كيف تدير عملية الـ Patch Management في مؤسستك؟

**علي الشمري** · 31-12-2009, 08:55 AM

السلام عليكم ورحمة الله وبركاته

أحدى متطلبات الـ PCI Compliance إنك لا تستعمل Auto Update على الخوادم التي لديك ... بل تقوم بتحميل التحديثات سواءاً أمنية أو غير أمنية على خوادم غير ... أي تقوم بعمل بيئة خاصة للتجربة Testing Environment ... تقوم بتركيب التحديثات Patches وتجربتها عليهم هناك ومن ثم إن لم تجد مشكلة؟ تقوم بعمل تطبيق لها على الخوادم الأصلية الـ Production ... طبعاً جميع هذه الخطوات تكون موثقة ومسجلة Documented و Logged ...

طيب المشكلة الآن التي ربما مرت عليكم أم لا هي حين تقوم بعمل التقرير الشهري ... ووصلت مثلا في التقرير الى مرحلة تحديث الخوادم وقمت بالتحديث والترقيع في بيئة التجربة ومن ثم نقلتها بعدما تأكدت من سلامتها على الخوادم وعلى عملك الى البيئة الأصلية هي في مسألة التسجيل والتحديثات نفسها ...

يعني بعدما قمت بتحديث الخوادم ظهرت تحديثات جديدة فيها خلل أمني جديد ... ماذا ستفعل؟ هل ستعود وتقوم بعملية التحديث وتعدل على المستندات والسجلات لعمليات التحديث؟ وإن فعلت، ألا تعتقد بإنك ربما تدخل في دوامة Loop مستمر في التحديث والتسجيل ومن ثم يظهر مشكلة وتحديث وتسجيل وتظهر مشكلة وتحديث وتسجيل الى آخره (طبعا على فرض إنه كلما انهيت تحديث وإلا حظك العاثر يظهر خلل أمني جديد ويتطلب تحديث جديد

) ... هنا ماذا ستفعل؟

لمن يقوم بعملية تحديث وتسجيل في بيئات منفصلة عن البيئة الأصلية + يقوم بتسجيل كل هذه الأمور + يكون بيئة العمل لديه كبيرة (عدد كبير من الخوادم) يعرف جيداً عن ماذا أتكلم الآن وكم هي حجم المعانات التي ستواجهها بسبب ذلك

الموضوع بالنهاية للنقاش ولأعرف ماذا لديكم من أفكار ... ولنتناقش حولها ... حيث إني بدأت هذا النقاش مع الأخ باحث وأحببنا أن نضعه هنا ونكمله هنا معكم ...

لمن يريد معرفة ما هي PCI Compliance يمكنه مراجعة هذه ...

ودمتم بود ...

**عبد العزيز حسن** · 31-12-2009, 05:05 PM

علي حسب فهمي يا ابو محمد ان العمليه صعبه علي ما اعتقد لانك تقدم تقرير فيه رايك .....
وليس مجرد نتائج فقط اي نتائج + تعليقات ......
علي ما اعتقد في شئ كهذا سوف ادون كل شئ في مثلا مسوده وفي حين طلب التقرير سوف اجمع كل تلك المعلومات بشكل بسيط وموجز قبل ميعاد تسليم التقرير بساعات لكي احافظ علي اخر النتائج

**علي الشمري** · 01-01-2010, 07:19 AM

المشاركة الأصلية كتبت بواسطة عبد العزيز حسن

علي حسب فهمي يا ابو محمد ان العمليه صعبه علي ما اعتقد لانك تقدم تقرير فيه رايك .....
وليس مجرد نتائج فقط اي نتائج + تعليقات ......
علي ما اعتقد في شئ كهذا سوف ادون كل شئ في مثلا مسوده وفي حين طلب التقرير سوف اجمع كل تلك المعلومات بشكل بسيط وموجز قبل ميعاد تسليم التقرير بساعات لكي احافظ علي اخر النتائج

أهلا اخي عبد العزيز ...
العملية صعبة، هذا من ما لا خلاف فيه ... لكن ماذا تقصد بالآراء هنا؟ يعني تضع آراء في داخل التقرير !!!

أما بخصوص إحتفاظك بآخر التحديثات في التقرير صعب حسب رأيي ... يعني أنت أنهيت التقرير وقبل أن تقوم بتسليمه للجهة المسؤولة عنه في عملك، ظهرت لك مشكلة أو تحديث أمني جديد

ماذا ستفعل ؟

لنسمع آرائكم

**مغرم احزان** · 01-01-2010, 03:53 PM

عادي يعني شو المشكلة ازا كان تحديث بنحدث ونظيف ذلك الى التقرير وازا مشكلة بنصلحها وبنظيفها الى التقرير وبنسلمو

**عبد العزيز حسن** · 01-01-2010, 08:02 PM

لكن ماذا تقصد بالآراء هنا؟ يعني تضع آراء في داخل التقرير !!!

علي ما اعتقد ان اي تقرير كامل يجب وضع رائ واضع التقرير في الاخطاء الموجوده وبعض الحلول لها مثلا هذا ما اقصده ...

**علي الشمري** · 02-01-2010, 01:07 AM

المشاركة الأصلية كتبت بواسطة مغرم احزان

عادي يعني شو المشكلة ازا كان تحديث بنحدث ونظيف ذلك الى التقرير وازا مشكلة بنصلحها وبنظيفها الى التقرير وبنسلمو

وإذا كان هناك وقت محدد لتسليم التقرير مثلا ؟
نقول لهم أصبروا نزل فايروس أو patch لخلل أمني جديد ؟
ولو نفرض لديك 20 خادم بحاجة لتحديث ... كم هو الوقت اللازم لدخولهم وتحديثهم؟ هذا إن لم تكن تستعمل نظام يدير لك عملية التحديثات هذه من مكان واحد ... أي Centralized Patch Management System ... إن شاء الله وضحت اكثر ...

المشاركة الأصلية كتبت بواسطة عبد العزيز حسن

علي ما اعتقد ان اي تقرير كامل يجب وضع رائ واضع التقرير في الاخطاء الموجوده وبعض الحلول لها مثلا هذا ما اقصده ...

همممممم ... ربما كلامك صح وربما لا ... لست الشخص المؤهل ليبت في الأمر بصراحة ...
لكن عن رأيي الشخصي؟ التقرير الخاص بمثل هذه الأمور يجب أن يكون فيه Facts وليس آراء شخصية !!! مثل الخلل الأمني الأخير الذي ظهر في IIS الويندوز ... البعض يقول بإنها ليست بتلك الخطورة ... فهل يذهب ويكتب في تقريره:
تفضلوا تقرير شهر 12 على الرغم من وجود 0day للـ IIS المستعمل عندنا ولكنه ليس بذلك الخطورة ؟ فهمتني يا عزوز

؟

بالنهاية الموضوع للنقاش ... والهدف إني أستفيد منكم كما إنه لعل وعسى أكون بمعلوماتي البسيطة ذو فائدة لغيري ...

**Mustafa Albazy** · 02-01-2010, 05:58 AM

مرحبا,

حسب معلوماتي ان التحديث المستمر والمباشر سوف يدخل الموظف في دوامة

عن نفسي افضل الرطيقة التالية. وهي, تنصيب التحديثات قبل يومين ثلاثة على المنصة التجريبية.
اما المنصة الاساسية فيتم التحديث بأوقات معينة من الشهر مثلاً كل يوم 1 و 15 من الشهر.

ماعدى الثغرات 0-day فهذه يتم التحديث لها فوراً خصوصاً اذا تم نشر الثغرة بشكل علني.

يجب ان يكون مجموعة موظفين يعملون في هذا القسم وليس موظف او اثنان

ومسألة سرعة التحديث تعتمد على حجم المشروع, تخصص المشروع, نوع العمل ..الخ الخ
مثلاً موقع pcworld او amazon صعب نقارنة بشركة استضافة صغيرة إلى متوسطة الحجم مثلاً (اقصد هنا شركات الاستضافة التي تدخل ضمن نطاق ال PCI Compliance )

هذا رأيي!

**عبد العزيز حسن** · 02-01-2010, 08:41 AM

تفضلوا تقرير شهر 12 على الرغم من وجود 0day للـ iis المستعمل عندنا ولكنه ليس بذلك الخطورة ؟ فهمتني يا عزوز

؟

اعتقد اني فهمت تمام ولكن بالنظر الي المجال المحاسبي طبعا مع فارق المجالين الكبير هناك ميزانيات توضع لها قواعد و اسس يعلمها كل محاسب علي وجه الارض ورغم ذلك يجب ان تكون هناك ورقه تسمي توضيحات :: هذة الورقه توضح راي المحاسب في الميزانيه بعض التوضيحات والاراء اعتقد ان الفكرة وصلت هذا ا اقصده يا ابو محمد

**Seif Abaza** · 02-01-2010, 11:05 AM

لا أعرف ما إذا كانت الفكره منطقيه أم لا ولكن ربما بعد التأكد من سلامة التحديثات نقوم بعمل سكربت يقوم بعملية Scan على نقاط الضعف التي أخشاها ثم أبداء في جمع التحديثات التي أريد تطبيقها على الخودام الأخري في سكربت واحد وربما تستفيد من الأداه sharutils التي تمكنك من عمل ملفات أرشيفيه بالـ ShellScript وبعد ذالك تقوم بنقل الملفات عن طريق SSH او ربما ينفع الأمر Source و أيضاً ربما يكون هناك دور حيوي لـ adtool و تطلب من السكربت إعطاء تقارير أو إرسالها لك مره أخرى أو الإحتفاظ بها في السرفر نفسه في أحد المجلدات التي تخص النظام و عمليات المتابعة

مجرد فكر عابر

**مغرم احزان** · 03-01-2010, 11:10 PM

المشاركة الأصلية كتبت بواسطة علي الشمري

وإذا كان هناك وقت محدد لتسليم التقرير مثلا ؟
نقول لهم أصبروا نزل فايروس أو patch لخلل أمني جديد ؟
ولو نفرض لديك 20 خادم بحاجة لتحديث ... كم هو الوقت اللازم لدخولهم وتحديثهم؟ هذا إن لم تكن تستعمل نظام يدير لك عملية التحديثات هذه من مكان واحد ... أي centralized patch management system ... إن شاء الله وضحت اكثر ...

...

عادي ولا في اسهل منها بترحلها لتقرير السنة القادمه

**علي الشمري** · 09-01-2010, 01:32 AM

المعذرة يا اخوان الغياب عن النقاش ...
لكن فقط أحببت أن أوضح مسألة تخص PCI ... فهي ليست للشركات الصغيرة أو متوسطة الحجم يا مصطفى !!!
هي لأي شركة تتعامل وتخزن معلومات بطاقات Master, Visa الى آخره ...

شكرا لكل من ساهم بالموضوع ...