Updates automatisch einspielen: Patch-Manager im Vergleichstest

Allgemeiner betrachtet helfen Patches nur wenig, wenn die eigenen Systeme nicht von vornherein sicher sind. Meistens stehen Sicherheitsprobleme nicht im Zusammenhang mit Softwarefehlern; sie haben eher damit zu tun, dass Mitarbeiter unsichere Passwörter verwenden, Rechner nicht richtig konfiguriert oder unbeaufsichtigt sind oder Mitarbeiter E-Mail-Anhänge öffnen und nicht vertrauenswürdige Anwendungen ausführen.

Außerdem gibt es da noch die Ansicht, dass der effektivste Patch der ist, den man nicht anwenden muss. Mit anderen Worten: Man sollte die Dienste, die man nicht zu nutzen beabsichtigt, abschalten und nur die wirklich benötigten ausführen. Vorhandene Schwachstellen können einem Administrator fast gleichgültig sein, wenn der Dienst nicht läuft.

Es ist bei den Betriebssystemen von Microsoft ein anhaltendes Problem, dass Dienste, die von den meisten nicht benutzt werden, die aber zu Sicherheitsproblemen führen können, während der Standardinstallation aktiviert werden. Microsoft hat inzwischen über 20 Dienste in Windows Server 2003 standardmäßig deaktiviert – eine der Maßnahmen, die das Unternehmen ergriffen hat, um die „Angriffsfläche“ zu reduzieren. Bei Linux-Distributionen ist dieses Vorgehen schon seit Jahren üblich.

Administratoren haben die Häufigkeit, mit der Microsoft Patches herausbringt, schon länger kritisiert. Andere Bedenken stehen in Zusammenhang damit, dass es zu viele verschiedene Patch-Installationsprogramme gibt, dass die Patches so groß sind, dass nach Anwendung der Patches ein Neustart der Rechner erforderlich ist und dass es eine Fülle von Patchmanagement-Produkten gibt, die sich in vielen Funktionen überschneiden. Trotzdem gibt es noch immer keine einzige Gesamtlösung für die Verwaltung von Patches. Microsoft hat große Anstrengungen unternommen, um diese Probleme zu beheben, indem es nun den jeweiligen Schweregrad neben den Patches anzeigt und das Testverfahren von Patches verbessert, einheitliche Installationsprogramme bereitgestellt, die Größe der Patches abgeändert und die Neustarts auf ein Minimum reduziert hat.

Dieser Vergleich wirft einen Blick auf Prism Deploy von New Boundary, Hfnetchk Pro von Shavlik Technologies, Radia Patch Manager von Novadigm und LAN Guard Network Security Scanner von GFI. Diese Produkte stellen nur Patches für Betriebssysteme von Microsoft, Internet Explorer, Exchange Server, SQL Server, IIS, Media Player, DirectX, MDAC, Outlook und Office bereit.

Auch Altiris und IBM wurden eingeladen, ihre Produkte einzubringen: Altiris wartet zurzeit auf die Veröffentlichung der nächsten Version und konnte nicht rechtzeitig ein Vorabexemplar besorgen; IBM war außer Stande, ein Produkt zu liefern. Mit manchen dieser Produkte können auch Patches für andere als Microsofts Produkte bereitgestellt werden, doch benötigt man dann die entsprechende Programmdatei. Mac- und Linux-Anwender müssen sich noch gedulden. Manche dieser Anbieter arbeiten gerade an Lösungen für Mac- und Linux-gestützte Systeme, weshalb die Wartezeit sicherlich nicht allzu lange sein wird.

Ein weiteres Produkt, das auf diesem Gebiet interessant ist, jedoch nicht direkt Patches bereitstellt, wurde ebenfalls untersucht: Network Virus Wall von Trend Micro. Die Systems Management Server (SMS) Software von Microsoft, die sich sowohl um die Softwareverteilung als auch um die Anlagenverwaltung kümmert, wurde ebenfalls kurz untersucht.