隨著互聯網的逐步普及和技術的不斷發展，黑客和惡意攻擊者的技術水平也快速提高。一個IT系統的漏洞從被發現到攻擊代碼實現，再到蠕蟲病毒產生，幾年前可能需要幾個月甚至半年多，而現在幾周甚至一天就可以完成。在微軟發布MS04-011公告時，NGS的David在看到公告的8分鐘后寫出了攻擊代碼。因此及時、有效的補丁管理對企業信息系統的正常、穩定運行至關重要。

盡管越來越多的企業已經認識到及時打好補丁的重要性，但面對日益增多的補丁，某些企業及其員工在部署補丁管理的過程中往往容易陷入種種誤區；盡管有些企業已經安裝補丁分發工具，但是由于缺乏有效的補丁管理的保障機制和技術手段，它們仍然無法控制IT架構內的服務器和客戶端的補丁情況，而且無法預料升級補丁對IT系統帶來的風險是什么。

三大誤區

現在，越來越多的企業已經認識到及時打好補丁的重要性。但是，由于某些企業缺乏有效的制度保障和補丁管理的實施流程，而且企業信息化系統的多樣性導致補丁的種類和數量繁多，致使它們在實施補丁管理的時候往往容易走向極端，陷入種種誤區。

誤區１：打補丁就找網管

對于一些網絡管理員來說，多而繁的補丁程序，已經成為他們的工作負擔。也許有人認為打補丁并不是一件難度很大的事情，登錄相關網站，按幾次確認鍵就很容易完成了。但是，對管理員來說，每一次發布新的補丁，就需要登錄相關網站，確定一下補丁的類別與等級；每打一次補丁，就得加一次班，監督安裝、確認、檢查。有時候，即便打了補丁，也有可能被攻擊。

此外，如果企業想要改變系統配置，就得重新安裝補丁。現如今，打補丁似乎已經喧賓奪主，成為大部分系統管理員最重要的日常工作。

而事實上，安全問題是關乎企業所有員工的事情，如果一個員工的電腦出現安全問題，很可能將導致整個企業的IT系統癱瘓。企業全體員工的補丁管理意識很重要，這種意識代表的是公司從上到下對系統安全問題的重視，同時也意味著良好的安全習慣。

誤區２：補丁無須測試

企業對所打補丁通常不進行測試，照單全收。這種對待補丁管理的寧多勿缺的態度，通常會產生兩個問題：一個是無謂的部署補丁會消耗大量的資源，另一個是部署補丁后反而引發新的問題。第一個問題很好解決，企業只要將補丁管理的機械式的重復行動抽出來自動化就可以了，代價是需要一套自動化的補丁部署工具。第二個問題就很麻煩，因為安裝的補丁很有可能導致企業現有業務系統的不穩定或效率下降。由于廠商資源的局限性，廠商在發布補丁程序前不可能針對業務系統所有的應用環境都進行過針對性測試，因此難免會遇到新安裝的補丁程序與現有系統中的某些應用軟件之間產生沖突的問題。

此外，新安裝的補丁程序可能會修改業務系統中的一些參數，從而導致企業面臨法規遵從風險。例如，某項規定要求關閉企業業務系統的文件共享功能，但在升級補丁程序后，可能重新開啟了該功能，這就給企業留下了嚴重的法律法規遵從風險。

誤區３：打了補丁就安全

盡管補丁管理是ＩＴ系統安全策略的一個重要方面，但是補丁管理并非唯一途徑。對于企業而言，在一個選定的計算機群組中進行的補丁管理和更新往往將ＩＴ員工的注意力從保護企業ＩＴ 系統的整體安全轉移到單純依靠補丁上來。而且補丁更新對于那種野蠻攻擊（通過發送大量的訪問請求的攻擊方式，使企業的ＩＴ系統對其他請求無法做出響應）是無能為力的。

對于大多數野蠻攻擊來說，企業必須為幾乎所有的計算機更新補丁程序才能夠避免較為嚴重的后果。大多數通過更新補丁來防范風險的做法往往要求覆蓋到幾乎８０％的計算機系統，這個比例幾乎相當于對大多數野蠻攻擊，不作任何補丁更新的時候，該攻擊所能夠波及的計算機系統。

因此，企業應該重新考慮單靠打補丁來確保ＩＴ系統安全的問題。對于使用協同控制的安全方法就已經防范到的漏洞來說，企業完全沒有必要更新那些本來不需要的補丁，從而避免因部署補丁所帶來的資源浪費和未知的風險。

如果企業沒有詳細的補丁升級流程，無論其采用的補丁分發工具多么先進，還是會給企業的ＩＴ系統帶來麻煩。

四個典型問題

梁林

對很多企業來說，它們所面臨的最大問題并不是所部署的自動化補丁程序分發方案本身，而目前市場上能夠找到的自動化補丁程序分發方案，也大都能夠比較好地執行補丁程序的下載、排序和分發工作。它們面臨的最大問題是它們往往沒有一個詳細制定的補丁升級流程，也無法獲知部署補丁分發方案能夠給企業帶來多少投資回報。補丁升級流程的缺失引發了很多問題。

問題１：補丁方案冗余低效

這是絕大部分企業都面臨的問題。企業的IT架構中往往存在大量來自不同廠商的業務系統和軟件產品。此外，不斷發展的業務和外部法律法規要求不斷部署新的解決方案。面對這些來自不同廠商的業務系統，企業通常同時采用多套補丁分發方案。

例如：在一個中等規模的制造業企業中，部署了以Red Hat Linux為操作系統的多臺應用服務器，這些服務器上又運行著基于Java技術的ERP系統，企業內部網絡的構建采用了Microsoft的活動目錄和Windows操作系統，還在設計部門的客戶端上部署了一套網絡版的CAD軟件，同時，該企業內部網絡中的所有基于Windows的系統都安裝了網絡版的Symantec防病毒軟件。因此，為了盡可能及時有效地將補丁程序分發到這些主要的業務系統上，企業的IT部門就需要制定多套補丁升級方案：Red Hat Linux服務器使用Red Hat提供的RHN補丁升級服務，ERP系統采取廠商現場維護的方法進行補丁升級，設計部門客戶端上的CAD系統則采取下載補丁離線升級的方式。企業的IT部門還在內部網絡中專門架設了一臺Microsoft WSUS服務器來提供所有Windows 系統的補丁分發任務，同時，內部網絡中還運行一臺Symantec防病毒的管理及升級服務器。

上述企業同時使用多套補丁分發方案，盡管能夠滿足當前的IT環境的補丁升級需求，但多套補丁分發方案往往很難整合到一個統一的企業補丁管理流程中，從而導致企業很難對現有補丁分發方案的效能進行有效提升。隨著企業業務的發展和越來越多新系統加入到企業的IT架構中，多套補丁分發方案的使用不單會使企業的IT環境變得更為復雜和難于維護，還會使企業用于IT架構維護和補丁管理的開支不斷增加，企業IT部門的負擔也越來越重。

如果企業在安全策略的層面上重新制定一個更為全面，操作等級也更高的統一補丁管理策略，多套補丁分發方案并存導致的各種弊端就能盡可能地得到減小和消除。

問題２：補丁記錄缺失

企業IT部門用手工或自動化補丁分發工具對業務系統安裝補丁程序后，往往沒有對是否安裝成功進行記錄。盡管目前針對Windows操作系統的自動化補丁分發方案大都帶有補丁程序安裝結果的記錄功能，但從整個企業的層次上看，企業IT架構中的大部分業務系統和軟件產品的補丁安裝記錄都處于空白狀態，只有少數的關鍵服務器或軟件產品有少量的補丁程序安裝記錄。

企業的IT部門時常會遇到與下面的案例類似的情況：企業內部網絡中已經部署了一套自動化的補丁分發方案Microsoft WSUS，每到Microsoft發布定期或臨時性的補丁程序時，該補丁分發方案都會自動地從Microsoft的補丁發布站點上下載補丁，進行分類后向企業內部網絡中的相應軟件系統推送補丁程序。這個補丁流程從部署好開始，就一直很平穩地執行，沒有出過什么大的問題。直到有一天，企業的IT部門接到來自其他各個部門的用戶的大量求助電話，內容都是關于自己的系統自動安裝最新的補丁之后，出現系統反應緩慢、不斷反復重新啟動、開機無法登入系統等問題。IT部門花費了大量時間去用戶現場進行技術支持，都無法解決用戶的問題，最后只能在WSUS服務器上禁用了該補丁的自動分發功能，并在受影響的用戶的系統上卸載已升級的補丁程序。事后發現，這是由多個月前某個補丁程序因為軟件沖突而安裝失敗，而現在的補丁程序又需要之前補丁程序的支持，所以現在的補丁程序反復嘗試安裝之前的補丁程序，最終導致用戶的系統停止響應。

顯然，如果企業IT部門能夠實時地掌握IT架構中系統的補丁程序的安裝結果，上述案例中出現的問題是完全可以避免的。

問題３：補丁的實施風險高

企業在使用手工或自動化的補丁分發方案時，往往沒有事先對補丁程序與現有的IT架構的兼容性進行過測試，因此，對某些關鍵系統安裝補丁程序往往是一件高風險的行為。

例如，在電子商務企業中，保存用戶及交易數據的后臺數據庫系統是IT架構中最為核心的組成部分，該后臺數據庫系統的服務延時和停機將對該企業的業務和商業信譽造成嚴重的損失。如果生產該數據庫系統的廠商推出了新的補丁程序，企業的IT部門是否應該立刻對該數據庫系統進行升級？這對IT部門來說是一件很難決定的事情——如果立刻進行補丁程序的安裝，很有可能遇到軟件兼容性問題，導致該數據庫系統的服務延時、停機和眾多高價值數據丟失；如果不立刻進行補丁程序的安裝，或者直接禁用補丁程序的安裝，盡管能夠保證企業業務的持續進行，但卻又有日后被惡意軟件或非法用戶利用理應由補丁程序修補上的漏洞侵入系統的危險。因此，權衡利弊，企業IT部門往往先安裝補丁程序，這就導致企業業務和高價值數據在補丁程序安裝過程中面臨了很高的風險。

如果企業IT部門在分發和安裝補丁程序之前，能夠掌握補丁程序和現有IT架構的兼容性情況，那么，在關鍵的業務系統上安裝補丁程序就不是件隱含很高的業務中斷和數據丟失風險、又令人望而生畏的任務了。當然，各個企業IT架構的組成以及IT部門的技術能力都各不相同，要求企業都自行架設補丁程序的測試環境是不現實的，但企業也能夠采取小規模地在生產環境試用補丁程序、委托第三方機構進行預先測試等變通的方法來評估補丁程序的兼容性，從而對在關鍵系統上應用新的補丁程序更有把握，并減少和消除新補丁程序對業務和數據造成的威脅。

問題４：沒有補丁撤銷策略

企業在制定自己的補丁升級策略時，通常更為關注如何快速地獲得關鍵信息系統的補丁程序，如何有效地將補丁程序分發到每一個相關系統中，如何在不中斷現有業務和不過多影響用戶使用的前提下安裝補丁程序。這種補丁升級策略忽視了一個重要的點，即如果補丁程序在安裝之后，現有業務系統的服務響應發生延時或中斷，企業的IT部門應該如何來解決？

這種情況出現的概率并不小，如在去年初Microsoft推出Windows Server 2003的SP2升級補丁包，有些用戶使用之后反映安裝SP2之后，部份原來能夠流暢執行的業務應用的響應速度大大降低，在某些關鍵系統上還出現系統頻繁重啟的現象。如果企業在制定補丁升級策略的時候，沒有考慮到補丁程序在使用中出現問題的可能性，如何進行撤銷操作，也沒有做好相應的準備，將會對企業的業務和高價值數據造成難以估量的損失，收拾這樣的爛攤子也將是企業IT部門的噩夢。

企業還必須意識到，補丁程序的撤銷策略并非簡單地卸載有問題的補丁程序。由于卸載了修補某些漏洞的有問題的補丁程序，相當于在系統中留下了一個惡意軟件或非法用戶能夠利用的嚴重漏洞。企業要部署對應的安全配置或其他安全軟件，來保護系統不受利用這些漏洞的攻擊行為的威脅。此外，企業還應該對該補丁程序的安裝結果進行詳細的文檔記錄，并在補丁自動分發方案上禁止分發有問題的補丁程序，防止日后不知情的用戶或意外的自動安裝導致業務中斷的情況再一次出現。

補丁管理與系統管理、監控、備份和配置管理一樣，對系統安全至關重要。