Microsoft veröffentlicht fast 400 Patches an einem Tag

Der „Mega-Patch-Tuesday“ verdeutlicht eine neue Realität: Nicht alles lässt sich innerhalb von 24 Stunden patchen

Der letzte „Patch Tuesday“ von Microsoft behebt 394 Sicherheitslücken, darunter drei Zero-Day-Schwachstellen. Für IT-Teams, die bereits mit Personalengpässen, der Migration auf Windows 11 und wachsenden Sicherheitsaufgaben zu kämpfen haben, besteht die Herausforderung nicht mehr nur darin, Patches schnell zu installieren. Es geht nun darum, zu entscheiden, was zuerst gepatcht wird.

Diese Woche veröffentlichte Microsoft einen der umfangreichsten „Patch Tuesday“ mit Updates, die 394 Sicherheitslücken in Windows, Microsoft Office, SharePoint Server, Azure-Diensten, .NET und anderen Produkten beheben. Die Veröffentlichung umfasst drei Zero-Day-Schwachstellen, was Sicherheitsverantwortliche dazu veranlasst, Unternehmen zu raten, kritische Updates so schnell wie möglich zu prüfen und zu installieren.

Für IT-Teams geht die Herausforderung jedoch über die bloße Installation von Patches hinaus.

Die August-Veröffentlichung erfolgt zu einem Zeitpunkt, an dem viele IT-Teams bereits damit zu kämpfen haben, Sicherheitsaufgaben, SaaS-Management, Initiativen zur Einführung von KI und Projekte zur Modernisierung der Infrastruktur unter einen Hut zu bringen. Ein derart umfangreiches Patch-Volumen unterstreicht eine sich abzeichnende Realität: Viele Unternehmen sind gezwungen, Risiken Vorrang vor der sofortigen Behebung aller Schwachstellen einzuräumen.

Das 24-Stunden-Patch-Fenster wird zunehmend unrealistisch

Die Veröffentlichung wirft eine Frage auf, die MES Computing kürzlich untersucht hat: Wie realistisch ist die seit langem bestehende Erwartung, dass Unternehmen Sicherheitslücken innerhalb von 24 Stunden beheben?

Das Patchen innerhalb eines kurzen Zeitfensters wird zu einer Herkulesaufgabe, da IT-Umgebungen immer komplexer werden. Heutige IT-Teams müssen mit Hunderten von Anwendungen, wachsenden Cloud-Plattformen, Infrastruktur für Remote-Arbeit und begrenzten personellen Ressourcen zurechtkommen. Da zudem die Angriffsflächen immer weiter zunehmen, steigt auch der Arbeitsaufwand im Patch-Management.

Für kleinere Unternehmen mit schmalen IT-Teams ist die Installation von Hunderten von Updates auf mehreren Plattformen selten ein einfacher Vorgang. Updates müssen vor der Bereitstellung validiert, getestet und terminiert werden.

Verzögerungen bei Windows 11 bergen weiterhin Risiken

Die Komplexität des Patch-Managements überschneidet sich zudem mit einem weiteren Problem: den Folgen verzögerter Windows 11-Updates.

Viele Unternehmen nutzen weiterhin ältere Windows-Systeme, obwohl die Fristen für das Ende des Supports für Windows 10 durch Microsoft immer näher rücken. Während Budgetengpässe, Bedenken hinsichtlich der Anwendungskompatibilität und Personalmangel die Migrationsbemühungen verlangsamen können, weisen Experten darauf hin, dass die Verzögerung von Updates eine Vielzahl neuer Cybersicherheitsrisiken mit sich bringen kann.

Wenn IT-Teams ältere Systeme neben neueren Umgebungen verwalten, kann dies zu erhöhter Komplexität, erschwerten Patch-Bereitstellungsprozessen und einer größeren Anzahl von Sicherheitslücken führen, die überwacht werden müssen.

Was sollten IT-Verantwortliche nun tun?

Anstatt zu versuchen, 400 Korrekturen gleichzeitig zu installieren, sollten mittelständische Unternehmen sich auf eine risikobasierte Priorisierung konzentrieren.

Zu den praktischen Überlegungen gehören:

• Prüfen Sie die Leitlinien von Microsoft zu den drei Zero-Day-Schwachstellen und stellen Sie fest, ob in Ihrer Umgebung betroffene Produkte vorhanden sind.
• Priorisieren Sie Systeme mit Internetanbindung und extern zugängliche Dienste.
• Bewerten Sie Systeme, die sensible Daten enthalten.
• Stellen Sie sicher, dass die Tools für das Endpunktmanagement und die Patch-Bereitstellung ordnungsgemäß funktionieren.
• Richten Sie einen dokumentierten Prozess zur Priorisierung von Sicherheitslücken ein, anstatt sich ausschließlich auf die Anzahl der Patches zu verlassen.

Für IT-Teams ist der „Patch Tuesday“ von Microsoft im August eine Mahnung daran, dass es bei der Cyber-Resilienz nicht mehr nur darum geht, Patches schnell zu installieren. Es geht darum, zu wissen, welche Sicherheitslücken am wichtigsten sind, und über einen Prozess zu verfügen, um diese zu beheben, bevor Angreifer dies tun.

--

Dieser Artikel erschien erstmals in der Schwesterpublikation von Computing MES Computing