Hou uw Windows-omgeving up-to-date

Verantwoord patch-management

01 juni 2005 | Remco Mourits Hoe vervelend het ook is, Windows patchen is voor elke systeembeheerder een belangrijke taak. Veel beheerders benaderen het echter op een van de volgende manieren:
- Ontwijkend: ze stellen het zo lang mogelijk uit en als het dan toch moet, raffelen ze het zo snel mogelijk af.
- Automatisch: Ze zetten de automatische Windows Update-functie aan op alle computers en kijken er vervolgens nooit meer naar om.
- Overdadig: ze hanteren een ingewikkeld patch management-programma, waarbij elke patch in een testomgeving wordt uitgeprobeerd. Vaak kopen ze dure software om het patchen in goede banen te leiden. Al met al maken ze het tot een dagtaak.

Het spreekt voor zich dat geen van bovenstaande methodes wenselijk is. Gelukkig kan het ook anders.

Windows Update: beter dan niks
De automatische patch-functie (Windows Update) in Microsofts besturingssysteem is geen oplossing voor het probleem, maar kan wel helpen. De functie is vooral handig voor netwerken tot tien computers.

Bij grotere netwerken is de functie echter niet goed te beheren. Bovendien installeert Windows Update alleen de patches die het label 'high priority' meekrijgen. Minder gevaarlijke lekken worden dus niet automatisch gedicht.

En wat als er nog Windows 98/NT-machines in uw netwerk draaien? Die versies ondersteunen de automatische update niet. Ze kunnen overigens wel handmatig worden geüpdate via de Windows Update website.

Zoals gezegd is bij grote netwerken centrale controle nodig. In een Windows-omgeving kunt u deze krijgen door de Group Policy zo configureren dat de automatische updates worden geïnstalleerd naar alle computers in het domein. U hoeft dan in ieder geval niet meer elke computer te bezoeken om de patches geïnstalleerd te krijgen.

U kunt in de Group Policy (te vinden in Configuration\ Administrative Templates\ Windows Components\ Windows Update) ook de dag en het tijdstip van installatie bepalen. Ook kunt u lokale gebruikers de toegang tot de update-functie ontzeggen. Zo heeft u centrale controle over de updates en kunt u deze dus tegelijkertijd laten uitvoeren.