微软补丁:知道什么时候等待更好

在又一个“补丁星期二”之后，微软每月都会发布补丁，微软Windows 8.1的升级也颇具挑战性，我被提醒，有时在安装补丁之前等待要好得多。升级后的系统仍然没有工作的无线接口，浏览器的运行也很奇怪。幸运的是，升级后的系统不是关键任务工业自动化和控制系统(IACS)，而是按照补丁管理的最佳实践安装在测试系统上。

补丁管理是一个风险管理过程

应用补丁是一个风险管理问题，因为打补丁意味着更改系统，如果执行不当，更改可能会对IACS的安全性、可操作性或可靠性产生负面影响。糟糕的补丁管理实践导致了工厂关闭和重大经济损失，当补丁导致IACS崩溃时。另一方面，不安装补丁也会导致工厂关闭和重大经济损失，当系统因蠕虫、病毒和黑客攻击而崩溃时。应用补丁需要在确保补丁不会对IACS产生负面影响和系统未打补丁的风险之间取得平衡。

准备要打补丁的IACS可能需要大量的工作。对于正在运行的每个IACS设备，资产所有者必须发现可用的补丁，确定补丁是否适用于他们的产品版本，在测试系统上安装和验证补丁，确保在为操作系统打补丁之前和之后创建备份，确保在将系统重新移交操作之前进行测试，并最终记录所做的所有更改。

如果应用补丁的关闭成本大于估计的风险，那么补丁通常会被资产所有者延迟。安装补丁所需的资源和精力意味着大多数组织都在正常的例行维护中断期间安排IACS补丁。有时这些中断窗口是每月、每季度，甚至更长时间。一些极其关键的系统可能没有允许的可用停机窗口，因此不能定期修补。对于这些关键系统，通常会采取其他安全控制措施来降低风险，例如严格限制对系统的任何网络访问。

对于产品供应商来说，准备IACS补丁也是昂贵和耗时的。他们必须发现可用的补丁，确定哪些补丁适用于哪些产品，确定哪些受支持的产品版本受到影响，针对每个产品版本测试补丁，然后将补丁信息和测试结果分发给客户。与此同时，他们的客户经常不耐烦地等待或打电话试图获得最新的关键补丁的状态。

ISA-TR62443-2-3

ISA 99委员会正在记录iacs安装和测试升级和补丁的最佳实践。IACS补丁管理指南将作为ISA技术报告(ISA- tr62443 -2-3)和IEC 62443系列中的技术规范发布。技术报告主要关注与安全相关的补丁，但是它定义的补丁管理过程也可以有效地应用于与安全无关的补丁和产品更新。

ISA 99技术报告定义了资产所有者在评估、测试和安装补丁时应采取的政策和程序。在Patch Tuesday补丁的情况下，最好等待产品供应商运行其测试并批准补丁，然后再将它们安装到操作系统上。

技术报告的目的是为资产所有者和产品供应商提供指导。资产所有者被定义为可以打补丁的系统的所有者和用户，产品供应商是系统或组件的供应商。该技术报告目前处于草案阶段，正在进行最后的清理，预计将于2014年底发布。它提供了基于行业最佳实践的具体细节，资产所有者可以使用这些细节建立和操作IACS补丁管理程序。它还描述了产品供应商应该使用的行业最佳实践，以查找、评估、测试和分发他们从操作系统、数据库和库供应商那里收到的补丁。该报告没有区分提供基础设施组件的供应商和提供IACS应用程序的供应商;它包含了适用于IACS的所有补丁的指导。

发现补丁可用性、状态

许多工业场所都安装了50到100个工业应用程序。跟踪哪个O/S、数据库或库补丁可以应用到哪个最终产品可能非常复杂。这通常需要来自产品供应商的信息，因为他们会针对自己的产品测试补丁，以确定可以应用哪些补丁。不幸的是，每个IACS产品供应商都有不同的方法、格式和方法来沟通补丁的测试和鉴定。IACS资产所有者必须联系每个IACS产品供应商，并将这些信息与他们的资产库存进行比较。为了简化这些信息的管理，TR62264-3-2定义了产品供应商可用于分发其补丁信息的特定格式。该格式是一个基于xml的文档，用于标识IACS产品供应商、产品、提供补丁的供应商(例如提供操作系统的公司)、补丁供应商的产品(例如操作系统版本)、补丁是否适用于IACS产品的指示、针对IACS产品的任何补丁测试的状态指示以及测试结果指示。ISA 99委员会的目标是让所有IACS产品供应商公布这些信息，最好是在他们的支持网站上。资产所有者可以快速下载补丁的状态，将它们与资产清单进行比较，并确定可以安全应用哪些补丁。虽然补丁信息的通用格式不会简化补丁的安装，但它将大大减少确定应用哪些补丁以及可以安全地忽略哪些补丁的时间。

在复杂的IACS环境中管理补丁是一个困难的过程。使用ISA 99标准和技术报告作为您自己的补丁管理流程的起点。这些文档中定义的最佳实践将有助于确保您将安装补丁的风险降到最低，并将未打补丁的自动化和控制系统的风险降到最低。

- Dennis Brandl是北卡罗来纳州Cary BR&L咨询公司的总裁，www.brlconsulting.com。他的公司专注于IT制造业。由CFE Media内容经理马克·t·霍斯克编辑，控制工程而且设备工程，mhoske@cfemedia.com．

在线

这张贴版本包含更多的信息比印刷/数字版本的问题控制工程．

在www.globalelove.com，在Brandl上搜索更多相关主题。

查看其他文章。

看到其他制造它而且系统集成文章。

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。