Gruppenrichtlinie(n) werden an EINEM (!) Client/Benutzer nicht angewendet

[blub 115]

PS: Danke an MS für MS16-072 - mehr "Vergnügen" hat uns schon lange kein "Hotfix" mehr beschert

Es steht ja ein bestimmter Sinn hinter dem Patch.

Derjenige Administrator, der eben mal einen WSUS aufsetzt und blind -ohne die Bulletins zumindest mal zu überfliegen- alle Hotfixe freigibt, wird früher oder später wieder auf die Nase fallen.

[NorbertFe 2.283]

Wieviele kennst du tatsächlich die sich durch alle Bulletins lesen? Und dass ms hier mal eben eine grundlegende Änderung ohne Ankündigung rausschickt ist auch nicht besonders "nett"

[blub 115]

Meine Kollegen und ich investieren jeden Patch-Mittwoch ca. einen halben bis ganzen Tag, um alle Bulletins durchzulesen und zumindest grundlegend zu verstehen und zu kategorisieren. Finde ich wiegesagt auch wichtig, da es Patches gibt, die z.B. erst durch weitere Konfiguration wirksam werden. Oder auch bei .Net patches, dass Klassen deaktiviert werden -> das müssen dann die Entwickler und Anwendungsbetreuer wissen, etc.

Auch in meiner vorigen Firma war das üblich. Daher wundert mich deine Nachfrage ein klein wenig. Dieser Schritt gehört für mich seit Langem zum Patchday-Prozess dazu. Offenbar bin ich aber wohl eher die Ausnahme

 

Microsoft hat beim MS16-072 in der Vorankündigung (Newsletter) tags zuvor deutlich auf die grundlegende Änderung des GPO-Security Konzepts hingewiesen und im Bulletin auch nochmal. Was soll Microsoft denn noch machen, wenn die Notwendigkeit einer solchen Änderung besteht?

[NorbertFe 2.283]

oh doch schon einen Tag vor Veröffentlichung... Richtig viel Zeit. ;) Und ja, ich kenne viele, die zwar Testgruppen im WSUS drin haben, aber kaum jemanden der die Bulletins alle liest. Nein ich lese die auch nicht alle, sondern im Bedarfsfall.

 

Im Übrigen kam die GP Productgroup recht überrascht rüber, dass es da solche Probleme gab und intern wurde auch von anderen kommuniziert, dass es offenbar an Testszenarien gefehlt hat. Also insofern bezweifle ich einfach mal, dass da jeder auch bei MS über die Tragweite Bescheid wußte. ;)

 

Bye

Norbert

[blub 115]

Vielleicht kam es in meinem Post von letzter Nacht etwas falsch rüber:

So aufwändig ist es nicht, die Bulletins zu lesen und zu verstehen! Die allermeisten Patches ersetzen einfach eine dll (Remote Code Execution, Privileges Elevation). Da gibt es nur "friss" oder "stirb".

Bei ein paar wenigen Patches muss man ggf. vor dem Einsatz sich etwas damit beschäftigen. Die Bulletins/ KBArtikel sind dann aber recht deutlich.

[daabm 1.431]

WIr machen das wie Blub - je ein Kollege vom Client- und vom Serverteam sowie einer aus dem AD-Team liest alle (!) relevanten Bulletins durch. Deshalb ging der MS16-072 bei uns auch nicht in den Juni-Patchday. Und je nach betroffenen Anwendungen sind noch weitere dabei (SQL, Office etc...).

 

Hat sich bewährt - man will nicht 100k Clients lahmlegen :) :)