بیشتر نفوذهای موفق از آسیب‌پذیری‌هایی استفاده می‌کنند که وصله‌شان مدت‌ها پیش منتشر شده بود. در طرف دیگر، مدیرانی هستند که از ترس از کار افتادن نرم‌افزار مالی، سال‌ها سرورها را به‌روز نکرده‌اند. مدیریت به‌روزرسانی یعنی یک روال منظم که هم سیستم‌ها را به‌موقع امن کند و هم خطر قطعی را کنترل کند.
قدم اول: بدانید چه چیزی دارید
نمی‌شود چیزی را به‌روز کرد که در فهرست نیست. فهرستی از همه دارایی‌ها تهیه کنید:
- سیستم‌عامل رایانه‌ها و سرورها، همراه با نسخه
- نرم‌افزارهای نصب‌شده؛ مرورگرها، Office، نرم‌افزارهای فشرده‌سازی و PDF
- میزبان‌های مجازی‌سازی مثل ESXi، Hyper-V و Proxmox
- فریم‌ور فایروال، سوییچ، اکسس‌پوینت، NAS و ماژول‌های مدیریت سرور مثل iLO
- نرم‌افزارهای کاربردی مثل نرم‌افزار مالی، مرکز تلفن و سرور ایمیل
در همین فهرست، سیستم‌هایی را که پشتیبانی سازنده‌شان تمام شده علامت بزنید. برای مثال پشتیبانی Windows Server 2012 R2 در سال ۲۰۲۳ و Windows 10 در سال ۲۰۲۵ به پایان رسیده است؛ این سیستم‌ها دیگر به‌روزرسانی امنیتی عادی دریافت نمی‌کنند و باید برای جایگزینی یا جداسازی‌شان برنامه داشت.
قدم دوم: اولویت‌بندی
همه به‌روزرسانی‌ها فوریت یکسانی ندارند. اولویت را بر اساس دو چیز تعیین کنید: شدت آسیب‌پذیری و میزان در معرض بودن سیستم.
- فوری: آسیب‌پذیری‌هایی که سازنده یا منابع امنیتی معتبر اعلام می‌کنند در حال سوءاستفاده فعال‌اند، مخصوصاً روی فایروال، VPN و سرورهای در دسترس از اینترنت. این‌ها باید در چند روز، نه چند هفته، نصب شوند.
- مهم: به‌روزرسانی‌های امنیتی ماهانه سیستم‌عامل و نرم‌افزارهای پرکاربرد.
- عادی: به‌روزرسانی‌های غیرامنیتی و قابلیت‌های جدید که در چرخه عادی برنامه‌ریزی می‌شوند.
قدم سوم: یک چرخه ماهانه ثابت
مایکروسافت به‌روزرسانی‌های امنیتی را معمولاً در دومین سه‌شنبه هر ماه منتشر می‌کند. یک چرخه ساده بر همین اساس:
- گروه آزمایشی: چند رایانه و یک سرور کم‌اهمیت، در چند روز اول به‌روز می‌شوند.
- کاربران: اگر مشکلی گزارش نشد، بقیه رایانه‌ها به‌روز می‌شوند.
- سرورها: در پنجره زمانی تعیین‌شده، مثلاً عصر یا آخر هفته، و پس از اطمینان از وجود بکاپ سالم.
- بررسی: پس از ری‌استارت، سرویس‌های اصلی و نرم‌افزارهای کاری آزمایش می‌شوند.
اسنپ‌شات ماشین مجازی پیش از به‌روزرسانی برای برگشت سریع مفید است، اما جایگزین بکاپ نیست و باید پس از اطمینان از سلامت سرور حذف شود؛ اسنپ‌شاتی که هفته‌ها بماند، خودش مشکل‌ساز می‌شود.
ابزارها
برای رایانه‌های ویندوزی می‌توان تنظیمات Windows Update را با Group Policy به‌صورت مرکزی کنترل کرد. WSUS ابزار قدیمی و رایج مایکروسافت برای توزیع داخلی به‌روزرسانی‌هاست؛ توجه داشته باشید مایکروسافت آن را منسوخ (Deprecated) اعلام کرده و در برنامه‌ریزی بلندمدت باید جایگزینش را در نظر گرفت. برای نرم‌افزارهای غیرمایکروسافتی، ابزارهای مدیریت نقطه پایانی کمک می‌کنند. فریم‌ور تجهیزات شبکه و سرورها معمولاً دستی به‌روز می‌شود، پس باید در تقویم کاری ثبت شود تا فراموش نشود.
اشتباهات رایج
- به‌روزرسانی فقط ویندوز و فراموش کردن فایروال، NAS و میزبان مجازی‌سازی
- خاموش کردن کامل به‌روزرسانی خودکار بدون جایگزین منظم
- نصب به‌روزرسانی روی همه سرورها در یک شب و بدون گروه آزمایشی
- سیستم‌هایی که به‌روزرسانی را دریافت کرده‌اند اما ماه‌هاست ری‌استارت نشده‌اند و عملاً وصله اعمال نشده است
- نبود گزارش؛ کسی نمی‌داند کدام سیستم عقب مانده است
چک‌لیست
- فهرست کامل دارایی‌ها با نسخه نرم‌افزار و فریم‌ور وجود دارد.
- سیستم‌های پایان پشتیبانی شناسایی شده‌اند و برایشان برنامه هست.
- چرخه ماهانه با گروه آزمایشی تعریف شده است.
- برای آسیب‌پذیری‌های در حال سوءاستفاده، روال فوری وجود دارد.
- پیش از به‌روزرسانی سرورها، بکاپ بررسی می‌شود.
- هر ماه گزارش وضعیت به‌روزرسانی تهیه می‌شود.
کارشناسان ITPlus724 می‌توانند روال به‌روزرسانی سرورها، رایانه‌ها و تجهیزات شبکه شما را طراحی و اجرا کنند تا امنیت بدون قطعی غیرمنتظره حفظ شود.