Das VPN nicht überlasten – wie moderne Patchvorgänge auch Homeoffices abdecken

Herkömmliche Patch-Management-Systeme sind in Zeiten von dezentralem Arbeiten deutlich veraltet / Patches müssen nicht über eine VPN-Verbindung versendet werden, sondern können direkt aus der Cloud heruntergeladen werden, bei bleibender zentraler Verwaltung.

Von unserem Gastautor Jörg Vollmer, General Manager, Field Operations, DACH bei Qualys

[datensicherheit.de, 31.07.2020] Ganz besonders in der heutigen Zeit ist Computerarbeit von zuhause in beinahe jeder Branche und jedem Unternehmen fester Bestandteil. Vor COVID-19 gab es einen geringeren Prozentsatz an Remotearbeitern. Nun ist davon auszugehen, dass auch in der Zukunft ein großer Anteil der Mitarbeiter an den verschiedensten Orten und nicht im eigenen Büro in der Firmenzentrale arbeiten wird. Doch gibt es ein Problem: Die meisten Organisationen verfügen über ein zentrales Patchmanagement-System. Natürlich war dies früher optimal, da ein Administrator die betroffenen Endpunkte sicher updaten konnte. Nun müssten die freigegebenen Patches jedoch via VPN versendet werden. Dadurch wird der gesamte Zugang zum Unternehmensnetzwerk stark belastet, eventuell sogar überlastet, war dieser in der Vergangenheit doch auf einen kleinen Anteil an externen Logins ausgelegt.

Eine Lösung wäre es, die Patchinformationen zentral auf einer Plattform zu verwalten und von dort aus zu entscheiden, welche Geräte zu welchem Zeitpunkt aktualisiert werden sollen. Die Patches selbst werden dann von dem mit dem Internet verbundenen Endpunkt selbst von der Herstellerseite heruntergeladen. Dazu ist kein Versenden großer Datenpakete nötig; ein simpler Befehl an einen auf dem Endpoint installierten Agenten reicht vollkommen aus.

Jörg Vollmer, General Manager Field Operations DACH, Bild: Qualys

Patching von Heimanwendern ohne VPN-Split-Tunneling

Eine Lösung zu finden, welche es ermöglicht, den plötzlichen Zustrom von Tele-Arbeit abzudecken, ohne das VPN zu überfordern, ist besonders in der Zeit von COVID-19 von zentraler Bedeutung. Als die ersten Artikel unter der Verwendung von CMG und Split-Tunneling erschienen, wirkte das für viele wie ein rettender Anker. Es wurden lediglich solche Verbindungen durch den VPN-Tunnel geleitet, die Systeme am anderen Ende des VPN-Tunnels als Ziel haben. Für alle anderen Verbindungen wird er ignoriert. Es liegt auf der Hand, dass diese Lösung lediglich eine kurzfristige war, bis zu dem Zeitpunkt, an dem auch diese eingeschränkte Kommunikation das VPN in ihrer Datenmenge überlastet. Dies ist nicht zuletzt mit Datenpaketen zum Patchen der Fall. Entweder es gibt sehr viele Geräte, welche auf der anderen Seite auf das Paket warten, oder aber der gesamte Vorgang braucht eine lange Zeit, sollten die Geräte nacheinander gepatcht werden. Office-365-Produkte zum Beispiel helfen bereits, bestimmte Vorgänge über einen Cloudzugang abzuwickeln. Dennoch ist auch dies keine langfristige Alternative. Doch auch, wenn man den Benutzern das Patchen direkt über Microsoft ermöglicht, wenngleich hier nicht alle Updates berücksichtigt werden, müssen diese die Berechtigung dazu über das VPN erfragen.

Lösungen zum Schutz von Remote-Benutzern

Krise hin oder her, das Patchen von Endpunkten gegen bekannte und neu auftretende Schwachstellen bleibt eine der größten Herausforderungen für IT-Administratoren. Mit der neuen „Work-from-Home“-Norm als Antwort auf COVID-19 klingt das Patch-Management für viele IT-Administratoren nahezu unmöglich. Wenn die Endpunkte nicht gepatcht werden, kann dies schwerwiegende Auswirkungen auf die Netzwerksicherheit haben, selbst wenn sich die Endpunkte innerhalb eines kontrollierten Unternehmensumfelds befinden. Nun, da die Remote-Benutzer bei der Remote-Arbeit auf das Internet angewiesen sind, ist das Patchen von Rechnern nicht so einfach, oder doch?

Zwangsläufig sollten sich Administratoren die folgenden Fragen stellen:

• Sind Sie in der Lage, einen vollständigen Überblick über eine über die ganze Welt verteilte Remote-Belegschaft zu behalten?
• Wie sieht die Strategie für das Scannen von Assets und Verteilen von Patches an entfernte Benutzer aus, die sich im Netzwerk an- und abmelden?
• Bietet das VPN genügend Bandbreite, um Patches an die Remote-Rechner zu verteilen?
• Was ist, wenn wichtige geschäftliche Anrufe und Besprechungen durch „zu frühe“ Patches behindert werden?
• Haben Sie sichergestellt, dass die Remote-Benutzererfahrung nicht durch wiederholte Warnmeldungen und zufällige Neustarts beeinträchtigt wird?
• Wie installieren Sie einen kritischen Patch, wenn ein Benutzer immer wieder Patch-Updates verweigert?
• Wie sicher ist Ihre Verbindung zwischen dem Patching-Server und Ihrem Remote-Client?

Das Remote-Patch-Management kann tatsächlich ein Kinderspiel sein, wenn die Organisation über die richtigen Werkzeuge verfügt.

Qualys bietet mit Vulnerability Management, Detection and Response (VMDR) eine Möglichkeit, Abhilfe zu schaffen.

Es handelt sich um einen Dienst, welcher in der Lage ist, den gesamten Patch-Management-Prozess von der Erkennung der Schwachstellen, über deren Priorisierung und dessen Patching abzuwickeln: Vom Scannen nach fehlenden Patches bis hin zum Herunterladen, Testen und Verteilen der Patches auf die Zielgeräte kann alles von einer zentralen Konsole aus orchestriert werden. Das Besondere ist, dass die Patches schlussendlich zwar über eine zentrale Plattform verwaltet, jedoch nicht auf den Endpunkt gespielt werden. Die Patches selber werden aus der Cloud durch den Agenten auf das Gerät geladen, sobald dieses eine Verbindung zum Internet besitzt.

Das hebt besonders Standortbeschränkungen auf. VMDR nutzt einen fortschrittlichen, vielseitig einsetzbaren Agenten und bietet die ununterbrochene Transparenz, welche für die Verwaltung von Remote-Laptops, Desktops, Servern und virtuellen Maschinen in der gesamten globalen hybriden IT-Umgebung benötigt wird. Vom Scannen bis zur Bereitstellung wird alles geräuschlos mit Hilfe des Agenten ausgeführt. Dies kann vollkommen automatisiert funktionieren, aber lässt jedoch auch manuelle Anpassungen zu. Die Priorisierung der zu patchenden Systeme könnte beispielsweise durch das Unternehmensziel beeinflusst sein. So sind beispielsweise Produktionsserver schneller zu patchen, als beispielsweise Druckernetzwerke. Durch den Cloud-Agenten stellt VMDR Patches überall dort zur Verfügung, wo dieser installiert wurde, einschließlich Remote-Systemen und öffentlichen Cloud-Ressourcen. Mit VMDR können Betriebssysteme und Anwendungen verschiedener Hersteller von einem zentralen Dashboard aus gepatcht werden. Auf diese Weise müssen die Patches nicht in Silos über mehrere herstellerspezifischen Konsolen verwaltet werden.

Eliminieren von VPN-Einschränkungen

Der Zugriff auf die begrenzte Bandbreite von VPN-Gateways für Remote-Patch-Management-Aktivitäten kann zu Engpässen führen. Stattdessen können Remote-Clients die wesentlichen Patches von vertrauenswürdigen Anbietern direkt herunterladen, unabhängig davon, wo sich das Endgerät befindet. Dies funktioniert rund um die Uhr. Das bedeutet, dass sich Remote-Arbeiter nicht innerhalb der gängigen Arbeitszeiten über VPN am Netzwerk anmelden müssen.

Weitere Informationen zum Thema:

datensicherheit.de, 17.02.2020
Industrie 4.0 braucht ganzheitliche IT-Sicherheit im Wertschöpfungsprozess