzlichen Vorteil, dass problematische Patches, die für die Sicherheit oder die Funktionalität eines Geräts nicht kritisch sind, vermieden werden können.

Um die Vorteile dieses Profils nutzen zu können, müssen Techniker regelmäßig manuelle Patches überprüfen und genehmigen oder verweigern.

Profil mit niedrigem Risiko und niedrigem Grad an Automatisierungen

Auch dieses Profil sorgt für ein ausgewogenes Verhältnis zwischen Automatisierungen und manuellen Eingriffen.

In diesem Fall werden optionale Patches automatisch abgelehnt, während Sicherheits- und wichtige Updates eine manuelle Genehmigung erfordern.

Dieses Profil zielt darauf ab, weniger wichtige Patches zu automatisieren und gleichzeitig die betrieblichen Risiken durch problematische Patches zu minimieren.

NinjaOne-Partner, die dieses Profil verwenden, müssen ausstehende Patches regulär überprüfen und genehmigen, um die Sicherheit der Endpunkte zu gewährleisten.

Vollständiges manuelles Profil

Das Profil für die volle manuelle Patch-Verwaltung ermöglicht es Technikern, vollständig zu steuern, welche Patches angewendet werden und welche nicht.

Jede für ein Gerät verfügbare Patch wird als „ausstehend“ aufgeführt, bis er genehmigt oder verweigert wird.

Obwohl dieses Profil immer noch weitaus effizienter ist als herkömmliches Patching, ist es das arbeitsintensivste Patching-Profil in NinjaOne. Es könnte Nutzer sowohl vor Sicherheitsrisiken als auch vor Betriebsrisiken schützen, wenn Patches nicht schnell genug angewendet werden.

Nutzer, die dieses Profil verwenden, sollten über Standardarbeitsanweisungen (SOPs) verfügen, um ihren Patch-Rhythmus regulär zu überprüfen.

Verhalten beim Neustart

Um Windows-Updates vollständig abzuschließen, müssen Geräte häufig neu gestartet werden.

Endbenutzer dazu zu bewegen, ihre Geräte neu zu starten, ist nahezu unmöglich. Daher ermöglicht NinjaOne Ihnen, diesen Vorgang zu automatisieren.

NinjaOne-Richtlinien erlauben die Anwendung unterschiedlicher Aktionen und Zeitpläne, je nachdem, ob ein Benutzer angemeldet ist oder nicht.

• Nutzer angemeldet
• Benutzer nicht angemeldet

Benutzer angemeldet

Neustart-Aktionen

Die meisten NinjaOne-Benutzer werden keine Richtlinien verwenden, um nach der Installation von Patches einen Neustart bei Endbenutzern zu erzwingen; stattdessen werden sie den Benutzer auffordern, den Rechner neu zu starten. Viele Richtlinien führen überhaupt keinen automatischen Neustart durch. Ein kleiner Prozentsatz der Richtlinien erzwingt jedoch einen Neustart.

Neustart / Timeout für Aufforderung

Der gewöhnlichste Zeitraum zwischen den Aufforderungen, zwischen Aufforderung und Neustart oder zwischen Abschluss der Patch-Installation und Neustart beträgt 5 Minuten. Je aggressiver die Neustart-Aktion wird, desto kürzer wird auch der Zeitrahmen.

Benutzer nicht angemeldet

Neustart-Aktionen

Die meisten NinjaOne-Richtlinien führen nach der Installation von Patches einen planmäßigen Neustart der Geräte durch. Da kein Benutzer angemeldet ist, kommen sofortige Neustarts häufiger vor als bei angemeldeten Benutzern.

Neustart Zeitplan (wöchentlich)

Die 12 % der Richtlinien, die wöchentlich einen Neustart planen, führen diesen an folgenden Tagen durch:

Neustart Zeitplan (täglich)

Die 85 % der Richtlinien, die einen täglichen Neustart vorsehen, führen diesen täglich zu folgenden Zeiten durch: