Administracin de actualizaciones de seguridad

1
Administración de actualizaciones de seguridad

• Jonathan Cossio
• Microsoft MVP
• Microsoft Bolivia

2
Agenda

• Microsoft Solutions for Patch Management
• Windows Server Update Services
• Arquitectura
• Configuración
• Inventory Tool for Microsoft Updates
• Cómo funciona con SMS 2003
• MOM Management pack for MBSA
• Utilizar MOM para gestionar parches ausentes
• Recomendaciones
• Demos

3
Microsoft Solutions for Patch Management
4
Windows Server Update Services (WSUS)
5
Windows Server Update Services (WSUS)

• Solución gratuita para administrar
  centralizadamente Updates Microsoft
• Sucesor de SUS (Software Update Services)
• Administrable desde una consola Web
• Updates Microsoft, no sólo Windows

6
Componentes

• Microsoft Update
• Windows Server Update Services
• Web Site
• MSDE/SQL
• Automatic Updates Client
• Windows 2000 Server y Professional
• Windows XP Professional
• Windows Server 2003

7
Requisitos de instalación

• Windows 2000 Server SP3
• Windows Server 2003
• BITS 2.0
• Windows 2000 Server
• Windows Server 2003
• Internet Information Services 5.0 o 6.0
• ASP.NET 1.1

8
Administración

• Servidor
• Interfaz Web de WSUS
• Sincronización de updates
• Metadata
• Archivos de instalación
• Creación de grupos de computadores
• Aprobación de updates para cada grupo
• Cliente
• Modificación de registro a través de
• GPOs de Active Directory
• Logon Script u otro método

9
Aprobación de updates

• Estados
• Sólo detectar
• Instalar
• Sin aprobación
• Segmento por grupos
• All Computers
• Grupos personalizados
• Vistas de updates
• Familia de productos
• Aprobación
• Sincronización
• Vistas personalizadas

10
Productos y contenido soportado

• Productos
• Windows 2000 Family SP3 gt
• Windows XP Family
• 64 Bit
• Embedded
• Windows Server 2003 Family
• Exchange Server 2000/2003
• SQL Server 2000
• Office 2002(Xp)/2003
• Tipos de updates
• Services Packs
• Security Updates
• Critical Updates
• Drivers
• Tools
• Rollups
• Feature Packs
• Regular updates

11
Arquitectura de la solución
Microsoft Update
Servidor WSUS
Clientes Desktop Grupo 1
Clientes ServidoresGrupo 2
Administrador de WSUS
El servidor baja los updates desde Microsoft
Update
Los clientes se registran en el servidor
El administrador coloca los clientes en grupos
objetivo
El administrador aprueba los updates
Agentes instalan updates aprobados por el
administrador
El administrador suscribe las categorías a bajar
12
Arquitectura de servidor
WSUS Servers/MU
Clients
Admin workstation
Server/Server Web service
Client/Server Web service
Reporting Web service
Admin UI
Content sync
Catalog sync
Server API
Metadata Store MSDE/SQL
File Store (NTFS)
13
Arquitectura del cliente
WU Serviceor WSUS
IE (WU Site)
Customscripts
WU Client
WU Client API
Automaticupdates
Updatemanager
Updatehandlers
Content store
Metadata Store
BITS
14
Escenarios de implementación
15
Único Servidor
Microsoft update
WSUS server
Desktop clients
16
Único Servidor PYME o red simple

• Configuración de un solo servidor para
  interactuar con Microsoft Update
• Sincronizar contenido (metadata y archivos)
• Configurar clientes
• Opcional
• Crear grupos de máquinas para segmentarlas y
  distribuir en el tiempo la instalación de los
  updates
• Configurar a los clientes para ser miembros del
  grupo
• Configurar reglas de auto-aprobación para que la
  instalación se realize automáticamente

17
Múltiples servidores
Microsoft update
WSUS server
WSUS server
Desktop clients
Desktop clients
18
Múltiples Servidores Gran empresa / Esquema
complejo de redes

• Configurar servidor(es) para hablar con Microsoft
  Update
• Sincronizar contenido (metadata, archivos)
• Crear jerarquía de servidores
• Servidores WSUS independientes en la Intranet
• Réplica de servidores
• Configurar clientes para apuntar a sus
  respectivos servers WSUS
• Opcional
• Crear grupos de computadores
• Configurar clientes para que sean miembros de los
  grupos

19
Servidores desconectados
Microsoft update
WSUS server
WSUS server
Desktop clients
20
Servidores desconectados Redes desconectadas

• Configurar un servidor externo para hablar con
  Microsoft Update
• Sincronizar contenido (metadata, archivos)
• Exportar metadata y archivos a media externa (CD,
  DVD, HDD)
• Importar metadata y archivos al servidor
  desconectado
• Servidor desconectado validará certificados
  Microsoft en la metadata y en los archivos para
  verificar integridad entre ellos
• Configurar clientes para apuntar a su respectivo
  servidor WSUS

21
Windows Server Update Services
22
Inventory Tool for Microsoft Updates

• Parte de Systems Management Server 2003

23
Introducción a SMS 2003

• Inventario de Hardware y Software
• Distribución de software
• Software clásicos
• Software interno
• Deploy de imágenes de sistema operativo
• Control remoto
• Software metering
• IIS Reporting
• Distribución de actualizaciones Microsoft
• Inventory Tool for Microsoft Updates (ITMU)

24
Inventory Tool for Microsoft Updates (ITMU)

• Administración Servidor
• Sincronización con Microsoft Update (sólo
  Metadata)
• Download de contenido según se requiera a través
  de Wizard de SMS
• Administración Cliente
• Administración típica de SMS
• Windows Update Agent / Microsoft Update Tool
• Colecciones de equipos basadas en criterios
  avanzados
• SMS Reporting para installation compliance
• Eventos detallados (exitosos, fallidos)

25
Inventory Tool for Microsoft Updates
26
Baseline Security Analizer Management Pack

• Parte de Microsoft Operations Manager 2005

27
Introducción a MOM 2005

• Monitoreo avanzado de servidores
• Microsoft
• Non-Microsoft
• Management Packs
• Alertas y eventos centralizados
• Roles separados por consola
• Resolución automática de problemas
• Tareas comunes desde la consola del operador
• Visualización gráfica de la red
• Topología física y lógica de
• Active Directory
• Exchange Server 2003
• Reportes de gestión con SQL Reporting Services
• Bajo tiempo de implementación
• Integración con otros productos de monitoreo

28
MBSA Management Pack

• Basado en MBSA 2.0
• Instalación y reporting centralizado
• Alertas en la consola en relación a
• Updates faltantes
• Windows
• Office
• SQL
• Exchange
• Configuración de seguridad
• IIS
• SQL
• Windows
• Reportes web de SQL Reporting Services

29
Reporte de MBSA Management Pack
30
Recomendaciones

• Implementar una solución administrada
  centralizadamente
• Ambiente de testing
• Virtual PC
• Virtual Server 2005 R2
• Partir de lo más simple a lo más complejo
• Leer guías de implementación disponibles en
  Technet

31
Recursos

• Herramientas de Patch Management
• http//www.microsoft.com/technet/security/tools
• Windows Server Update Services
• http//www.microsoft.com/wsus
• Inventory Tool for Microsoft Updates SMS 2003
• http//www.microsoft.com/sms
• MBSA Management Pack
• http//www.microsoft.com/mom

32
(No Transcript)