Patchmanagement und. Securityupdates SIMATIC. Prozessleitsystem PCS 7. Patchmanagement und Securityupdates. Vorwort 1

Transkript

1 Patchmanagement und Securityupdates SIMATIC Vorwort 1 Patchmanagement und Securityupdates 2 Hinweise für die Praxis 3 Prozessleitsystem PCS 7 Patchmanagement und Securityupdates Inbetriebnahmehandbuch 12/2011 A5E

2 Rechtliche Hinweise Rechtliche Hinweise Warnhinweiskonzept Dieses Handbuch enthält Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die Hinweise zu Ihrer persönlichen Sicherheit sind durch ein Warndreieck hervorgehoben, Hinweise zu alleinigen Sachschäden stehen ohne Warndreieck. Je nach Gefährdungsstufe werden die Warnhinweise in abnehmender Reihenfolge wie folgt dargestellt. GEFAHR bedeutet, dass Tod oder schwere Körperverletzung eintreten wird, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. WARNUNG bedeutet, dass Tod oder schwere Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT mit Warndreieck bedeutet, dass eine leichte Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT ohne Warndreieck bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. ACHTUNG bedeutet, dass ein unerwünschtes Ergebnis oder Zustand eintreten kann, wenn der entsprechende Hinweis nicht beachtet wird. Beim Auftreten mehrerer Gefährdungsstufen wird immer der Warnhinweis zur jeweils höchsten Stufe verwendet. Wenn in einem Warnhinweis mit dem Warndreieck vor Personenschäden gewarnt wird, dann kann im selben Warnhinweis zusätzlich eine Warnung vor Sachschäden angefügt sein. Qualifiziertes Personal Das zu dieser Dokumentation zugehörige Produkt/System darf nur von für die jeweilige Aufgabenstellung qualifiziertem Personal gehandhabt werden unter Beachtung der für die jeweilige Aufgabenstellung zugehörigen Dokumentation, insbesondere der darin enthaltenen Sicherheits- und Warnhinweise. Qualifiziertes Personal ist auf Grund seiner Ausbildung und Erfahrung befähigt, im Umgang mit diesen Produkten/Systemen Risiken zu erkennen und mögliche Gefährdungen zu vermeiden. Bestimmungsgemäßer Gebrauch von Siemens-Produkten Beachten Sie Folgendes: WARNUNG Siemens-Produkte dürfen nur für die im Katalog und in der zugehörigen technischen Dokumentation vorgesehenen Einsatzfälle verwendet werden. Falls Fremdprodukte und -komponenten zum Einsatz kommen, müssen diese von Siemens empfohlen bzw. zugelassen sein. Der einwandfreie und sichere Betrieb der Produkte setzt sachgemäßen Transport, sachgemäße Lagerung, Aufstellung, Montage, Installation, Inbetriebnahme, Bedienung und Instandhaltung voraus. Die zulässigen Umgebungsbedingungen müssen eingehalten werden. Hinweise in den zugehörigen Dokumentationen müssen beachtet werden. Marken Alle mit dem Schutzrechtsvermerk gekennzeichneten Bezeichnungen sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen in dieser Schrift können Marken sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann. Haftungsausschluss Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig überprüft, notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten. Siemens AG Industry Sector Postfach NÜRNBERG DEUTSCHLAND A5E P 11/2011 Copyright Siemens AG Änderungen vorbehalten

3 Inhaltsverzeichnis 1 Vorwort Aufbau und Dokumentstruktur Besondere Hinweise Definitionen Welche Patches sollten installiert werden Patchmanagement Patchmanagement mit WSUS-Server Patchmanagement-Strategie Installation des WSUS-Servers WSUS-Server WSUS-Client Hinweise für die Praxis Allgemeine Informationen Spezielle Informationen...18 Inbetriebnahmehandbuch, 12/2011, A5E

4 Inhaltsverzeichnis 4 Inbetriebnahmehandbuch, 12/2011, A5E

5 Vorwort Aufbau und Dokumentstruktur Das Sicherheitskonzept PCS 7 & WinCC besteht aus mehreren Teilen: Das Basisdokument ist der zentrale Überblick und Wegweiser durch das Sicherheitskonzept PCS 7 & WinCC. Dort werden die Grundprinzipien und Security-Strategien des Security-Konzepts in systematisierter Form beschrieben. Alle zusätzlichen Detaildokumente setzen die vollständige Kenntnis des Basisdokumentes voraus. Die Detaildokumente (dieses Dokument ist ein solches Detaildokument) erläutern die einzelnen Prinzipien, Lösungen und deren empfohlene Konfiguration in detaillierter Form, jeweils auf ein bestimmtes Detail-Thema fokussiert. Die Detaildokumente werden unabhängig voneinander ergänzt, aktualisiert und bereitgestellt, um eine hohe Aktualität zu gewährleisten. Inbetriebnahmehandbuch, 12/2011, A5E

6 Vorwort 1.2 Besondere Hinweise 1.2 Besondere Hinweise Ziel des Sicherheitskonzept PCS 7 & WinCC Oberste Priorität in der Automatisierung hat die Aufrechterhaltung der Kontrolle über Produktion und Prozess. Auch Maßnahmen, die die Ausbreitung einer Sicherheitsbedrohung verhindern sollen, dürfen dies nicht beeinträchtigen. Aufgrund der sich stetig weiterentwickelnden Bedrohungslage kann selbst bei vollständiger Umsetzung des Sicherheitskonzeptes nicht dauerhaft von einem hundertprozentigen / lückenlosen Schutz ausgegangen werden. Eine regelmäßige Bewertung der umgesetzten Maßnahmen im Rahmen des Sicherheitskonzeptes wird daher empfohlen. Das Sicherheitskonzept PCS 7 & WinCC soll sicherstellen, dass nur authentifizierte Benutzer über die ihnen zugewiesenen Bedienmöglichkeiten an authentifizierten Geräten autorisierte (erlaubte) Bedienungen durchführen können. Diese Bedienungen sollen ausschließlich über eindeutige und geplante Zugriffswege erfolgen, um während eines Auftrages eine sichere Produktion oder Koordination ohne Gefahren für Mensch, Umwelt, Produkt, zu koordinierende Güter und das Geschäft des Unternehmens zu gewährleisten. Das Sicherheitskonzept PCS 7 & WinCC empfiehlt dazu den Einsatz der aktuell verfügbaren Sicherheitsmechanismen. Um die höchstmögliche Sicherheit zu erreichen, dürfen anlagenspezifisch skalierte Konfigurationen den Grundprinzipien dieses Sicherheitskonzepts nicht widersprechen. Das Sicherheitskonzept PCS 7 & WinCC soll die Zusammenarbeit der Netzwerkadministratoren von Unternehmensnetzen (IT-Administratoren) und Automatisierungsnetzen (Automatisierungsingenieuren) erleichtern, so dass die Vorteile der Vernetzung der Prozessleittechnik mit der Datenverarbeitung der anderen Produktionsebenen ohne beidseitig erhöhte Sicherheitsrisiken genutzt werden können. Erforderliche Kenntnisse Diese Dokumentation wendet sich an Personen, die in den Bereichen Projektierung, Inbetriebnahme und Service von Automatisierungssystemen mit SIMATIC tätig sind. Administrationskenntnisse der aus der Bürowelt bekannten IT-Techniken werden vorausgesetzt. Gültigkeitsbereich Das Sicherheitskonzept PCS 7 & WinCC löst die vorhergehenden Dokumente und Empfehlungen "Sicherheitskonzept PCS 7" und "Sicherheitskonzept WinCC" schrittweise ab und ist gültig ab WinCC V6.2 und PCS 7 V Inbetriebnahmehandbuch, 12/2011, A5E

7 2 Das regelmäßige und zeitnahe Einspielen von Softwareaktualisierungen (Patches) ist ein wichtiger Bestandteil eines umfassenden Security-Konzepts. Patches tragen zum stabilen Betrieb eines Systems bei und/oder schließen bekannt gewordene Sicherheitslücken. 2.1 Definitionen Patch Unter dem Überbegriff Patch versteht Microsoft alle Arten von Updates, Service Packs, Feature Packs und ähnliches, unabhängig davon ob diese sicherheitstechnisch relevant sind oder nicht. Security Updates Unter dem Begriff "Security Updates" oder auch Sicherheitsupdates werden ausschließlich sicherheitsrelevante Updates zusammengefasst. Wichtige Updates Unter dem Begriff "Wichtige Updates" werden Updates zusammengefasst, die keine sicherheitsrelevanten Lücken sondern andere kritische Fehler beheben. WSUS Windows Server Update Services - Mit dieser Software können Systemadministratoren Updates verwalten und auf Computer verteilen, die mittels Microsoft Update bereitgestellt werden. Microsoft Update Die Website, mit der sich die Update Services-Komponenten verbinden, um Updates für Microsoft-Produkte zu beziehen. Update Services-Server Auf dem Update Service-Server werden die Updates zentral gespeichert. Der Update Services-Server stellt die Features zur Verfügung, die der Administrator benötigt, um Updates zu verwalten und zu verteilen. Darüber hinaus kann der Update Services-Server als Updatequelle für andere Update Services-Server dienen. Inbetriebnahmehandbuch, 12/2011, A5E

8 2.1 Definitionen Automatische Updates Die in die Betriebssysteme Windows 2000 mit SP4, Windows XP und Windows Server 2003 integrierte Clientkomponente. Automatische Updates ermöglicht Computern, Updates von Microsoft Update oder von einem Server, auf dem Update Services ausgeführt wird, zu beziehen. 8 Inbetriebnahmehandbuch, 12/2011, A5E

9 2.2 Welche Patches sollten installiert werden 2.2 Welche Patches sollten installiert werden Durch die Einführung des WSUS und die Erweiterung von Windows Update (nur Patches für die Betriebssysteme) zu Microsoft Update (Patches für eine Vielzahl von Microsoft- Produkten) hat Microsoft neue Klassifizierungen für Patches eingeführt: Definitionsupdates Feature Packs Service Packs Sicherheitsupdates Tool Treiber Update-Rollups Wichtige Updates Updates Viele Patches dieser Klassifizierungen sind, für den sicheren und stabilen Betrieb einer Anlage, nicht wichtig oder nötig. Definitionsupdates liefern Patterndateien für Microsofts eigene Security-Programme, wie den "Windows Defender", die aber aktuell nicht für den Betrieb mit SIMATIC-Software freigegeben sind. Feature Packs und Tools bringen meist neue Funktionalitäten, die aber von SIMATIC-Software nicht genutzt werden. Update- Rollups sind nur Sammlungen von schon erschienenen Patches. Treiber sind neue Hardwaretreiber, man sollte aber immer die von Siemens mitgelieferten und freigegebenen Treiber benutzen. Service Packs führen manchmal zu großen Änderungen im Betriebssystem und werden von Siemens nur mit neuen Versionen freigegeben. Updates beheben unbedeutende Schönheitsfehler eines Programms. Aus diesem Grund sind nur Wichtige Updates und Sicherheitsupdates für Automatisierung-Systeme relevant. Für Patches dieser beiden Klassifizierungen führt Siemens sofort nach Freigabe durch Microsoft Tests durch. Die Testergebnisse werden zeitnah im Internet veröffentlicht (s.u.). Werden bei den Tests Probleme festgestellt, werden die Kunden über Newsletter oder FAQ-Einträge informiert. Microsoft liefert für fast alle Produkte Patches, auch Produkte die keine Bedeutung für SIMATIC-Software haben. Nur Patches für das Windows Workstation Betriebssystem, das Windows Server Betriebssystem, den Internet Explorer, den SQL Server und Microsoft Office, in der jeweiligen zur SIMATIC Software freigegebenen Version, werden betrachtet. Allgemeine Siemens Aussagen bezüglich Microsoft Patches, Informationen über Einschränkungen und eine Liste aller auf Verträglichkeit getesteten Patches findet sich im Internet unter Werden andere als die in der Verträglichkeitsliste genannten Microsoft Produkt-Patches in einer Anlage eingespielt und sollten dadurch Probleme auftreten, muss gegebenenfalls der Support durch Siemens kostenpflichtig geleistet werden. Inbetriebnahmehandbuch, 12/2011, A5E

10 2.3 Patchmanagement 2.3 Patchmanagement Zwar ist es möglich, dass sich jeder Rechner seine Patches direkt über Microsoft Update bezieht oder dass die Patches bei jedem Rechner einzeln über eine CD oder ein Netzlaufwerk installiert werden, aber diese Möglichkeiten sind umständlich oder setzen einen Internetzugriff jedes einzelnen Rechners voraus. Deshalb empfiehlt sich eine zentrale Lösung zum Verteilen der Patches. Siemens empfiehlt in diesem Fall den Windows Server Update Service Patchmanagement mit WSUS-Server Neben der Konfiguration und der Administration der WSUS-Server und Clients ist für ein gutes Patchmanagement auch der Standort der WSUS-Server und die Strategie der Verteilung der Updates wichtig. Nicht alle Rechner brauchen die gleichen Updates und manche Rechner dürfen bestimmte Updates nicht erhalten. Beim WSUS kann zwischen zwei unterschiedlichen Aufbauarten unterschieden werden: Ein zentraler WSUS-Server für das komplette Management der Updates Eine Hierarchie über mehrere WSUS-Server In den nachfolgenden Beispielen werden, zur Vereinfachung, ganze Sicherheitszonen oder Netze als WSUS-Gruppen konfiguriert. In der Praxis sollte man die Gruppenbildung feingranularer vornehmen. Darauf wird in Kapitel Patchmanagement-Strategie (Seite 13) näher eingegangen 10 Inbetriebnahmehandbuch, 12/2011, A5E

11 2.3 Patchmanagement Verwendung eines WSUS-Servers Die Konfiguration des WSUS-Servers erlaubt es, verschiedene Rechner im Netzwerk in Gruppen zusammen zu fassen. Daher ist ein einzelner WSUS-Server in der Lage, jeweils nur selektiv genau die von diesen gruppierten Rechnern benötigten Updates bereitzustellen. Da der WSUS-Server Zugriff auf das Internet oder einen überlagerten WSUS-Server im Büro-Netzwerk benötigt, empfiehlt es sich, diesen in ein über die Back-Firewall getrenntes Perimeter-Netz zu stellen, wodurch ein zusätzlicher Schutz für die Anlage erreicht wird. An diesem WSUS werden nun die Updates, individuell für die einzelnen Gruppen, zur Installation freigegeben. In diesem Beispiel repräsentieren die Gruppen die jeweiligen Netze. Natürlich können und sollten noch mehr Gruppen erstellt werden. In der Praxis dürfen meistens nicht alle Rechner eines Netzes gleichzeitig gepatched oder einzelne Updates auf manchen Rechnern innerhalb eines Netzes nicht installiert werden. Vorteil Es wird nur ein Rechner zur Updateverteilung gebraucht, wodurch Hardware eingespart wird Das komplette Patchmanagement kann zentral von einem Rechner aus administriert werden. Nachteil Fällt der WSUS-Server aus, bekommt kein Rechner in den Anlage mehr neue Updates und neu installierte Rechner bekommen gar keine Updates. Inbetriebnahmehandbuch, 12/2011, A5E

12 2.3 Patchmanagement Verwendung mehrerer WSUS-Server Eine andere Möglichkeit ist es, unterlagerte WSUS-Server zu verwenden. Hier wird der überlagerte WSUS-Server im Perimeter-Netz platziert, da der Rechner Zugriff auf das Internet oder einen überlagerten Server im Office-Netz benötigt. In jedem Netz steht zusätzlich ein eigener WSUS. Diese unterlagerten Server holen sich die Patches vom WSUS-Server im Perimeter-Netz und dieser von seiner Quelle. Die unterlagerten, in den unterschiedlichen Netzen, stehenden WSUS-Server, geben dann die Updates für ihre jeweiligen Gruppen individuell frei. Vorteil Fällt der übergeordnete WSUS-Server aus, bekommen neue Anlagenrechner in den Netzen immerhin alle Updates, die bis zum Zeitpunkt des Ausfalls freigegeben wurden. Fällt ein untergeordneter WSUS-Server aus, bekommen die Rechner in den anderen Netzen weiterhin Updates. Das neu Aufsetzen im Fehlerfall sowohl des übergeordneten als auch eines untergeordneten ist einfacher, als bei dem alleinigen WSUS-Server des ersten Beispiels, da jeder Server allein weniger Gruppen und Rechner verwalten muss. Nachteil Man benötigt für jedes Netz einen WSUS-Server, was hohe Hardware-Kosten verursacht. Die Administration ist aufwendiger, da mehrere Rechner am Patchmanagement beteiligt sind. 12 Inbetriebnahmehandbuch, 12/2011, A5E

13 2.4 Patchmanagement-Strategie 2.4 Patchmanagement-Strategie Um den Betrieb einer Anlage nicht zu gefährden und dem geringen, aber möglichen Risiko eines "schädlichen" Updates vorzubeugen, empfiehlt sich folgende Vorgehensweise beim Patchen: Es empfiehlt sich einige Tage nach der Veröffentlichung von Patches durch Microsoft zu warten, bevor man diese in die Anlage einspielt. Unter dem Link kann nachgelesen werden, welche Aussagen Siemens zur Verträglichkeit der neuen Patches macht. Aufbau einer kleinen Schattenanlage, die die wichtigsten Funktionen der Anlage abdeckt. Dort können die neuen Patches zuerst eingespielt und auf Verträglichkeit getestet werden. Alle Server und Clients sind möglichst redundant zu betreiben. Es sind für jedes Netz mindestens 2 Gruppen am WSUS-Server zu erstellen. In den Gruppen befindet sich jeweils ein Server jedes Pärchens und die Hälfte ihrer Clients. Wenn nach einigen Tagen keine Fehler auftreten und es weder von Microsoft noch von Siemens Aussagen gegen dieses Update gibt, kann eine Gruppe jedes Netzes gepatcht werden. Der Betrieb der Anlage wird dadurch nicht behindert, da sich immer noch ein Server und die Hälfte der Clients im Runtime-Betrieb befinden. Wenn sich nach weiteren Tagen keine negativen Effekte bemerkbar machen, kann die zweite Gruppe jedes Netzes gepatcht werden. Group Clients 1 Group Server Group Clients 2 Group Standby Server Perimeter Network WSUS Server WSUS01 WinCC Client OS Client BATCH Client Route Control WinCC Client OS Client BATCH Client Route Control MCS15 MCS25 MCS35 Client MCS14 MCS24 MCS34 Client MCS45 MCS44 Process Control Network Firewall ISA Server GATEBACK WinCC Server Route Control Route Control WinCC Server OS Server OS Server BATCH Server BATCH Server Server Server MCS10 MCS11 MCS20 MCS21 MCS30 MCS31 MCS40 MCS41 Control System Network Domain Controller MCS01 Domain Controller MCS02 Firewall Scalance S MCS90 S7-400H AS4 S7-400 AS6 S7-400 AS7 S7-400FH AS8 Somit wird ein zügiges und sicheres Aufspielen aller erforderlichen Updates ohne Störung des Betriebes erreicht. Inbetriebnahmehandbuch, 12/2011, A5E

14 2.5 Installation des WSUS-Servers 2.5 Installation des WSUS-Servers Den WSUS-Server und eine Vielzahl guter und ausführlicher Beschreibungen und Installationsanleitungen findet man unter: mspx WSUS-Server Für den WSUS empfiehlt sich eine Default-Installation. Um Kosten zu sparen, sollten nur die Patches von Microsoft geladen werden, die Siemens für SIMATIC-Software erlaubt (siehe Abschnitt 2.2). Die empfohlene Konfiguration der Gruppen ist im Abschnitt Patchmanagement beschrieben. Grundsätzlich unterscheidet man drei Installations-/Konfigurationsarten Ein eigenständiger Server, der die Patches direkt von Microsoft herunterlädt. Bei dieser Installation können alle Einstellungen selbst vorgenommen werden und es ist möglich genau festzulegen, welche Patches von Microsoft geladen werden sollen. Diese Konfiguration eignet sich gut als Haupt-WSUS-Server für eine oder mehrere Anlagen. Ein eigenständiger Server, der die Patches von einem anderen WSUS-Server herunterlädt. Bei dieser Installation können zwar alle Einstellungen selbst vorgenommen werden, allerdings lässt es sich nicht festlegen, welche Patches geladen werden. Alle Patches, die der übergeordnete WSUS-Server holt, werden nach unten weitergereicht. Diese Konfiguration ist gut geeignet, wenn es mehrere unterschiedliche Anlagen gibt, die jede einen eigenen WSUS-Server haben sollen, aber aus Kostengründen die Patches nur einmal von Microsoft geholt werden sollen oder wenn es schon einen WSUS-Server in der Anlage oder im Firmennetz gibt. Einen gespiegelten Server, der seine Einstellungen und Patches von einem anderen WSUS-Server holt. Diese Konfiguration ist nur geeignet, wenn es mehrere Anlagen gibt, die räumlich weit getrennt sind und die jede einen eigenen WSUS-Server haben soll, es aber nur einen Patch-Verantwortlichen für alle Anlagen gibt. Die Computer im Netzwerk, welche gepatcht werden sollen, können in Gruppen aufgeteilt werden. Dadurch können die Updates für jede Gruppe unabhängig freigegeben werden. Außerdem kann entschieden werden, wann oder ob ein Update für eine Gruppe installiert werden soll oder nicht. Die Zuordnung einzelner Rechner zu den definierten Gruppen kann entweder mittels verschieben direkt am WSUS-Server vorgenommen oder über Gruppenrichtlinien (Lokal oder Domänenweit) zugewiesen werden. Es ist nicht möglich, beide Arten zu mischen. Es muss bei der Installation/Erstkonfiguration am WSUS-Server eingestellt werden, welche Methode verwendet wird. Es empfiehlt sich aber, diese Gruppierung manuell am WSUS-Server vorzunehmen, da so der bessere Überblick gewahrt bleibt. 14 Inbetriebnahmehandbuch, 12/2011, A5E

15 2.5 Installation des WSUS-Servers WSUS-Client Für die Update-Clients empfehlen sich folgende Einstellungen, die je nach Anlagenkonfiguration über lokale oder Domänenrichtlinien einzustellen sind. Die Richtlinien findet man unter "Computerkonfiguration/Administrative Vorlagen/Windows Komponenten/Windows Update": Option "Updates installieren und herunterfahren" im Dialogfeld "Windows herunterfahren" nicht anzeigen: Anzeigeoption beim Herunterfahren des Rechners (Empfehlung: nicht konfiguriert) Die Standardoption "Updates installieren und herunterfahren" im Dialogfeld "Windows herunterfahren" nicht anpassen: Anzeigeoption beim herunterfahren des Rechners (Empfehlung: nicht konfiguriert) Automatische Updates konfigurieren: Option wie mit den Updates verfahren werden soll. Automatisch downloaden und installieren oder nachfragen (Empfehlung: 2 das Installieren oder auch nur Downloaden von Patches während des Prozessbetriebs kann negative Auswirkungen haben (z.b. Performance-Einbußen oder Rechnerwiederanläufe) und sollte deshalb unterlassen werden) Internen Pfad für den Microsoft Updatedienst angeben: URL des WSUS-Servers in der Anlage Clientseitige Zielzuordnung aktivieren: Die Möglichkeit der Gruppenzuordnung eines Rechner am WSUS-Server per Gruppenrichtlinie vorzunehmen (Empfehlung: je nach Anlage vom Administrator zu entscheiden) Zeitplan für geplante Installation neu erstellen: Wartezeit nach Neustart bis eine Updateinstallation wiederholt wird (Empfehlung: 5 Minuten) Keinen automatischen Neustart für geplante Installation durchführen: Der Benutzer muss nach der Installation selbst neu starten, kein automatischer Neustart (Empfehlung: Aktiviert) Suchhäufigkeit für automatische Updates: in welchem Stundenzyklus der Client nach Updates sucht (Empfehlung: 22) Automatische Updates sofort installieren: Updates automatisch installieren (Empfehlung: Deaktiviert während des Runtime- Betriebs darf nichts auf den Prozessrechnern installiert werden) Neustart für geplante Installation verzögern: Wartezeit nach der Patch-Installation bevor der automatische Neustart erfolgt (Empfehlung: nicht konfiguriert) Inbetriebnahmehandbuch, 12/2011, A5E

16 2.5 Installation des WSUS-Servers Erneut zu einem Neustart für geplante Installation auffordern: (Empfehlung: Deaktiviert auftretende Meldeboxen können den Runtime-Betrieb behindern) Nicht-Administratoren gestatten, Updatebenachrichtigungen zu erhalten: Neben den Administratoren können auch Benutzer und Hauptbenutzer Meldehinweise über neue verfügbare Updates erhalten und dürfen diese installieren (Empfehlung: Deaktiviert nur Anlagenadministratoren sollten Updates installieren dürfen) 16 Inbetriebnahmehandbuch, 12/2011, A5E

17 Hinweise für die Praxis Allgemeine Informationen Microsoft Baseline Security Analyzer Um zu überprüfen ob ein Anlagen-PC alle freigegebenen Patches installiert hat, kann zusätzlich der "Microsoft Baseline Security Analyzer" (MBSA) verwendet werden. Dieses Tool überprüft, neben anderen Einstellungen die an den betreffenden Stellen erwähnt werden, ob alle von Microsoft veröffentlichten Patches auf einem Rechner installiert sind. Damit eine Überprüfung durchgeführt werden kann, muss der Rechner auf dem der MBSA installiert ist, eine Verbindung ins Internet haben oder die aktuellen Patchinformationen von Microsoft manuell heruntergeladen haben. Laden Sie die aktuelle Version der MBSA und die dazugehörige Beschreibungen unter dem folgenden Link heruntergeladen: Report-Funktionalität des WSUS-Servers Der WSUS-Server verfügt über eine eigene, umfangreiche Report-Funktionalität. Wird zum Verteilen der Patches ein WSUS-Server verwendet, kann mit diesen Berichten der Status aller vom WSUS-Server registrierten Rechner im Netzwerk überwacht werden. Weiterhin kann überprüft werden, ob alle freigegebenen Patches auf den Rechnern installiert wurden. Inbetriebnahmehandbuch, 12/2011, A5E

18 Hinweise für die Praxis 3.2 Spezielle Informationen 3.2 Spezielle Informationen Updates Download" beschleunigen Nach einer Neuinstallation eines Rechners oder nach der Freigabe neuer Patches auf dem WSUS-Server kann es etwas dauern, bis diese am Client zum Download und für die Installation gemeldet werden. Dies ist dadurch begründet, dass die Clients nicht permanent den WSUS-Server nach neuen Patches abfragen. Mit einem Befehl kann dieser Vorgang beschleunigt werden: "Wuauclt.exe /resetauthorization /detectnow" Dieser Befehl veranlasst den Client seinen Status dem WSUS-Server neu mitzuteilen und nach neuen Patches zu fragen. Aber auch dadurch sind neue Patches nicht sofort am Client verfügbar. Um zu verhindern, dass viele Rechner gleichzeitig Patches downloaden, wird bei jeder Clientanfrage ein Zufalls-Timer auf dem WSUS-Server gestartet (0-30 Minuten) und erst nach Ablauf dieses Timers werden die Patches zur Verfügung gestellt. Vereinfachung der Administration bei neuen Patches Die in Kapitel WSUS-Client (Seite 15) beschriebene Einstellung "Automatische Updates konfigurieren", ist die sicherste Methode, um einen störungsfreien Prozessbetrieb zu gewährleisten. Allerdings ist sie auch mit einem erheblichen Aufwand verbunden, da an jedem Rechner das Downloaden und Installieren der Updates manuell bestätigt werden muss. Dies kann vereinfacht werden, indem die Option 3 (Automatisch downloaden, aber nicht installieren) oder 4 (Automatisch downloaden und installieren) gewählt wird. Dabei muss allerdings beachtet werden, dass dadurch für eine Gruppe freigegebene Patches von den Rechnern sofort geladen und, je nach Option, automatisch installiert werden. Dabei spielt es keine Rolle, ob sich PCS 7 oder WinCC im Runtime-Betrieb befindet. Aus diesem Grund muss der Administrator bei Verwendung einer dieser Optionen genau darauf achten, dass er Patches nur für Gruppen freigibt, deren Rechner nicht am Prozessbetrieb teilnehmen. 18 Inbetriebnahmehandbuch, 12/2011, A5E