Wie der Patch Tuesday nach 20 Jahren den Takt hält

Am 9. Oktober 2003kündigte Microsoft CEO Steve Ballmer an, dass das Unternehmen nur einmal im Monat Sicherheitspatches herausgeben werde, um „die Belastung der IT-Administratoren zu verringern, indem es ein Maß an erhöhter Vorhersagbarkeit und Verwaltbarkeit hinzufügt“.

Zwei Jahrzehnte später veröffentlicht Microsoft seine Sicherheitsupdates weiterhin jeden zweiten Dienstag im Monat, mit gelegentlichen Ausnahmen für Notfälle, und viele andere Unternehmen wie Oracle und Adobe folgen ähnlichen Regeln.

Patch-Dienstag Risikomanagement zu einem monatlichen Termin gemacht, aber wie viele Innovationen aus der Krise heraus gegründet. Anfang 2002, kurz nachdem die Welt zwei ihrer ersten Cyber-Untergangstage erlebt hatte, Code Red und Nimdahat Microsoft beschlossen, seine Sicherheitsphilosophie zu ändern. Die beiden Würmer, die innerhalb weniger Stunden Hunderttausende von Computern infizierten, nutzten Schwachstellen aus, für die Patches verfügbar waren.

„Das Problem war nicht, dass wir keine Patches erstellten; das Problem war, dass die Leute sie nicht schnell genug verteilten“, sagt Christopher Budd, der von 2000 bis 2010 bei Microsoft war und jetzt Senior Manager für Bedrohungsforschung bei Sophos ist .

Zu dieser Zeit war das Trauma des 11. September in Nordamerika greifbar, und es gab eine wachsende Besorgnis innerhalb von Microsoft in Bezug auf die Sicherheit. Am 15. Januar 2002 schickte Bill Gates seine berühmte Vertrauenswürdiges Computing-Memodie die Bedeutung des Schutzes von Kunden und ihren Systemen hervorhebt.

Eine Möglichkeit zur Verbesserung der Sicherheit bestand darin, die Bereitstellung von Patches zu ändern. Anstatt sie also unvorhersehbar auf einer Ship-When-Ready-Basis mehrmals während einer Woche anzukündigen, begann Microsoft, sie zu stapeln, um es den Kunden zu erleichtern, mit allem Schritt zu halten.

Zunächst sei die Idee als „stilles Pilotprojekt“ umgesetzt worden, sagt Budd. Da es jedoch vielversprechende Ergebnisse zeigte, wurde es bald offiziell gemacht. Der erster offizieller Patch Tuesday Der Bericht wurde am 14. Oktober 2003 veröffentlicht und enthielt sieben Schwachstellen, von denen fünf als kritisch eingestuft wurden.

„Dienstag war der früheste Tag in der Woche, an dem wir das Gefühl hatten, diese nachhaltig anbieten zu können“, sagt Budd, der beim Aufbau von Patch Tuesday mitgewirkt hat.

Dieser Ansatz mit festen Zeitplänen ist zu einer branchenüblichen Praxis geworden. Doch der Weg dorthin war nicht immer glatt.

Die frühen Tage des Patch Tuesday

Im Laufe der Jahre hat Microsoft seinen Ansatz für Sicherheitspatches weiterentwickelt und verfeinert und sich an sich ändernde Bedrohungen angepasst. Bemerkenswerte Würmer, die Code Red folgten, wie z Sasser und Blasterhalf Patch Tuesday zu wachsen und schließlich zu reifen.

Budd und seine Kollegen im Microsoft Security Response Center, die nach dem Trustworthy Computing-Memo „plötzlich unglaublich wichtig wurden“, versuchten, Verbesserungen bei der Bereitstellung und Erkennung von Patches vorzunehmen. Eine wichtige Errungenschaft war die Entwicklung von Tools, die es Administratoren ermöglichten, einen Scan durchzuführen und die Systeme zu identifizieren, die Sicherheitsupdates benötigten – eine Idee, die zwar einfach war, sich aber als bahnbrechend herausstellte.

Der gesamte Prozess der Veröffentlichung von Patches erforderte umfangreiche Arbeit, insbesondere am Montag vor dem Patchday, als alles überprüft werden musste. Sicherheitsexperten haben lange gearbeitet, Geburtstagsfeiern verpasst und sogar in der Microsoft-Zentrale geduscht, weil sie keine Zeit hatten, nach Hause zu gehen.

Aus diesem Grund wurden die Veröffentlichungen der Bulletins mit Musik gefeiert, die aus Lautsprechern dröhnte.

„Als die Bulletins online waren, war das eine große Sache für uns“, sagt Dustin Childs, der von 2008 bis 2014 bei Microsoft war und jetzt Head of Threat Awareness bei der Zero Day Initiative von Trend Micro ist.

Normalerweise wurde die Musik vom Veröffentlichungsmanager für dieses Bulletin ausgewählt.

„Ich erinnere mich, dass es einen Monat lang klingonische Musik war, aber normalerweise war es Rock’n’Roll“, sagt Childs.

Gelegentlich kam es kurz nach dem Ende der Musik zu Chaos, weil einige Patches unbeabsichtigte Folgen hatten. Ein bemerkenswerter Vorfall ereignete sich im Februar 2010, als Tausende von Kunden fast sofort Bluescreens meldeten.

Als Sicherheitsexperten in Redmond von dem Bluescreen-Problem hörten, versuchten sie, es zu replizieren, konnten es aber nicht. In Ermangelung einer besseren Lösung kaufte Microsoft den Computer eines Kunden, der ein Support-Center in der Nähe von Dallas anrief, um das Problem zu melden.

„Und sobald wir diesen Computer bekamen, stellten wir fest, dass darauf ein Rootkit installiert war“, sagt Childs.

Der Alureon Rootkit hat Änderungen an Windows-Kernel-Binärdateien vorgenommen, was dazu führte, dass die Systeme instabil wurden. Das Unternehmen veröffentlichte den Patch erneut und behob das Problem.

„Der wirklich lustige Teil war jedoch, dass die Leute, die das Rootkit erstellten, es schneller herausfanden als wir und ihr Rootkit innerhalb von 48 Stunden aktualisiert hatten, um den Patch zu vermeiden [of the release]“, sagt Childs. „Wir haben eine Woche gebraucht, um es zu reparieren!“

Und es war nicht die einzige bizarre Episode in der Geschichte des Patch Tuesday. Childs erinnert sich zum Beispiel daran, dass ein Internet Explorer-Patch das Online-Banking in Südkorea zum Absturz brachte, während ein Windows Media Player-Patch ein ganzes Land zerstörte – zweimal.

„Aus irgendeinem Grund kam es auf Systemen in Dänemark zu einem Bluescreen“, sagt er. „Also mussten wir diesen Patch zurückrufen und reparieren, ihn erneut veröffentlichen. Und dann, im nächsten Monat, passierte dasselbe noch einmal. Ich weiß nicht, was an den Systemen in Dänemark spezifisch war.“

Auch heute können einige Patches, die von Softwareunternehmen im Allgemeinen, nicht nur von Microsoft, veröffentlicht werden, Probleme verursachen, die für diejenigen, die sie installieren, frustrierend sein können. Childs argumentiert, wenn Anbieter die Zuverlässigkeit dieser Fixes verbessern, könnten Kunden eher bereit sein, sie sofort anzuwenden, anstatt wochen- oder monatelang zu warten, um zu sehen, ob andere Probleme hatten.

Der abwartende Ansatz kann riskant sein, da es ihre Systeme anfällig für bekannte Schwachstellen macht. Aus diesem Grund empfiehlt Childs den Benutzern, Patches so schnell wie möglich anzuwenden. Er fordert sie auch auf, darauf aufmerksam zu machen Patches von schlechter Qualität.

„Lassen Sie uns die Anbieter zur Rechenschaft ziehen“, sagt Childs. „Lasst uns sicherstellen, dass sie gute Patches produzieren.“

Aanchal Gupta, stellvertretender CISO bei Microsoft, sagt, das Unternehmen führe „umfangreiche Tests“ von Patches durch.

„Bevor wir einen Patch an unsere Kunden herausgeben, durchläuft er strenge Tests, nicht nur innerhalb von Microsoft. … [W]Wir haben auch eine Reihe von Beta-Testern, externe Unternehmen, und sie bekommen die Patches früh, bevor diese tatsächlich veröffentlicht werden“, sagt sie. „Sie können in ihrer Umgebung testen und uns berichten, ob es in ihrer Umgebung etwas Einzigartiges gibt was dazu führen könnte, dass der Patch nicht funktioniert.»

Patch-Dienstag heute

Der Patchday hat sich seit den frühen Tagen, als klingonische Musik aus den Lautsprechern schallte, weit entwickelt. Im Laufe der Zeit sind die Veröffentlichungen leiser und sogar automatisiert geworden und für einige Benutzer unsichtbar geworden.

In den letzten zehn Jahren hat Microsoft mehrere Änderungen vorgenommen, um den Prozess zu rationalisieren. So kündigte sie Mitte der 2010er Jahre kumulative Updates an, sodass ein Kunde, der beispielsweise fünf Patches verpasste, nur noch den letzten installieren musste, weil die anderen darin enthalten waren. Das Unternehmen führte auch maschinenlesbare Sicherheitsupdate-Leitfäden ein, was bedeutete, dass sich Unternehmen mit großen Flotteneinsätzen auf die Automatisierung verlassen konnten.

Aber nicht jede Änderung wurde von der Community begrüßt. Als Microsoft beschloss, Sicherheitsbulletins zu eliminieren und sie durch Security Update Guides zu ersetzen, beschwerten sich Kunden darüber, dass die erhaltenen Informationen weniger intuitiv seien. Etwas Ähnliches geschah im Herbst 2020, als der Technologieriese Zusammenfassungen entfernte, die detaillierte Informationen zu Schwachstellen enthielten. Wieder einmal argumentierten viele in der Branche, dass sie nicht genügend Informationen erhalten hätten, was ihre Entscheidungsfindung erschwerte.

Das war „wahrscheinlich die disruptivste“ Entscheidung, die Microsoft getroffen hat, sagt Sicherheitsforscherin Claire Tills. «Ich weiß, dass einige Verteidiger auch wirklich Probleme damit hatten.»

In jüngerer Zeit, im Jahr 2022, unternahm Microsoft einen weiteren Schritt, um den Patch Tuesday zu einem regulären Dienstag zu machen, als es dies ankündigte Autopatch, das Kunden mit Windows Enterprise E3- und E5-Lizenzen versprach, den Prozess der Behebung von Sicherheitslücken zu vereinfachen. Der Schritt ließ Organisationen sich fragen, ob der Patch Tuesday, wie wir ihn kennen, verschwinden könnte, ein Gerücht, das Microsoft bestritt.

Die Publicity rund um den Patch Tuesday wird immer kleiner, und die Anzahl der Patchday-Schwachstellen hat vielleicht seinen Höhepunkt erreicht. Im Jahr 2020, einem besonders «aggressiven Jahr», zählte Tills rund 1.200, während sie 2022 663 sah.

„In Bezug auf die Arten von Schwachstellen sind es konsequent die Erhöhung von Berechtigungen und die Remotecodeausführung“, sagt sie. „Hin und wieder bekommen wir Spitzen bei der Offenlegung von Informationen und der Umgehung von Sicherheitsfunktionen – diese beiden tauchen auch auf.“

Aber trotz der Funktionen, die den Prozess der Anwendung von Patches rationalisieren sollen, kann diese Aufgabe für kleine Unternehmen, die sich kein dediziertes technisches Support-Team leisten können, immer noch entmutigend sein. Aus diesem Grund empfiehlt Gupta diesen Kunden, in die Cloud zu wechseln.

„Dann können Sie sich ganz auf Ihr Geschäft konzentrieren und müssen sich nicht um das Patchen und Verwalten von Systemen kümmern“, sagt sie. «Ich ermutige die Leute auch, die Standard-Upgrades nicht zu deaktivieren.»

Aber ist es angesichts des Übergangs zur Automatisierung der Prozesse obsolet, einen Tag für Updates aufzuwenden?

Wird der Patch Tuesday obsolet?

Es ist schwer, sich eine Welt der Cybersicherheit ohne den Patch Tuesday vorzustellen, der seit zwei Jahrzehnten ein fester Bestandteil der Branche ist. Da die Bedrohungen immer ausgefeilter und die Geopolitik volatiler wird, reicht das traditionelle Modell des Patch Tuesday jedoch möglicherweise nicht mehr aus, um die Systeme sicher zu halten.

Unternehmen, die in komplexen Umgebungen tätig sind, beispielsweise in diesen wettbewerbsintensiven Bereichen oder in heißen Gebieten wie der Ukraine, können es sich nicht leisten, Fehler beim Patch-Management zu machen. Bedrohungsakteure „zielten oft auf technische Schwachstellen ab und nicht auf bestimmte Personen oder Organisationen“, sagt Nazar Tymoshyk, Gründer und CEO des Cybersicherheits-Startups UnderDefense, das mehrere Organisationen während des andauernden Krieges mit Russland geschützt hat.

„Die Ausnutzung ungepatchter Schwachstellen in Technologie-Stacks oder veralteter Web-Ressourcen macht immer noch 50 % der [Russia’s] Erfolg bei Cyber-Intelligence-Operationen», sagt er.

Tymoshyk glaubt, dass der Patch Tuesday immer noch notwendig ist und nicht zurückgezogen werden sollte. Organisationen sollten jedoch darauf aufbauen und sie annehmen zusätzliche Patch-Routinen abhängig von der Größe und Komplexität ihrer Infrastruktur oder der Arten von Software und Systemen, die sie verwenden.

Satnam Narang, leitender Forschungsingenieur bei Tenable, befürwortet es ebenfalls, den Patchday am Leben zu erhalten, da Routinen Unternehmen dabei helfen können, a sicherheitsorientierte Kultur.

„Jede Woche kommen die Leute, um den Müll von unserer Straße abzuholen, und wir wissen, dass das jede Woche an einem bestimmten Tag passiert“, sagt er. „Patch Tuesday ist deshalb eine wertvolle Ressource, weil er jeden Monat an einem bestimmten Tag stattfindet, sodass Unternehmen sich die Zeit nehmen können, die zum Patchen dieser Schwachstellen erforderlich ist.“

Ein chaotisches Patch-System funktioniert möglicherweise nicht, sagt Narang, weil die Sicherheitsteams bereits überfordert sind. Aviv Grafi, CTO und Gründer von Votiro, stimmt zu. „Zeit ist ein entscheidender Faktor, und wir müssen uns darauf konzentrieren, Technologien und Software zu nutzen, die Sicherheitsteams früher mehr Zeit verschafft“, sagt Grafi.

Sicherheitsforscher fügen außerdem hinzu, dass kontinuierliche Patch-Zyklen und automatische Updates in manchen Fällen auf Unternehmensebene nicht immer durchführbar sein. „Im Falle eines Problems müssen große Organisationen in der Lage sein, Systeme in einen bekannten Zustand zurückzusetzen, und das erfordert Planung“, sagt David Farquhar, Lösungsarchitekt bei Nucleus.

Der Patch Tuesday ist ein entscheidendes Element in den Routinen vieler Organisationen, aber trotzdem kann er unvorhersehbar sein. Die vergangenen Jahre haben gezeigt, dass sich seine Struktur ohne Vorwarnung ändern kann. „Obwohl sich der Patch Tuesday so grundlegend und solide anfühlt, kann er sich im Handumdrehen ändern“, sagt Tills. „Das Ende des Patch Tuesday könnte sich für viele Organisationen katastrophal anfühlen.“

Vorerst sieht es jedoch so aus, als ob Microsoft das Programm am Laufen halten wird. „Ich würde mir keine Sorgen machen, dass der Patch Tuesday so bald wegfällt“, sagt Gupta.