Updates installieren - in welchem Zyklus macht ihr es?

[Doso 77]

Wir folgen da eigentlich der Empfehlung des MVP Aidan Finn. Updates werden mit ~4 Wochen Verzögerung freigegeben. Will sagen Anfang Juni haben wir die Updates des Patch Day im May freigegeben. Natürlich machen wir eine Ausnahme wenn es ein kritisches Update ist und ziehen das vor oder verzögern Updates wenn es bekannte größere Probleme damit gibt.

 

Wir sind, auch wegen der anstehenden Windows 10 Migration, am grübeln ob dies noch so zeitgemäß ist. Einerseits hat man kritische Lücken wie WannaCry die man zeitnah patchen sollte, andererseits gibt es genug Beispiele für Probleme mit Updates. So gab es ja vor einer Weile ein Sicherheitsupdate das bei einigen Programmen die Druckfunktion quasi lahmgelegt hat. Das wäre für uns eine Katastrophe gewesen hätten wir dieses Update blind installiert.

 

Wie handhabt ihr das bei euch im Moment? Unterscheidet ihr da bei Clients und Servern?

[mwiederkehr 351]

Clients: für die IT sofort, für den Rest sieben Tage verzögert

 

Server: monatlich, eine Woche nach dem Patch Day und dann etwas gestaffelt, also nicht alle Terminalserver in einer Farm gleichzeitig etc.

 

Grundsätzlich versuche ich mich über Medien, Foren und Mailinglisten zu informieren. So weiss ich, wenn ein Update wirklich dringend ist oder habe eine Woche Reserve, falls es Probleme mit einem Update gibt.

[Foga 0]

Persönlich warte ich immer eine Woche und klappere dann die üblichen Seiten ab ob es seit dem Patchday nennenswerte Probleme gibt. Die Server bereiten mir da am wenigsten Kopfzerbrechen da diese per Veem Backup schnell wiederhergestellt sind. Für kritische Updates habe ich eine eigene Clientgruppe am WSUS, wenn die 1-2 Tage keine Probleme machen, gehen die Updates an alle raus.

Früher habe ich Updates sobald verfügbar verteilen lassen und entsprechend genügend Lehrgeld gezahlt ;)

 

Man darf sich durch die WannaCry Geschichte nicht verrückt machen lassen. M$ hatte schon im März einen Patch für die aktuellen Betriebssysteme rausgegeben. Im großen Stil ausgenutzt wurde die Lücke dann erst im Mai.

Zum einem installieren scheinbar viele gar keine Updates, zum anderen gibt es noch tatsächlich Admins welche nicht mehr supportete Betriebssysteme in einer Produktivumgebung laufen lassen. No risk, no fun...

Die Firmenleitung ist zwar nie begeistert wenn man neue Lizenzen für Server/Workstation Upgrades kaufen muss. Aber wenn man eine Unterschrift will das im Falle eines Ausfalls, der durch ein aktuelles OS vermeidbar gewesen wäre, keine Verantwortung dafür trägt, ist das Thema ganz schnell erledigt ;) In 3 Jahren läuft der Win7 Support aus...

bearbeitet 22. Juni 2017 von Foga

[MurdocX 903]

Wir patchen unsere System auch nach einzelnen Intervallen. Getrennt, jeweils durch 3 Tage dazwischen. Mit den Servern wird auch so verfahren. Das hat sich bisher gut bewährt. 

 

Ring-PC-0 = IT (Sofort)

Ring-PC-1 = Schulungssysteme

Ring-PC-2 = Mitarbeiter / Notebooks

[monstermania 53]

Moin,

wir patchen auch die IT Systeme zuerst. Erst wenn es hier keine Probleme gibt werden die Patches an die übrigen Clients ausgerollt.

Ausnahmen sind natürlich z.B. Zero-Day-Exploits. Her werden dann patsches auch mal komplett freigegeben.

 

Bei Servern ist die Lage etwas komplizierter. Gepatcht wird i.d.R. grundsätzlich am WE, da durch Schichtdienst diverse Systeme von Mo-Fr 06-22 Uhr im Zugriff sind. Auch müssen bestimmte Reihenfolgen beim patchen eingehalten werden, da es manche Frontendsysteme nicht so gern haben, wenn Ihnen plötzlich die Datenbank entzogen wird.  ;)

 

 

Zum einem installieren scheinbar viele gar keine Updates, zum anderen gibt es noch tatsächlich Admins welche nicht mehr supportete Betriebssysteme in einer Produktivumgebung laufen lassen. No risk, no fun...

Die Firmenleitung ist zwar nie begeistert wenn man neue Lizenzen für Server/Workstation Upgrades kaufen muss. Aber wenn man eine Unterschrift will das im Falle eines Ausfalls, der durch ein aktuelles OS vermeidbar gewesen wäre, keine Verantwortung dafür trägt, ist das Thema ganz schnell erledigt ;) In 3 Jahren läuft der Win7 Support aus...

 

Ja ja, das spricht wieder mal der typische Business-Admin  :D. Kannst ja mal im Industrie- bzw. Fertigungsbereich versuchen für alle Systeme Updates zu bekommen :cry:. Da sieht es u.a. Dreh- und Fräßmaschinen nicht rosig aus. Unsere laufen teilweise auf XP, oder Windows 7 (teilweise CE). Dazu kommt dann noch ein Sammelsurium von individuellen Meß- und Prüfständen. Probleme verursachen hier zumeist die Messkarten, für die es schlichtweg keine Treiber für aktuelle BS gibt! Selbst alte Hardware haben wir uns inzwischen auf Lager gelegt (z.B. fehlende Legacy-Schnittstellen).

Erst im letzten Jahr ist unser letzter WfW 3.11 Druckprüfstand in Rente gegangen (486'erDX2-66 mit 16 MB RAM). 

Mein "aktueller" Oldie ist ein alter Windows 2000 Server der aktiv läuft (uralte Sybase DB mit PPS-Anwendung).

 

Natürlich habe die Fertigungsrecher Ihr eigenes Netz ohne Internetzugang.

Trotzdem ein schlechtes Gefühl bleibt! 

[Foga 0]

Erinnert mich an diesen Artikel: http://t3n.de/news/c64-commodore-autowerkstatt-750883/ :D

Ich hab auch noch einen Uralt-Rechner mit WinXP auf dem eine Telefonsoftware läuft. EIne Umstellung auf einen virtuellen aktuellen Server und entsprechender aktueller Software kostet ein paar tausend Euro, was die Geschäftsleitung nicht springen lassen will. Irgendwo verständlich wenns so läuft. Aber ich hab hier einen unterschriebenen Bericht, das falls die Hardware defekt ist mir es nicht mehr möglich ist den Server wiederherzustellen und ich mindestens 2 Wochen brauche alles neu zu organisieren und aufzusetzen. Ja das schlechte Gefühl bleibt ;)

[Doso 77]

Ja, solche Legacy Systeme sind dann natürlich die Ausnahme. Wir haben auch ein paar XP Dinger in ihrem eigenen Netzwerk und hoffen das sie irgendwann sterben.