數百萬個補丁是怎么分發管理的?
圖1 補丁管理功能的實現示意圖
圖2 該信息網的補丁分發管理系統
某部是國家重要的職能部門，它的日常業務繁多而重要，而且大多數業務需要使用它的信息網進行，因此保障信息網的正常運轉就非常重要。該部的信息網是物理隔離網絡，覆蓋全國各地，由部、省、市三級網絡組成。部級信息中心的主路由交換設備連接全國30多個省級單位網絡(包括某部北京城域網網絡)。在建設補丁三級聯管理體系之前還沒有采用域的方式管理，但信息網已經安裝了硬件防火墻系統、網絡防病毒系統、入侵檢測等多種安全監控設備，在這些設備的嚴密監控下，來自外部網絡和局域網的安全威脅大大減少。此時，來自網絡內部的安全漏洞威脅，才是網絡管理人員所需要面對的挑戰。
某信息網的大部分使用者為業務人員，他們不熟悉計算機系統，對操作系統的漏洞進行補丁修復的意識也比較淡薄，這就造成某信息網中終端計算機的系統漏洞不能及時地修補，甚至長期不補。連在某信息網上的計算機大約有數10萬臺，但是大部分使用人員對于IT不熟悉，所有打補丁的工作就得全部由技術部門的人員來做。隨著微軟補丁的發布越來越頻繁，傳統的手工補丁安裝已經遠遠不能適應大規模網絡管理需要，技術人員的工作量非常大，工作負擔也非常繁重。從以前的情況來看，讓少數幾個技術人員負責打補丁還存在不少弊病，比如進度緩慢，出現漏打補丁等現象。#p#
前期準備不可少
面對這樣的困境，如何才能夠解決呢?
首先，要解決外網補丁導入和補丁源統一的問題。某信息網是物理隔離的網絡，從外網向物理隔離的內網導入補丁非常麻煩。若網絡每個終端都從外網下載補丁會消耗過量的網絡資源，而且用戶隨意下載的補丁來源不統一、不可靠，存在網絡安全隱患。北信源公司的補丁分發管理系統利用一個專門的補丁下載服務器統一下載補丁，先由部級的補丁下載服務器從外網中自動獲得并更新補丁索引列表。這個補丁索引列表在制作前已經進行過測試，它排除掉了部分可能導致系統癱瘓或有其他問題的補丁。根據這個索引列表，補丁下載服務器利用增量式補丁自動分離技術，將補丁導入內網，而且只導入以前沒有導入過的補丁。補丁導入內網后，補丁分析器自動將補丁分類存入內網補丁庫。這樣就確保了補丁來源的安全性與可靠性。
補丁安全導入內網的分發也存在問題。某信息網的終端數量龐大，為了使所下載的補丁具有可行性，在進行全網分發前，先選定少量終端進行真實環境局域網的補丁測試，通過測試的補丁才分發給全網終端。
其次，該信息網是三級管理網絡，與之相配的補丁分發管理系統也必須支持三級聯管理，可以實現部、省、市三級網絡終端補丁的自動分發和統一管理。北信源公司補丁分發管理系統從部級信息中心統一更新維護部級管理系統及補丁庫，自動將最新補丁及時地、強制性地分發至省級管理系統，再由省級管理系統自動分發到市級管理系統。在分發過程中，網絡管理人員通過中央管理控制平臺設定補丁安裝策略，設定補丁安裝策略的分配對象。補丁安裝主動權首先掌握在客戶端手中。客戶端通過管理器獲取并刷新補丁，利用微軟安全基準分析器分析出自己本身已安裝的補丁情況。根據補丁策略和當前補丁情況，客戶端決定是否下載并安裝新的補丁。對于必須安裝的補丁，網絡管理人員可以通過策略強制客戶端安裝，否則就阻斷其正常聯網。
為了方便對整個網絡補丁安裝情況的監控，各級管理系統還詳細記錄下補丁的分發、接收及修補等情況，查詢、統計漏洞情況和補丁修補狀況，并且自動向上級管理系統上報相關的信息。這樣網絡管理人員的工作量大大減少了，補丁安裝的效率也大大提高了。
萬臺終端的分發難題
以上問題順利解決后，所有客戶端都可以統一安裝安全可靠的補丁。但是新的問題又出來了。那就是，某信息網一個市級管理節點往往管理著數千甚至上萬臺計算機，若所有的客戶端都從同一臺服務器上下載補丁，網絡負載就會過重，嚴重時還會造成網絡阻塞，影響網絡正常的運行。北信源公司的補丁分發管理系統采用流量控制技術解決了這個問題。系統利用客戶端轉發代理，實現補丁的順利分發。補丁分發時，部分客戶端先通過補丁分發系統下載服務器中的補丁，這些客戶端可以稱為代理。其他的計算機則通過這些代理進行相應的補丁下載。下載時客戶端可自動搜索臨近的IP地址，選擇擁有此補丁文件并且下載速度最快的客戶端作為代理進行補丁下載。這樣就提高了網絡的利用率，提高了補丁的分發效率。補丁管理功能的實現如圖1所示。
在該信息網補丁分發管理系統中(如圖2所示)，該部信息中心的中心節點(一級管理節點)，其下屬的各省某廳為該系統的二級管理節點，各市某局為系統的三級管理節點。各級管理節點進行級聯。下級管理節點的補丁庫從上級管理節點下載導入補丁。下級節點所存儲的重要信息(如報警信息、重要狀態信息、統計信息)經過整理后匯總上報到上級管理節點。上級管理節點能通過授權進入下級管理節點，以查詢所需信息。該部通過公開招標統一購買了北信源公司服務器端軟件500套和不限量安裝的客戶端軟件。這些軟件配發到全國各地各二級、三級管理節點進行安裝運行。
2007年12月的統計數據顯示，通過補丁分發管理系統分發安裝的補丁達數百萬個，全部微軟補丁均安裝的計算機數占到設備總數的95%。這是以前依靠手工安裝補丁所無法實現的。此外，通過補丁分發管理系統還統計出全國的漏洞(按危險等級分級)分布情況，該部的相關負責人員可以根據需要察看各個地市的補丁安裝情況，并采用配套的督促措施進行強制性補丁安裝。補丁分發管理系統提高了整個網絡的工作效率和管理效益，增強了網絡的安全性，幫助該信息網跳出了網絡威脅的十面埋伏。
案例啟示：流程對補丁管理很重要
補丁管理的流程就像消防隊在處理火災之前所進行的標準化的演練程序，消防隊不能等到火災發生之后才開始制定演練程序，補丁管理對企業的IT系統來說也是一樣。在微軟公司報告存在漏洞后僅26天，沖擊波(Blaster)就出現了。如果企業不未雨綢繆，IT系統也許在下一秒就會因為一個小小的漏洞而癱瘓。
International Network Services公司高級網絡系統顧問Felicia Nicastro說：“人們希望拿到一種能夠解決所有補丁問題的工具，但我們認為，真正能夠解決補丁問題的是流程，而不是工具。”通常企業在IT系統的維護方面所犯的最大錯誤就是忽略流程的重要性，如沒有指派專門的小組或個人負責補丁管理活動，進行新補丁的監視、詳細的評估、部署和驗證等。
企業應該制定詳細的補丁管理流程，在開始階段要監視每一件詳細目錄中新的漏洞和可用的補丁。一旦發現漏洞并確認其威脅等級，就馬上由事先成立的IT系統維護小組利用已經建立的推進流程開始補丁的實施工作。在此過程中，企業還應當建立一個行動過程安排和執行時間表，其中包括實驗室測試等內容。經過測試后，還應當進行補丁分配、實施、特例處理、跟蹤和報告等工作。
【編輯推薦】
