Skuteczna aktualizacja.

Transkrypt

1 Skuteczna aktualizacja. Wojciech Bury NASK Główny cel to zabezpieczenie rodowiska. rodowisko firmowe, niezalenie od uywanych systemów operacyjnych, wielkoci i profilu produkcji wymaga zabezpieczenia. Główne elementy polityki zabezpieczenia, na których powinnimy si skoncentrowa to: - instalacja i konfiguracja pocztkowa, - prawa uytkownika, - polityka korzystania z sieci firmowej i Internetu, - aktualizacje systemu operacyjnego i uywanego oprogramowania oraz - wdroenie dodatkowych systemów zabezpieczajcych typu Firewall, IPS, Antywirus i Anty-Spyware itp. Kady z tych elementów ma ogromny wpływ na bezpieczestwo informatyczne firmy jako całoci. Tutaj zajmiemy si aktualizowaniem systemu operacyjnego i uywanego oprogramowania i włanie w tej prezentacji chc pokaza jak to skutecznie zrobi i jak poradzi sobie z problemami podczas wdroenia usługi automatycznej aktualizacji na przykładzie rodowiska Microsoft i na przykładzie wdroenia w firmie. Oprogramowanie, niezalenie czy jest to sam system operacyjny czy aplikacja działajca na tym systemie i niezalenie od producenta, jest wci przedmiotem testów dociekliwych uytkowników Internetu, a efekty tych bada w postaci nowych dziur stale pojawiaj si w Internecie w postaci dostpnej dla kadego. Powoduje to wzrost zagroenia dla sieci wykorzystujcych to oprogramowanie i potrzeb skutecznego i szybkiego łatania komputerów w skali całego przedsibiorstwa. Przykładowe zagroenia na jakie naraone jest niezaktualizowane rodowisko Windows w firmie: - rozprzestrzenianie si robaków korzystajcych z domylnie udostpnionych przez system operacyjny portów lub przez udziały sieciowe, - wykorzystanie dziur w IE przez odpowiednio spreparowane strony internetowe, - wykorzystanie dziur w Microsoft Outlook lub MS Word czy MS Excel przez odpowiednio spreparowane maile lub dokumenty office a. 1. Aktualizacja systemu operacyjnego i oprogramowania. Zarówno jako indywidualny uytkownik jak i jako administrator w korporacji mamy do dyspozycji kilka rónych narzdzi do aktualizacji rodowisk opartych, w tym konkretnym przypadku na oprogramowaniu Microsoft. S to zarówno rozwizania darmowe typu korzystanie z Windows Update z poziomu pojedynczej stacji czy serwera lub Windows Server Update Services (WSUS)

2 jak i płatne rozwizania komercyjne typu Microsoft SMS czy due systemu zarzdzania sieciami typu HP OpenView, Novell ZENworks czy IBM Tivoli. Oto krótki przegld dostpnych rozwiza: (narzdzia darmowe) Aktualizacja Rczna Windows Update (dostp z poziomu przegldarki do witryny Windows Update, który pozwala na zweryfikowanie posiadanych poprawek, wybranie nowych oraz pobranie ich i instalacja na urzdzeniu, Aktualizacja rczna zautomatyzowana na poziomie pojedynczego urzdzenia odpowiednia konfiguracja systemu, Windows Server Update Services (WSUS) [zamienna nazwa to Server WUS]; architektura klient serwer: cz serwerowa to włanie WSUS, narzdzie, oparte na serwerze WWW, zapewniajce administratorowi moliwo zarzdzania i dystrybucji aktualizacji wewntrz sieci korporacyjnej. cz kliencka, pozwala na bezporednie siganie do serwera WUS zarówno przez stacj robocz jak i przez serwer z systemem Windows; działa w tle jako usługa systemowa. (oprogramowanie płatne) SMS System Management Server skalowalne i wielozadaniowe narzdzie do zarzdzania zamianami i konfiguracj rodowiska opartego na produktach Microsoft, Due systemy zarzdzania sieciami typu HP OpenView, Novell ZENworks czy IBM Tivoli (oferuj ju lub w niedługiej przyszłoci bd oferowały czciow funkcjonalno dystrybucji poprawek i oprogramowania w sieci lokalnej). Przedmiotem niniejszej prezentacji jest skuteczne rozwizanie problemu aktualizacji z zastosowaniem WSUS. 2. Windows Server Update Services Podstawowe informacje: Uruchomienie usługi wymaga zainstalowania serwera WSUS na platformie Windows Serwer 2000 lub Windows Serwer 2003 wewntrz sieci przedsibiorstwa. Obsługuje dystrybucj poprawek dla nastpujcych produktów: systemy operacyjne od Windows 2000 SP3, MS Office, IE, SQL Server, IIS, Exchange oraz krytyczne aktualizacje sprztowe. Podstawowe mechanizmy uywane przez usług to serwer WWW IIS oraz BITS Background Intelligent Transfer Service. Zalety: filtrowanie aktualizacji (moliwe jest filtrowanie po produkcie, który jest aktualizowany, po rodzaju aktualizacji, a take wyłczenie niektórych

3 Wady: maszyn (np. serwerów) z przyjmowania danego typu poprawek, dodatkowo kada aktualizacja ma moliwo ustalenia granicznej daty, do której musi by zainstalowane dla danej grupy komputerów), grupowanie klientów (stacji roboczych i serwerów korzystajcych z usługi automatycznej aktualizacji), analiza stacji (dostpna jest opcja tylko wykrywania i raportowania jakie poprawki s zainstalowane na danym komputerze oraz ile jest komputerów, które potrzebuj danej aktualizacji), ograniczenie wykorzystania łcza do Internetu i odcienie sieci lokalnej, zapewnienie bezpiecznego porednictwo pomidzy stacj lub serwerem, a witryn Microsoft Update (mechanizm weryfikacji ciganych aktualizacji oraz zapewnienie prywatnoci komputerów klientów, które same bezporednio nie łcz si z Windows Update), pozwala zbudowa wiadomo uytkownika o automatycznych aktualizacjach (nieskuteczne staj si metody wprowadzania w błd przez fałszywe maile lub strony/bannery mówice o rzekomej aktualizacji systemu we wskazanym linku uytkownik nie zwraca uwag bo nie musi sam dba o aktualizacj, wie, e wszystko dzieje si automatycznie za niego). pozwala na efektywniejsze testowanie nowych, niepewnych aktualizacji na grupie testowej, bez wpływu na pozostałe maszyny; daje moliwo ich szybkiej dystrybucji, dopracowana konsola administracyjna wszystkie zadania zarzdzania mog by wykonane z kadego komputera w sieli firmowej posiadajcego przegldark internetow. działa zarówno w domenie jak i w rodowisku niedomenowym; działa take w rodowisku domeny NT. moliwa jest migracja z serwera SUS wraz z konfiguracj i plikami. moliwo oprogramowania poprzez.net API. głównie kwestie raportowania, zyskujemy kontrol nad uytkownikami w zakresie aktualizacji - przejmujemy zadanie aktualizacji na siebie. - Wymaga serwera 2000/2003; dodatkowo nie moe to by kontroler domeny trzeba ponie koszty urzdzenia i oprogramowania lub wykorzysta serwer z innymi usługami biorc pod uwag dodatkowe obcienie systemu.

4 - Serwer WWW (IIS) wystawiony na zewntrz istnieje moliwo ataku typu man in the middle. - Serwer IIS wystawiony do wewntrz sieci firmowej moliwo ataku na usługi serwera WWW (IIS) od wewntrz sieci firmowej. - Otwarcie na firewallach pomidzy podsieciami firmowymi komunikacji po porcie Brak obsługi palmtopów i innych tego typu urzdze mobilnych. 3. Jak dobrze wdroy i administrowa usług na poziomie firmy. Skuteczne wdroenie składa si z kilku elementów, których jako decyduje o sukcesie i efektywnoci całego rozwizania, zarówno w czasie samego wdroenia jak i w trakcie dalszego uytkowania nowego systemu Planowanie. Planowanie to najwaniejsza cz wdroenia. Od niego zaley czy moment przejcia na now usług nie stworzy od pocztku złej prasy nowej usłudze (o co nie trudno przy wdraaniu nowego elementu bezpieczestwa ograniczenia wynikajce ze wzgldów bezpieczestwa bardzo czsto powoduj pogorszenie komfortu pracy uytkownika). Prawidłowe zaplanowanie usługi automatycznych aktualizacji pozwoli te odciy sie Internet i sie lokaln. Mamy do okrelenia liczb i rozmieszczenie serwerów usługi. Zalenie od iloci komputerów, które bd stanowiły klientów usługi (w podawanym przykładzie ok. 300 komputerów korzysta z jednego serwera bez adnych widocznych opónie), zalenie od iloci lokalizacji firmy, iloci podsieci i polityki bezpieczestwa pomidzy podsieciami. Moemy utworzy hierarchi serwerów WUS dedykujc tylko jeden, zabezpieczony odpowiednio serwer, do łcznoci z witryn Windows Update, a pozostałe serwery rozmieszczone w rónych lokalizacjach czy podsieciach firmy komunikujc si tylko z tym dedykowanym serwerem. Naley tutaj pamita o zaporach sieciowych pomidzy podsieciami czy rónymi lokalizacjami firmy i przepuci odpowiedni ruch pomidzy segmentami dla wszystkich komputerów lub wydzielonego serwera usługi. Moe wystpi take przypadek kiedy jedna z lokalizacji nie ma łcznoci z innymi lokalizacjami i z pewnych powodów nie moe łczy si bezporednio z Internetem w celu pobrania aktualizacji. Posiłkujemy si wówczas rczn metod przenoszenia aktualizacji pomidzy serwerami. Zaznaczam, e nie jest to automatyczny proces, którego mechanizm jest wbudowany w serwer WSUS. Odpowiednie pogrupowanie klientów jest kolejnym krokiem do uzyskania docelowego rodowiska działania usługi. Mona dowolnie grupowa wszystkie urzdzenia klienckie. Niezbdnym wydaje si utworzenie grupy testowej dla serwerów i dla stacji roboczych, a nawet dla pojedynczych komputerów z przeznaczeniem do testowania konkretnej, krytycznej dla działalnoci firmy aplikacji. Dodatkowymi kryteriami czsto staj si take: podział na komputery stacjonarne i laptopy, czas aplikowania poprawek, rodzaju uywanych aplikacji czy szczególna wano właciciela (np. prezes).

5 Polityka akceptacji i testowania aktualizacji okrela jakie poprawki akceptujemy automatycznie, jakie chcemy przetestowa oraz na jakich komputerach i w jakim czasie bd one dystrybuowane. Bezporednio wie si z tym harmonogram dystrybucji nowych poprawek. Decydujemy kiedy i u kogo serwer sprawdzi stan aktualizacji, kiedy maj si aktualizacje zaciga, instalowa, wymusza interakcj uytkownika lub restart systemu Organizacja. Ze wszystkimi wymienionymi wyej elementami etapu planowania wi si kwestie organizacyjne na poziomie firmy. S to przede wszystkim: - przepuszczenie odpowiedniego ruchu na firmowych zaporach, - akceptacja sposobu aktualizacji w działach technicznych, - ustalenie terminów instalacji aktualizacji, a w szczególnoci restartów komputerów, - ustalenie momentu przejcia na now usług, - aktualizacja serwerów produkcyjnych, - obsługa uytkowników mobilnych. Dla uytkowników (i ich kierowników) najwaniejsz kwesti jest zakłócenie czasu pracy przy zaplanowanych aktualizacjach podczas codziennego uytkowania usługi automatycznej aktualizacji; dotd naleało wyłcza komputery po zakoczeniu dnia pracy, a teraz naley go pozostawi włczonego lub uzgodni moliwo zakłócenia pracy np. na pocztku bd na kocu dnia pracy, ewentualnie w trakcie przerwy obiadowej. Oczywicie uytkownicy musz pamita o zapisywaniu swojej pracy gdy odchodz od komputerów na dłuej ni kilka minut bo pojawiajcy si monit o potrzebie restartu komputera zostawia 5 minut na zapisanie pracy lub na jego anulowanie, Zwykle ustalenie dogodnego terminu dla wszystkich uytkowników jednoczenie jest niemoliwe (i niewskazane ze wzgldów organizacyjnych i wydajnociowych) wic dodatkowo trzeba zapanowa nad rónymi terminami dla rónych działów, zespołów i uzyska na to akceptacje odpowiednich kierowników i dyrektorów co najczciej jest najtrudniejszym zadaniem przy planowaniu aktualizacji na stacjach roboczych. Obsługa uytkowników technicznych sprowadza si głównie do ustalenie odpowiedzialnoci za sposób korzystania z usługi dla uytkowników z prawami administratorów lokalnych, którzy s informatykami i sami zajmuj si wszelkimi sprawami zwizanymi z ich systemami i oprogramowaniem. Jest to akceptowalne jeeli wymagaj tego ich obowizki i wiedza, natomiast powinnimy pamita, e pewien poziom dostosowania do reguł w sieci obowizuje take tych uytkowników i od tego te zaley bezpieczestwo sieci. Aktualizacja serwerów produkcyjnych to ustalenie dogodnych procedur i terminów aktualizacji serwerów produkcyjnych np. wykorzystujc tzw. okno backupowe, kiedy serwery potencjalnie maj najmniejsze wykorzystanie przez uytkowników/klientów i chwilowy brak dostpnoci nie jest krytyczny dla firmy. Nie mniej istotnym problemem jest testowanie nowych poprawek z aplikacjami firmowymi (szczególnie tworzonymi na zamówienie przez firm) przed ich instalacj na serwerach produkcyjnych.

6 Obsługa uytkowników mobilnych jest czsto najbardziej złoonym i najtrudniejszym problemem przy wprowadzaniu efektywnej usługi automatycznych aktualizacji w skali firmy. Uytkownicy mobilni to szczególna grupa uytkowników, z roku na rok powikszajca liczebno i znaczenie w przedsibiorstwie. S to zwykle uytkownicy, którzy posiadaj prawa administracyjne na laptopach. Laptopy, okresowo lub przez dłuszy czas mog nie by włczane do sieci firmowej dla zaktualizowania poprzez firmowy serwer WUS. Dziurawy czyli w tym przypadku niezaktualizowany system i oprogramowanie moe by ródłem słaboci sieci firmowej w przypadku podłczenia po długim okresie bez aktualizacji. Z drugiej strony uytkownik z nadgorliw aktualizacj moe uniemoliwi sobie prac instalujc nieprzetestowane poprawki. Przykładowym rozwizaniem jest ustalenie na poziomie firmy kilku kwestii: - Ustalenie sposobu aktualizacji uytkownik ma prawo samodzielnych aktualizacji czy tylko automatycznie w sieci firmowej, a moe powinien mie i jedn i drug moliwo (zaley od czstotliwoci wizyt w firmie). - Ustalenie trybu włczania komputera do sieci firmowej po długiej nieobecnoci - wymuszenie rodzaju kwarantanny (s systemy, które w niedługiej przyszłoci bd to umoliwiały), w tej chwili mona to osign poprzez procedury i odpowiednie ustawienia na przełcznikach sieci (kontrolujc stacje podłczane do sieci lokalnej). Z tym wie si te moliwo analizy stanu poprawek danego komputera przez serwer WSUS, nawet jeli nie jest on przez niego automatycznie aktualizowany i procedura uzupełniania krytycznych poprawek przed włczeniem do sieci produkcyjnej. - Ustalenie trybu informowania uytkownika o nowych aplikacjach wymagajcych testowania i o zaleceniach wynikajcych z testów - zapobieganie ich przedwczesnemu zainstalowaniu (co prowadzi do destabilizowania działania systemu lub aplikacji). - Ustalenie trybu okresowego audytu laptopa uytkownika mobilnego (z prawami administracyjnymi) - uytkownik musi si zgłosi i przekaza laptop do sprawdzenia w okrelonym czasie Instalacja serwera. Wymagany jest Windows Serwer 2000 lub 2003, nie moe by kontrolerem domeny (najlepiej dedykowany). Kolejn kwesti jest lokalizacja bazy, któr moe by baza domylnie instalowana podczas instalacji serwera WUS lub dowolna baza MS SQL (pomocne np. przy backupie jednej, wspólnej bazy). Wymagana ilo miejsca na baz i na katalog aktualizacji to aden problem przy obecnych pojemnociach dysków twardych. I ostatnim krokiem jest odpowiednie zabezpieczenie serwera po instalacji (antywirus, personal firewall, utwardzajca konfiguracja IIS) Konfiguracja.

7 Konfiguracja usługi składa si z wielu elementów i odpowiada na prawie wszystkie pytania, które pojawiaj si przy dostosowywaniu usługi do potrzeb naszego rodowiska firmowego. Synchronizacja. Jaki ustawi harmonogram synchronizacji? Mamy moliwo ustawienia dowolnej godziny (z dokładnoci do 30 minut) lub moemy rcznie wymusi synchronizacj w dowolnym momencie. Które produkty moemy aktualizowa? Do wyboru: Windows OS, MS Office, MS SQL, MS Exchange. Jakie aktualizacje moemy pobiera? Do wyboru: aktualizacje krytyczne, aktualizacje zabezpiecze, dodatki service pack, narzdzia, pakiety zbiorcze, sterowniki itp. Co zrobi jeli mamy serwer proxy w sieci firmowej? Moemy go wskaza w odpowiednim polu w ustawieniach konfiguracji. Jak wskaza ródło aktualizacji (np. w przypadku hierarchii serwerów WSUS)? Adres Windows Update lub innego serwera WSUS wskazujemy w odpowiednim polu w ustawieniach konfiguracji. Zatwierdzanie automatyczne. Czy mog wybra, które aktualizacje chc zainstalowa, a które tylko cign i na jakich komputerach? Moemy zadecydowa, które grupy aktualizacji (wszystkie, tylko krytyczne i bezpieczestwa lub tylko sterowniki) bd instalowane i na których maszynach (wybierajc odpowiedni grup). Co zrobi jeli pojawia si nowsza wersja tej samej poprawki? Mamy do wyboru automatyczn akceptacj nowej wersji lub wymuszenie rcznej akceptacji. W jaki sposób aktualizuje si serwer usługi automatycznych aktualizacji? Serwer WSUS pobiera take poprawki dla samego siebie i naley wybra opcj pozwalajc automatyczn akceptacj i instalacj takich poprawek. Komputery.

8 W jaki sposób przypisujemy komputery do obsługi przez serwer automatycznych aktualizacji i w jaki sposób decydujemy do jakiej bd one naleały grupy? Komputer moemy przypisa do korzystania z usługi poprzez konfiguracj odpowiednich ustawie pojedynczego komputera lub modyfikujc Zasady Grup w domenie Windows. Wybór grupy nastpuje rcznie z Konsoli serwera WSUS lub poprzez ustawienia w Zasadach Grup Dołczanie klientów. Po ustaleniu polityki aktualizacji dla rónych uytkowników naszym celem jest ich szybkie i bezproblemowe podłczenie (rczne dla poszczególnych stacji bd grupowe korzystajc z Zasad Grup), ograniczenie samodzielnych działa uytkowników oraz zapewnienie bezpiecznego połczenie (SSL) pomidzy klientem, a serwerem. Ograniczenie działa czyli np.: uniemoliwienie uytkownikom ingerowanie w aktualizacj wykonywan przez SUS. W systemach Windows, mimo automatyzacji zada zwizanych z uaktualnieniem, nadal istnieje moliwo rcznego uruchomienia Windows Update z poziomu przegldarki IE. (Sytuacja ta jest moliwa u wszystkich uytkowników niezalenie od iloci systemów operacyjnych). Oczywicie mona te zablokowa zupełnie moliwo aktualizacji korzystajc z Windows Update. Mona zarejestrowa klienta na serwerze WSUS, a jednoczenie nakaza mu aktualizowa si z Microsoft Update. Interakcja z uytkownikiem (zalenie od decyzji administratora i praw uytkownika) składa si z zestawu komunikatów, które moemy ograniczy do niezbdnych naszym zdaniem lub usun całkowicie. S to informacje o nowych aktualizacjach i pytanie czy je zacign, komunikat o cignitych aktualizacjach i pytanie czy je zainstalowa, komunikat o zainstalowaniu aktualizacji i informacja o restarcie za okrelony czas, moemy go przesun lub potwierdzi. Etap wdroenia nastpujcy zaraz po uruchomieniu usługi jest szczególnie kłopotliwy dla uytkowników - dua liczba aktualizacji dystrybuowana jest w krótkim czasie i wiele z nich moe wymaga restartu. Bezporednim czynnikiem wpływajcym na prac uytkownika jest harmonogram aktualizacji, głównie ich instalacji i wymaganego dla ich działania restartu. Do dyspozycji mamy ustawienia na okrelony dzie tygodnia i okrelon godzin, Komputer codziennie (co 17 do 22 godzin) sprawdza czy s nowe aktualizacje i jednoczenie przeprowadzana jest analiza tego co dany komputer ma ju zainstalowane i odnotowywana na serwerze WUS. Jeli komputer nie kontaktuje si jest to sygnalizowane wraz z informacj od ilu dni nie ma łcznoci do serwera. Dołczanie klienta moe odbywa si dwoma głównymi sposobami: - korzystajc z Zasad Grup (szczególnie przydatne w duych sieciach gdzie jednym ruchem zmieniamy ustawienia dla całej grupy klientów przy uyciu Zasad Grup w Active Directory). Mamy dostpne cztery grupy ustawie: konfiguracja aktualizacji automatycznych, wskazanie wewntrznego serwera usług aktualizacji, ustalenie terminów instalacji

9 poprawek oraz ustalenie statusu auto-restartu systemu po zainstalowaniu poprawek. - korzystajc z ustawie rejestru (dla pojedynczych klientów ewentualnie moe słuy do sporzdzenia skryptu w rodowiskach bez domeny Windows). Przykładowy zapis fragmentu rejestru odpowiedzialnego za automatyczne aktualizacje: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate] WUServer = WUStatusServer = [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU] NoAutoUpdate =dword: AUOptions =dword: ScheduledInstallDay =dword: ScheduledInstallTime =dword: c UseWUServer =dword: Administracja. Ze wzgldu na dopracowan konsol administracyjn zapanowanie nad kwestiami zarzdzania aktualizacjami, zarejestrowanymi komputerami oraz synchronizacj serwera jest spraw stosunkowo prost. Główne aspekty administracji usług to kontrola aktualizacji, komputerów korzystajce z usługi, synchronizacja serwera WUS z witryn Windows Update i z innymi serwerami w hierarchii, testy nowych poprawek oraz backup i odtwarzanie serwera usługi automatycznej aktualizacji. Kontrola aktualizacji pozwala na dostp do informacji na temat aktualizacji takich ich klasyfikacja (krytyczna, bezpieczestwa, sterownik itp.), czas wydania, status zatwierdzenia oraz ilo komputerów, które potrzebuj poprawki, ilo komputerów, które ju j zainstalowały i czas kiedy upływa termin, a take ewentualne błdy podczas instalacji. Informacje te pozwol nam odpowiedzie na pytania: Co zrobi z nowymi aktualizacjami?, Czy proces instalacji danej aktualizacji wymaga interakcji ze strony uytkownika?, Czy dana aktualizacja wymaga restartu systemu?, Jakie systemy wymagaj tej poprawki?, Jak mog zatwierdzi nowe aktualizacje rcznie?, Jak mog przypisa rcznie aktualizacj do grupy komputerów? Komputery, które korzystaj z usługi s analizowane przy kadym połczeniu i otrzymane informacje pozwalaj na ocen zabezpieczenia danej stacji czy serwera, sprawdzenie jaki był czas ostatniej skutecznej analizy (ostatniego kontaktu klienta z serwerem oraz przynaleno do grupy, która determinuje zasady dystrybucji aktualizacji. Synchronizacja serwera moe by rczna i mamy moliwo wymuszenia jej w dowolnym czasie (np. jeeli mamy informacje o nowej, krytycznej poprawce lub podnielimy serwer po awarii) bd automatyczna (ustawiona na wybran godzin raz dziennie).

10 Niezbdn czynnoci jest testowanie nowych aktualizacji dla serwerów produkcyjnych/aplikacyjnych. Najprostszym rozwizaniem jest utworzenie odpowiedniej grupy testowej z serwerów, które słu nam do testowania kluczowych serwisów i aplikacji w przedsibiorstwie. Po pomylnym zakoczeniu testów zezwalamy na dystrybucj poprawki na serwery produkcyjne. W przypadku niepomylnych wyników wstrzymujemy dystrybucj do czasu nowej wersji poprawki lub aplikacji i zabezpieczamy serwer korzystajc z informacji o naprawianym błdzie zawartych w opisie do poprawki. Moliwo korzystania z linii polece ułatwia w pewnych przypadkach wykonywanie podstawowych zada (export, import, migrate, movecontent, reset, deleteunneededrevisions, listinactiveapprovals, removeinactiveapprovals). Nie jest jednak wystarczajcym narzdziem do całkowitej administracji usług. Proces backupu i restore serwera sprowadza si do kopii bezpieczestwa ustawie serwera (baza MS SQL) oraz plików aktualizacji (odpowiednik katalog) do czego moemy wykorzysta mechanizmy wbudowane w system operacyjny i baz mechanizmy Microsoft lub zastosowa uywane w firmie odpowiednie oprogramowanie dedykowane Best practises. Jako, e baz wszystkich powyszych informacji s, oprócz dokumentacji, dowiadczenia z realnego wdroenia podaj kilka tzw. best practises. Jedna z najwaniejszych to uycie Zasad Grup do dodawania duej iloci klientów, o czym zostało ju wspomniane w tekcie. Ustawienie harmonogramu instalacji poprawek na termin (w tygodniu lub w cigu dnia), który spowoduje najmniejsze przestoje lub minimalne ryzyko awarii, uchroni nas przed duymi kłopotami w sieci, a take przed kłopotami z uytkownikami. Dla potrzeb panowania nad aktualizacjami serwerów naley w Zasadach Grup pozwoli im tylko na cignicie lokalne potrzebnych poprawek. Po zakoczeniu testów nowych poprawek moemy np. uy skryptu do akceptacji i szybkiej instalacji patchy oraz restartu w dogodnym dla nas terminie. Sugerowane jest ostrone postpowanie z oprogramowaniem antywirusowym na serwerze usługi automatycznej aktualizacji; zdarzały si przypadku konfliktu działania usługi skanowania w czasie rzeczywistym z synchronizacj serwera WUS prowadzce do unieruchomienia funkcji serwera z powodów wydajnociowych. Bardzo wane jest dodatkowe zabezpieczenie serwera WUS korzystajc z oprogramowania antywirusowego, personal firewall, antyspyware, a take narzdzi utwardzajcych serwer WWW (IIS) czy baz MS SQL. Dla rednich i duych sieci warto zainstalowa WSUS na dedykowanym komputerze. Podczas konfiguracji aktualizacji warto wybra tylko te opcje jzykowe ciganych aktualizacji, które s uywane przez klientów naszego serwera (zmniejszy kilku, a nawet kilkunastokrotnie ilo ciganych plików).

11 Uywanie połczenia HTTPS/SSL do połcze klienta z serwerem i do połcze administracyjnych. W przypadku sieci z wieloma uytkownikami, których z pewnych powodów nie całkiem moemy kontrolowa i nie zawsze moemy narzuci pewne ograniczenia poprawiajce bezpieczestwo mona si zastanowi czy uycie WSUS i zautomatyzowanie m.in. aktualizacji Internet Explorera nie czyni sytuacji, w której uywamy go w sieci bezpieczniejszej ni uywanie nieaktualizowanych od miesicy alternatywnych (w normalnej sytuacji uznawanych za bardziej bezpieczne) przegldarek. 4. Plany na przyszło Na przełomie roku ma pojawi si SP1 dla WSUS. Nie wiadomo dokładnie jakie bd to zmiany. Wród zapowiadanych wymieniana jest moliwo przechowywania plików poprawek w miejscu innym ni serwer usługi. Czy bdzie wród nich obsługa pozostałych urzdze mobilnych z systemami Microsoft? Czy przewidywane s elementy wzmacniajce bezpieczestwo usługi i serwera w przypadku wykrywanych słaboci? Zobaczymy. 5. Bibliografia. W trakcie przygotowywania niniejszego opracowania korzystałem z wymienionych niej ródeł. Stanowi one take doskonał pomoc przy wdroeniu usługi aktualizacji automatycznych. Windows Server Update Services Communities Homepage - Windows Server Update Services Public Newsgroup - Microsoft Windows Server Update Services Overview - Step-by-Step Guide to Getting Started with Microsoft Windows Server Update Services - Deploying Microsoft Windows Server Update Services -