大多數(shù)軟件由軟件供應(yīng)商定期更新（例如微軟所謂的周二補(bǔ)丁日）或者在需要修復(fù)軟件時(shí)進(jìn)行更新。在本文中，我們將探討自動(dòng)補(bǔ)丁管理工具的適用場(chǎng)景。
對(duì)于軟件漏洞來(lái)說(shuō)，是否修復(fù)并不是問(wèn)題，畢竟企業(yè)必須保持其計(jì)算機(jī)軟件更新了相應(yīng)的補(bǔ)丁。事實(shí)上，對(duì)于上市公司，定期修復(fù)軟件可能是法律要求，例如薩班斯-奧克斯利法案（SOX）、美國(guó)民事訴訟法（FRCP）和健康保險(xiǎn)流通與責(zé)任法案（HIPAA）等。很多這些政府法規(guī)包含實(shí)質(zhì)的經(jīng)濟(jì)處罰，甚至還會(huì)對(duì)不遵守法規(guī)要求的上市公司的CEO和CFO進(jìn)行刑事指控。
在世界上大多數(shù)國(guó)家，還有類(lèi)似的金融、醫(yī)療和企業(yè)法規(guī)，因此，補(bǔ)丁管理應(yīng)該是每個(gè)企業(yè)的優(yōu)先事項(xiàng)。然而，是否應(yīng)該部署自動(dòng)補(bǔ)丁管理受若干因素影響，有些取決于特定的企業(yè)，有些則涉及到IT整體職能。
修復(fù)過(guò)程
根據(jù)企業(yè)規(guī)模的不同，以及企業(yè)對(duì)IT預(yù)期和/或賦予IT的職責(zé)的不同，補(bǔ)丁管理可能被認(rèn)為是信息技術(shù)專(zhuān)業(yè)人員的主要工作。在大多數(shù)企業(yè)，IT負(fù)責(zé)計(jì)算基礎(chǔ)設(shè)施，包括服務(wù)器、負(fù)載均衡器、存儲(chǔ)陣列、設(shè)備、網(wǎng)絡(luò)設(shè)備等。顯然，IT必須始終負(fù)責(zé)對(duì)這些基礎(chǔ)設(shè)施服務(wù)器和設(shè)備進(jìn)行即時(shí)修復(fù)。IT應(yīng)該確保創(chuàng)建一個(gè)沙盒環(huán)境，在新補(bǔ)丁發(fā)布時(shí)對(duì)補(bǔ)丁進(jìn)行測(cè)試，再分發(fā)到服務(wù)器和其他設(shè)備。
除了保持基礎(chǔ)設(shè)施打補(bǔ)丁和及時(shí)更新，IT還必須制定和分發(fā)修復(fù)過(guò)程以保持最終用戶計(jì)算機(jī)的更新。下面是最終用戶部署補(bǔ)丁管理的兩種流程：
1. 針對(duì)全體員工定義和分發(fā)書(shū)面流程，以保持其臺(tái)式機(jī)或筆記本電腦保持更新，以及其本地安裝的應(yīng)用。
2. 部署自動(dòng)補(bǔ)丁管理系統(tǒng)，讓IT嚴(yán)格控制什么時(shí)候發(fā)布哪些補(bǔ)丁。
如果企業(yè)信任員工可以確保其自己的計(jì)算機(jī)保持更新，最好偶爾保存用戶代表性樣本，以確保他們遵守企業(yè)補(bǔ)丁管理政策。要注意的是，如果涉及到政府和公司合規(guī)要求，讓員工管理自己的操作系統(tǒng)和應(yīng)用修復(fù)可能讓企業(yè)面臨法律責(zé)任。在企業(yè)分析是使用自合規(guī)還是自動(dòng)工具進(jìn)行補(bǔ)丁管理時(shí)，應(yīng)該要考慮如果其修復(fù)工作未能遵守政府和合規(guī)要求而涉及的潛在財(cái)務(wù)影響。
另外，如果企業(yè)有軟件庫(kù)存工具（例如微軟System Center Configuration Manager或賽門(mén)鐵克端點(diǎn)管理），那么，底層庫(kù)存基礎(chǔ)設(shè)施已經(jīng)部署到位，則可執(zhí)行對(duì)軟件許可證和補(bǔ)丁水平的定期審計(jì)。當(dāng)庫(kù)存審計(jì)表明最終用戶應(yīng)用過(guò)時(shí)，補(bǔ)丁管理軟件可用來(lái)確保遵守補(bǔ)丁指南或要求。
雖然部署全面的補(bǔ)丁管理基礎(chǔ)設(shè)施需要巨大的成本，但對(duì)于處在嚴(yán)格監(jiān)管行業(yè)的企業(yè)來(lái)說(shuō)，自動(dòng)補(bǔ)丁管理的好處可能遠(yuǎn)遠(yuǎn)超過(guò)成本。下面讓我們來(lái)看看自動(dòng)補(bǔ)丁管理的潛在用例。
用例1
自動(dòng)補(bǔ)丁管理過(guò)程的第一個(gè)企業(yè)用例通常適合員工總?cè)藬?shù)加上服務(wù)器總數(shù)約為50的企業(yè)。在這些企業(yè)，IT不能冒風(fēng)險(xiǎn)依靠員工通過(guò)手動(dòng)修復(fù)來(lái)保持其操作系統(tǒng)和本地安裝應(yīng)用的更新。
此外，手動(dòng)修復(fù)服務(wù)器是非常耗時(shí)的過(guò)程?？焖俪杀拘б娣治霰砻?，IT沒(méi)有辦法花時(shí)間為服務(wù)器和其他基礎(chǔ)設(shè)施設(shè)備手動(dòng)安裝補(bǔ)丁，因?yàn)樗麄兊幕A(chǔ)設(shè)施環(huán)境有超過(guò)10到15臺(tái)服務(wù)器或其他可修復(fù)設(shè)備。
企業(yè)還應(yīng)該對(duì)修復(fù)最終用戶計(jì)算機(jī)進(jìn)行類(lèi)似的成本效益分析。很多企業(yè)利用庫(kù)存軟件來(lái)生成報(bào)告，以展示最終用戶計(jì)算機(jī)和服務(wù)器安裝了哪些操作系統(tǒng)和應(yīng)用，以及所有已安裝軟件的版本和修復(fù)水平。這些報(bào)告還可以幫助小型IT部門(mén)監(jiān)控最終用戶保持其修復(fù)水平的情況。
除了規(guī)模較大的企業(yè)，自動(dòng)補(bǔ)丁管理工具也非常適合小型企業(yè)，因?yàn)檫@些企業(yè)無(wú)法依靠最終用戶修復(fù)補(bǔ)丁，這很容易讓公司面臨惡意軟件威脅和潛在的法律方面的后果。
用例2
自動(dòng)補(bǔ)丁管理的第二個(gè)企業(yè)用例非常適用于受聯(lián)邦法規(guī)和法案（例如SOX、FRCP和HIPAA）監(jiān)管的上市公司。在這種情況下，持續(xù)的補(bǔ)丁管理可能是法定要求，如果違反這些規(guī)定，CEO和CFO可能面臨刑事和民事處罰。
除了滿足監(jiān)管要求，修復(fù)可能是企業(yè)必要的流程，以保護(hù)企業(yè)免受潛在的法律訴訟，這些訴訟可能來(lái)自客戶、供應(yīng)商以及因企業(yè)網(wǎng)絡(luò)中修復(fù)相關(guān)問(wèn)題而遭受財(cái)務(wù)損失的其他人。如果企業(yè)未能保持其計(jì)算機(jī)和其他設(shè)備安裝最新推薦的補(bǔ)丁，企業(yè)可能面臨來(lái)自客戶、合作伙伴和其他相關(guān)方的法律訴訟。例如，如果惡意軟件通過(guò)已經(jīng)發(fā)布補(bǔ)丁的漏洞進(jìn)入企業(yè)的IT基礎(chǔ)設(shè)施，并且，如果惡意軟件導(dǎo)致個(gè)人身份信息（PII）意外或有目的泄露，那么，企業(yè)可能面臨巨大而持續(xù)的民事責(zé)任。
企業(yè)在考慮自動(dòng)補(bǔ)丁管理工具的成本外，還需要注意的是當(dāng)上市公司沒(méi)有可核實(shí)、可重復(fù)自動(dòng)補(bǔ)丁管理流程而可能帶來(lái)的風(fēng)險(xiǎn)。根據(jù)企業(yè)特定運(yùn)營(yíng)環(huán)境和政府合規(guī)要求的不同，當(dāng)修復(fù)相關(guān)的事故給企業(yè)利益相關(guān)者造成損害時(shí)，企業(yè)可能要花費(fèi)大量的時(shí)間、金錢(qián)，并且，客戶信譽(yù)都會(huì)岌岌可危。這就是說(shuō)，與防止企業(yè)因缺乏補(bǔ)丁管理受到的法律和監(jiān)管行動(dòng)的成本相比，部署自動(dòng)補(bǔ)丁管理工具的成本通常相對(duì)更少。
版權(quán)聲明：本文內(nèi)容由互聯(lián)網(wǎng)用戶自發(fā)貢獻(xiàn)，該文觀點(diǎn)僅代表作者本人。本站僅提供信息存儲(chǔ)空間服務(wù)，不擁有所有權(quán)，不承擔(dān)相關(guān)法律責(zé)任。如發(fā)現(xiàn)本站有涉嫌抄襲侵權(quán)/違法違規(guī)的內(nèi)容， 請(qǐng)發(fā)送郵件至 舉報(bào)，一經(jīng)查實(shí)，本站將立刻刪除。