Wenn eine Sicherheitslücke im Code einer Software oder Netzwerkinfrastruktur entdeckt wird, ist es selten sinnvoll, das gesamte Produkt zu überarbeiten – insbesondere angesichts des Zeitaufwands, der Kosten und der Häufigkeit von Aktualisierungen, die in Ersatzcode fließen würden. Software-Patches werden in der Regel eingesetzt, weil sie Code-Schwachstellen auf mikroskopischer Ebene beheben können: Sie zielen auf die tatsächlich problematische Codestelle und „patchen“ sie mit aktualisiertem Code, bis eine neue Produktversion verfügbar ist. Große Technologieanbieter und Open-Source-Communitys veröffentlichen regelmäßig Patches für ihre Software, um ihre Produkte abzusichern und ihre Unternehmenskunden zu schützen. Das größte Problem, vor dem Unternehmen beim Patchen stehen, ist, mit den neuesten Patches und Sicherheitslücken in ihrer Unternehmensumgebung Schritt zu halten. Patch-Management-Software kann administrative Teams unterstützen, indem sie ihnen hilft, Netzwerkanomalien zu überwachen, Patches vor einer umfassenderen Bereitstellung zu testen und benötigte Patches entweder automatisch oder auf Abruf auf allen Unternehmensgeräten bereitzustellen. Lesen Sie weiter, um zu erfahren, wie Patch-Management funktioniert und wodurch sich die führenden Patch-Management-Anbieter auf dem Markt unterscheiden.
Was ist Patch-Management?
Patch-Management konzentriert sich auf die Überwachung und Prüfung der Unternehmensnetzinfrastruktur auf potenzielle Sicherheitslücken. Patches oder kleine Codeaktualisierungen können auf verschiedene Teile des Netzwerks angewendet werden, damit diese effizienter oder sicherer funktionieren. Zu den patchbaren Bereichen gehören Betriebssysteme, Anwendungen und Server. Patch-Management ist ein Bestandteil einer umfassenderen Strategie für das Schwachstellenmanagement. Eine leistungsfähige Patch-Management-Lösung unterstützt das Schwachstellenmanagement in allen Phasen: Identifizierung, Berichterstellung, Priorisierung und Behebung. Mehr über Sicherheitsüberwachung: Die besten Open-Source-Tools zur Netzwerküberwachung
Wie funktioniert Patch-Management-Software?
Patch-Management-Software selbst nutzt typischerweise eine kontinuierliche Sicherheitsüberwachung, branchenübliche Sicherheitsbenchmarks und detaillierte Dashboards, um Sicherheitsteams beim Erkennen und Beheben von Code-Schwachstellen zu unterstützen. Bei der Arbeit mit Patch-Management-Software folgt ein Patch-Team in der Regel dieser Reihenfolge:
Wenn ein Anbieter einen Patch veröffentlicht
Patch-Management beginnt typischerweise auf Ebene des Technologieanbieters. Wenn dieser ein Code- oder Leistungsproblem in einem seiner Produkte feststellt, arbeiten die Entwicklerteams gemeinsam an der Entwicklung und am Testen eines zuverlässigen Patches. Nach einem umfangreichen Genehmigungs- und Dokumentationsprozess wird dieser in eine neue Zwischen- oder Patch-Version für die Kunden integriert und der Kundenbasis angekündigt. Bei besonders wichtigen Aktualisierungen kann der Anbieter den Patch nach der Ankündigung automatisch auf die Nutzerabonnements verteilen. Technologieanbieter stellen diese Patches häufig direkt Patch-Management-Anbietern zur Verfügung. Patch-Management-Software enthält typischerweise einen Katalog der Patches, die mit dem Patch-Manager geteilt wurden – insbesondere wenn der Patch eines der unterstützten Betriebssysteme der Plattform betrifft, etwa Linux oder Windows. Die Patch-Management-Software kann Nutzer nun über den neuen Patch informieren und Unternehmensteams verschiedene Bereitstellungsoptionen anbieten.
Wenn ein Unternehmensteam einen Patch entwickelt
In vielen Fällen erkennen interne Sicherheits- oder IT-Teams einen problematischen Codeabschnitt in einer ihrer Portfolioanwendungen. Anstatt auf eine Zwischenversion des Produktherstellers zu warten, um die Situation zu verbessern, können sie in Verbindung mit Patch-Management-Software die folgenden Schritte ausführen, um eigene Patches zu erstellen:
- Kontinuierliche Sicherheitsüberwachung anwenden: Patch-Management-Software nutzt fortlaufend Sicherheitsprüfungen, Scans und Sicherheitsüberwachung, um Fehler und andere Systemprobleme zu erkennen.
- Entwicklerteams programmieren: Wenn ein Problem erkannt wird, entwickeln die Entwicklerteams gemeinsam Ideen und schreiben den Code für eine Patch-Lösung.
- Patch-Testphase: Der Patch wird in einer Sandbox oder einer anderen nicht aktiven Umgebung getestet und durchläuft gleichzeitig einen Genehmigungsprozess.
- Dokumentationsprozess: Sobald der Patch die Sandbox- und die Genehmigungsphase durchlaufen hat, wird eine Dokumentation verfasst, die die Aktualisierung erklärt und unterstützt. Diese Dokumentation kann außerdem Best Practices dazu enthalten, wo, wann und wie der Patch auf Unternehmensgeräten bereitgestellt werden sollte.
- Patch-Veröffentlichung für Nutzer: Wenn ein Unternehmen entscheidet, dass sein Patch für eine umfassendere Bereitstellung an Nutzer bereit ist, nutzt es in der Regel das administrative Dashboard des Patch-Managers zur Unterstützung bei der Bereitstellung. Die Aktualisierung kann automatisch auf alle Nutzergeräte und betroffenen Anwendungen verteilt werden. Alternativ können vordefinierte Gruppen und Nutzerprofile verwendet werden, um Patches nach Bedarf zu veröffentlichen.
- Entwickler warten auf Feedback: Auch bei internen Patch-Veröffentlichungen sollten Entwickler damit rechnen, von ihren Kollegen Feedback dazu zu erhalten, wie der Patch funktioniert und ob er funktionale Probleme verursacht. Wenn Entwickler nicht sorgfältig vorgehen, können Patches manchmal neue Probleme verursachen, anstatt alte zu lösen. Deshalb ist es wichtig, dass sie dieses Feedback berücksichtigen.
- Der Zyklus wiederholt sich, sobald ein neuer Patch-Bedarf erkannt wird.
Erfahren Sie mehr darüber, wie Patch-Management heute funktioniert: Patch-Management-Trends für 2022
Funktionen von Patch-Management-Software
Die meisten Patch-Management-Lösungen bieten Funktionen für die Bereitstellung extern entwickelter Patches, die Entwicklung interner Patches sowie die Erkennung von Code- oder Leistungsanomalien, die durch Patchen behoben werden könnten. Dies sind einige der gängigsten Funktionen, die Patch-Management-Software ihren Unternehmenskunden bietet:
- Testumgebungen für Sandboxen
- Zentrale Serverbereitstellung mit Remote-Bereitstellung für verteilte Belegschaften
- Systeminventar
- Unterstützung der Einhaltung gesetzlicher Vorschriften
- Wahl zwischen automatischen und bedarfsgesteuerten Aktualisierungen
- Vorlagen für Patches, Richtlinien und Dokumentation
- Grundlegende Sicherheitsüberwachung und Fehlerbehebung
- Support und Integrationen von Drittanbietern
Lesen Sie auch: Fünf Tipps für das Compliance-Management in Unternehmensnetzwerken
Die beste Patch-Management-Software
ManageEngine Patch Manager Plus
ManageEngine Patch Manager Plus ist ein plattformübergreifender Patch-Manager, der die Betriebssysteme Windows, Mac und Linux sowie mehr als 350 Anwendungen von Drittanbietern unterstützt. Diese Lösung eignet sich besonders für Nutzer, die mit den Aktualisierungen von Windows 10 Schritt halten müssen.
Funktionen:
- Automatisiertes Remote-Patch-Management über die Phasen Scannen, Bewertung, Bereitstellung und Berichterstellung
- Anpassbare Richtlinien für die Patch-Bereitstellung
- Produktionsumgebungen zur automatischen Erstellung von Testgruppen, zum Testen von Patches und zur Patch-Bereitstellung
- Weniger wichtige Patches oder Patches, die zurückgezogen werden müssen, ablehnen oder verschieben
- Audits und Berichterstellung in Echtzeit
Vorteil: Viele Nutzer loben die Geschwindigkeit, Verfügbarkeit und Hilfsbereitschaft des Supportteams des Anbieters. Nachteil: Fehlermeldungen sind bei Problemen auf der Plattform manchmal unklar oder nicht verfügbar. Preisgestaltung: Die Pakete Free Edition, Professional und Enterprise sind für Nutzer verfügbar. Die Preise für Professional und Enterprise – sowohl für Cloud- als auch für On-Premises-Versionen – finden Sie auf der Preisseite von ManageEngine.
Heimdal Security Patch and Asset Management
Heimdal Security Patch and Asset Management ist ein bevorzugter Patch-Manager für Nutzer, die Unterstützung bei der Erstellung von Richtlinien, der Bereitstellung von Richtlinien und Dokumentation sowie bei der allgemeinen Compliance benötigen. Das Tool bietet Prüfpfade für CVE und CVSS und lässt sich außerdem in Active-Directory-Gruppen integrieren, um die Verwaltung von Richtlinien auf Nutzerebene zu vereinfachen.
Funktionen:
- Erweiterte Patch-Zeitplanung über Zeitzonen und Gerätetypen hinweg
- Verwaltung von Schwachstellen, Patches und Gruppenrichtlinien unter Windows und Linux
- Automatisches Patchen von mehr als 100 Anwendungen von Drittanbietern
- Die HTTPS-Kapselung gewährleistet die Sicherheit von Daten während der Übertragung
- Infinity-Management-Add-on für automatisiertes Patchen und Ablaufaktualisierungen mit Befehlszeilenskripting
Vorteil: Viele Nutzer heben den schnellen und effektiven Bereitstellungsprozess für die Verfügbarkeit von Patches für Endnutzer hervor. Nachteil: Einige Nutzer berichten von Schwierigkeiten bei der Erstkonfiguration dieser Plattform. Preisgestaltung: Auf der Website von Heimdal werden keine Preisinformationen bereitgestellt. Interessierte Kunden sollten sich für Preisinformationen an das Vertriebsteam von Heimdal wenden.
Syxsense Manage Patch Management
Syxsense Manage Patch Management wird in Microsoft Azure gehostet und bietet Patch-Management-Unterstützung für Nutzer von Windows, Mac und Linux. Dies ist eine weitere leistungsfähige Lösung für Anforderungen an die Branchen-Compliance, insbesondere für HIPAA, SOX sowie PCI-Compliance. Viele Nutzer wählen dieses Tool wegen der Flexibilität bei Patch-Zeitplänen und Patch-Fenstern.
Funktionen:
- Dashboards mit patchbezogenen Daten speziell für Windows 10
- Gerätezustand mit CVSS-Bewertung
- Patch-Priorisierung auf Grundlage der Ergebnisse der Risikoprüfung
- Automatisierte Bereitstellungszeitpläne mit Wartungsfenstern und wiederkehrenden Ereignissen
- Native Unterstützung für Patches von Drittanbietern für Adobe, Java und Chrome
Vorteil: Administratoren schätzen, dass sie benutzerdefinierte Zeitpläne und Pläne für das Patchen erstellen können, die sich je nach Team und Rolle unterscheiden. Nachteil: Einige Nutzer finden, dass die Remote-Administrationssteuerung nicht so zuverlässig ist, wie sie sein könnte. Preisgestaltung: Diese Patch-Management-Lösung ist eine Komponente des umfassenderen Produkts Syxsense Manage. Interessierte Kunden sollten sich für Preisinformationen direkt an das Vertriebsteam von Syxsense wenden.
GFI LanGuard
GFI LanGuard bietet Integrationen mit mehr als 4.000 Sicherheitsanwendungen aus den Kategorien Antivirus, Firewall, Backup, Verschlüsselung, Zugriffsverwaltung und Verhinderung von Datenverlust. GFI LanGuard kann entweder agentenlos oder agentenbasiert betrieben werden und unterstützt die Betriebssysteme Microsoft, Mac und Linux. Viele Nutzer schätzen die Flexibilität automatisierter oder bedarfsgesteuerter Systemscans sowie das Zurücksetzen von Patches.
Funktionen:
- Unterstützung für Patch-Management und Automatisierung von Drittanbietern für Apple QuickTime, Adobe Flash Player, Mozilla Firefox, Google Chrome, Apple Safari, Opera und Java Runtime
- Diagramm zur Anzeige des Bedrohungsgrads für den Schwachstellenstatus von Geräten
- Webbasierte Berichterstellung mit HTTPS
- Datenbank zur Schwachstellenbewertung, die automatisch aktualisiert wird, um sie an Microsoft-Sicherheitsupdates anzupassen
- Virtualisierung und Kompatibilität mit virtuellen Maschinen für VMware, Microsoft Virtual Server, Microsoft Hyper-V, Citrix und Parallel
Vorteil: Sicherheitsprüfungen bieten über ein interaktives Dashboard umfassende historische Daten. Nachteil: Einige Nutzer haben während besonders umfangreicher Patch-Updates Systemausfälle oder Zeitüberschreitungen erlebt. Preisgestaltung: GFI LanGuard wird in drei verschiedenen Preispaketen angeboten, abhängig von der benötigten Anzahl an Knoten: Small, Medium und Large. Die Preise reichen von 10 bis 26 US-Dollar pro Knoten und Jahr. Mehr über die GFI-LanGuard-Preisgestaltung.
Avast Business Patch Management
Avast Business Patch Management unterstützt das Patchen von Microsoft Windows und vielen beliebten Geschäftsanwendungen von Drittanbietern. Zu den Anwendungen von Anbietern, für die Avast umfassende Unterstützung beim Patchen bietet, gehören Java, Adobe, Oracle und iTunes.
Funktionen:
- Remote-Patching und Patch-Erkennung
- Zentralisierte Dashboards und einfache Konfiguration für Berichte
- Automatisiertes Patch-Scanning und Zeitplanung der Bereitstellung
- Zurücksetzen von Patches auf Ebene einzelner Geräte
- Verwaltung von Master-Agenten und Patch-Verteilung
Vorteil: Viele Nutzer finden die Datenvisualisierungen im Dashboard von Avast Business Patch Management äußerst intuitiv. Nachteil: Dieses Produkt ist auf Windows-Nutzer beschränkt, die außerdem Avast-Antivirensoftware verwenden. Preisgestaltung: Die Preise für Avast Business Patch Management reichen je nach Anzahl der abgedeckten Geräte von 13,49 bis 15,49 US-Dollar pro Gerät und Jahr.
SecPod SanerNow Patch Management
SecPod SanerNow Patch Management ist eine cloudbasierte Patch-Management-Konsole mit granularer rollenbasierter Zugriffskontrolle. Sie ist mit mehr als 300 Anwendungen von Drittanbietern und allen gängigen Betriebssystemen kompatibel. Viele Nutzer entscheiden sich für diesen Patch-Manager, weil er nur wenige Systemressourcen benötigt und den Geschäftsbetrieb nur minimal beeinträchtigt.
Funktionen:
- End-to-End-Automatisierung von Scans, Priorisierung, Download, Tests und geplanter Bereitstellung
- Individuelle Echtzeit- und kontinuierliche Scans für verifizierte Patches
- Müheloses Zurücksetzen eines fehleranfälligen Software-Patches
- Firmware-Patching zur Risikominderung
- Automatisch erstellte Berichte und native Audit-Protokollierung
Vorteil: Nutzer schätzen, dass diese Lösung schlank ist und weniger Arbeitsspeicher als mehrere Konkurrenzprodukte benötigt, wodurch sie besonders schnell ist. Nachteil: Einige Kunden haben sich mehr Anpassungsmöglichkeiten für Dashboards und Berichte gewünscht. Preisgestaltung: Interessierte Kunden sollten sich für Preisinformationen direkt an das Vertriebsteam von SecPod wenden.
Automox Patch Management
Automox Patch Management ist ein hilfreicher Patch-Manager für Sicherheitsteams, die detaillierte Transparenz und umfassendere administrative Kontrollen über Unternehmensressourcen hinweg benötigen. Diese Softwarelösung bietet Transparenz über ausstehende Patches auf Nutzergeräten und in Anwendungen. Außerdem ermöglicht sie Administratoren, diese ausstehenden Patches remote zu genehmigen, abzulehnen oder zu untersuchen.
Funktionen:
- Eine zentrale Cloud-Konsole für die Verwaltung von Hardware-, Software-, Patch- und Konfigurationsinventar
- Unterstützung für die Bereitstellung und das Zurücksetzen von Software von Drittanbietern
- Behebung von Patch-Schwachstellen und Fehlkonfigurationen in Systemen
- Verwaltung von Ressourcen und Inventar mit Filterung und Verwaltung nach Richtlinien
- Nativ verfügbarer Softwarekatalog für Drittanbieter und benutzerdefinierte Skripte zum Patchen
Vorteil: Nutzer loben die detaillierten Berichte und die Funktionen zur Richtlinienverwaltung, die Administratoren zur Verfügung stehen. Nachteil: Einige Kunden hatten Schwierigkeiten mit bestimmten Linux-spezifischen Patch-Funktionen, etwa dem Caching vor Ort. Preisgestaltung: Automox bietet einen Patch- sowie einen Patch-&-Manage-Tarif an. Der Patch-Tarif kostet bei jährlicher Abrechnung 3 US-Dollar pro Gerät und Monat. Der Patch-&-Manage-Tarif kostet bei jährlicher Abrechnung 5 US-Dollar pro Gerät und Monat.
Atera Patch Management
Atera Patch Management bietet hauptsächlich Patching für Mac und Windows an – über Chocolatey für Windows- und Homebrew für Mac-Geräte. Eine der am meisten gelobten Funktionen des Produkts ist die Shared Script Library mit Skriptvorlagen, die sowohl von Atera als auch von den Managed-Service-Partnern (MSPs) des Unternehmens geprüft und erstellt wurden.
Funktionen:
- Drei wichtige Ansätze für die Berichterstellung: Patch Search and Deploy, Patch Status Summary sowie Patch and Automation Feedback
- Nativ verfügbare Patching-Lösungen für Anwendungen wie Chrome, Zoom, Skype, Dropbox und Java
- Jedem Kunden zugewiesene IT-Automatisierungsprofile
- Automatisierte Softwareinstallationen, Updates und Neustarts
- Shared Script Library mit mehr als 100 klonbaren Skripten
Vorteil: Nutzer schätzen die präzisen und zeitnahen Warnmeldungen, die diese Lösung in der gesamten IT-Infrastruktur bereitstellt. Nachteil: Da Atera Patch Management nicht ohne die anderen Module der Atera-Plattform erworben werden kann, halten viele diese Patch-Management-Lösung für zu teuer. Preisgestaltung: Die Software Atera Patch Management kann nur als Teil der gesamten Atera-Plattform erworben werden. Atera bietet drei Hauptpakete an. Pro kostet 79 US-Dollar pro Nutzer und Monat, Growth 119 US-Dollar pro Nutzer und Monat und Power 149 US-Dollar pro Nutzer und Monat.
Ivanti Neurons for Patch Management
Ivanti Neurons for Patch Management konzentriert sich hauptsächlich auf cloudnative Patch-Verwaltung. Aufgrund des früheren Schwerpunkts auf lokalem Patch-Management ist die Lösung jedoch für viele Unternehmen die bevorzugte Wahl, die sich noch in der Cloud-Umstellung befinden oder in hybriden Cloud-Umgebungen arbeiten. Ivanti bietet diesen Nutzern eine zentrale Dashboard-Ansicht zur Verwaltung von Cloud- und lokalen Patch-Anforderungen.
Funktionen:
- Kontext zu Schwachstellenbedrohungen und Informationen zu bekannten Exploits
- Crowdsourcing-Daten zur öffentlichen Wahrnehmung und anonymisierte Bereitstellungsdaten
- Cloudnative Patch-Verwaltung mit Übergangsunterstützung für Anforderungen des lokalen Patch-Managements
- Autonomous Patch Configurations zur Verteilung getesteter Patches
- Patch-Priorisierung auf Grundlage von Risikoexposition, Pfadzuverlässigkeit und Gerätekonformität
Vorteil: Ivanti bietet eine Bewertung des Schwachstellenrisikos (VRR), die von einigen als bessere Lösung zur Risikomessung angesehen wird als das auf anderen Plattformen angebotene Common Vulnerability Scoring System (CVSS). Nachteil: Die Ersteinrichtung und die Berechtigungseinstellungen für mehrere Administratoren können schwierig sein. Preisgestaltung: Preisinformationen sind auf Anfrage beim Vertriebsteam von Ivanti erhältlich.
Vorteile von Patch-Management-Software für Unternehmen
Unterstützung der Einhaltung gesetzlicher Vorgaben
Patch-Management-Software wurde entwickelt, damit Unternehmen Sicherheits-Patches für alle von ihnen verwendeten Geschäftsanwendungen verwalten können. Einige Patches dienen lediglich der Verbesserung von Leistung und Effizienz, viele sind jedoch auf mehr Sicherheit ausgelegt. Besonders in stark regulierten Branchen wie dem Gesundheitswesen oder dem Finanzdienstleistungssektor können Unternehmen empfindlich bestraft werden, wenn sie neue Sicherheits-Patches nicht rechtzeitig anwenden, um die Daten ihrer Nutzer zu schützen. Patch-Management-Software hilft diesen Unternehmen, über neue Patches informiert zu bleiben, und bietet ihnen die nötige Transparenz, um diese auf allen erforderlichen Geräten, in Anwendungen und für Nutzer anzuwenden.
Höhere Netzwerkverfügbarkeit
Eine ungepatchte Schwachstelle oder ein Codefehler kann letztlich zum Absturz einer Anwendung oder größerer Systembereiche führen, insbesondere im Fall eines erfolgreichen Sicherheitsverstoßes. Patch-Manager erhöhen die Netzwerkverfügbarkeit, indem sie diese Schwachstellen schnell beheben und effizienteren und/oder sichereren Code erstellen.
BYOD-Unterstützung
Patch-Management-Software ist eine von vielen Lösungen, die bei der administrativen Verwaltung von Bring Your Own Device (BYOD) unterstützen. Durch Sicherheitsüberwachung und Geräteinventare bleiben auch mobile Geräte, die sich nur selten mit dem Netzwerk verbinden, auf dem neuesten Stand, sobald ein neuer Patch verfügbar ist. So ist unabhängig davon, wie oder wo Nutzer auf Ihr Netzwerk zugreifen, gewährleistet, dass ihr Gerät und dessen Softwaresicherheit berücksichtigt und aktuell sind.
Automatisierte und zeitnahe Updates
Unternehmen, die keine Patch-Management-Software einsetzen, müssen genau verfolgen, wann ihre Anbieter neue Patches veröffentlichen, was viel Zeit in Anspruch nimmt. Patch-Management-Software vereinfacht diesen Prozess teilweise, indem sie Patch-Updates katalogisiert und Kunden benachrichtigt, wenn es Zeit für einen Patch ist. In der Regel bieten diese Lösungen auch Optionen für die automatisierte Bereitstellung, sodass Administratoren alle erforderlichen Unternehmensendpunkte mit geringem manuellen Aufwand patchen können.
Möglichkeiten für Produktinnovationen
Da Patch-Manager Entwicklerteams dabei unterstützen können, Patches aus verschiedenen Gründen zu erstellen und bereitzustellen, nutzen viele Entwickler diese Tools, um die Leistung zu verbessern und neue Effizienzgewinne zu erzielen. Funktionen bestehender Produkte lassen sich einfach durch einen gezielten Patch erweitern. Lesen Sie auch: Die besten Tools und Softwarelösungen für das Schwachstellenmanagement