Хватит создавать хрупкие инфраструктуры

[DrPass]

Если мы говорим про корпоративную среду, то «работает — не трогай», это больше применимо в отношении новых версий софта или обновлений функциональности. В отношении обновлений безопасности это вообще хреновая идея. Особенно в свете того, что после выхода обновлений безопасности определённые лица разбирают их вдоль и поперёк, выясняя, что именно они там закрывали, и риск появления соответствующих эксплойтов возрастает многократно.

[dvserg]

Да, любые новшества/обновления - это палка о двух концах. Достаточно вспомнить проблемы с принтерами в обновлениях MS. Поэтому актуален вопрос тестирования работы обновлений перед их развертыванием на всю инфраструктуру.

[NAI]

Это вы еще в "промышленность" не заглядывали - когда какой-ндь софт сертифицирован только под XP\2008\2012, куплен в те же времена, а деньги выделены только на модернизацию оборудования.

[edo1h]

В одном из них CI/CD, инфраструктура как код, виртуализация и лямбды, Packer, Docker и автоскейлинг

это в обоих мирах есть

в другом всё ещё стоит вопрос нужно ли обновляться

и это тоже в обоих мирах

[HappyGroundhog]

Беда с современным апдейтами MS в том, что они кумулятивные. И часто приходится стоять перед выбором «Откатить кривой апдейт одного функционала и заодно с ним снова оставить дыру в другом» или «Жить с глюками, зато другой сервис успешно запатчен»…
Но обновляться вовремя надо всегда, иначе «Вы всё еще не апдейтитесь? Тогда мы идем к вам!»

[uksus]

Может у вас есть какой-нибудь пример такого "глюка"? Также интересно, было ли это критично для сервиса или инфраструктуры?

[HappyGroundhog]

Насколько я помню, такое было с закрытием «PrintNightmare». Правда в том случае был выбор в виде закрытой уязвимости, но неработающей в некоторых случаях печати или оставшейся уязвимости, но нормальной печати.

Я уже отошел от поддержки сети, сужу скорее по обсуждениям в профильных чатиках.

[DrPass]

У меня был реально критичный случай, когда апдейт убил Cisco VPN Client

[DikSoft]

 (на момент публикации видео по новым обновлениям не выходили несколько месяцев. Но я не теряю надежды, что они вернутся).

Тёма Синицын больше не работает в Майкрософт. Офис распущен. Увы. Но вроде как вебинары обещали оставить.

[uksus]

Вы меня прям расстроили. Очень жаль. Очень полезный был вебинар.

[valmont2k]

Да? А что случилось?

[DikSoft]

Российский офис Майкрософт прекратил работу после начала войны. Похоже, что весь.

[Roum15]

"Обновление - это источник и решение проблем ПО"

[EvgeniyNuAfanasievich]

Можете посоветовать какой-нибудь бесплатный или условно бесплатный сканер уязвимостей в Win\Lin ? Кроме nmap во всяких разных обертках ...

[uksus]

Nessus, OpenVAS.

[EvgeniyNuAfanasievich]

спасибо. попробую. Имелось ввиду что ищем уязвимости в хостах Windows\Linux не принципиально с какой платформы сканер работать будет (написал как смог, вышло неточно).

[Ul3ainee]

Для Linux могу посоветовать Lynis от Cisofy.com. Но это про сканирование и hardening «изнутри» (хотя можно и автоматизировать тем же Ansible/Chef/etc.).

[EvgeniyNuAfanasievich]

вот я хотел бы чето универсальное, что по сетке гуляет и потом отчет к обеду: что где и сколько дыр...

[drdead]

Но если сравнивать с ушедшими от нас серверными ОС (Windows 2003/2008), то процесс явно стал быстрее (в качестве измерительных приборов использовались мои личные ощущения и ощущения моих коллег. В минутах не скажу, не сравнивал).

Работал с Windows Server 2003 до 2022. К сожалению мои ощущения не совпадают с вашими: WS 2016 ОЧЕНЬ заметно медленнее патчится по сравнению с 2012 R2 (которая сама вполне на уровне 2008 R2 и 2012). На виртуалках одинаковой конфигурации 2012 R2 патчится за ~10 минут, а 2016 - 20-30. В 2019 хотя бы чуток перелопатили CBS, да и дельты до сих пор есть, так что оно ближе с 2012 R2 стало, но всё равно медленнее.

[uksus]

Тоже сталкивались с тем, что какие-то обновления очень долго вставали на 2016/19.
Когда мы начинали внедрять установку обновлений, то в парке имелось большое количество старых серверных ОС, которые потом заменялись на новые. Таким образом мы с коллегами могли сравнить время установки со старыми ОС, и когда их практически не осталось. По нашим субъективным мнениям, новые патчились быстрее.

Но тут конечно много факторов. От железа до серверных ролей.

[navion]

Для мониторинга багов в обновления Microsoft есть Patch Tuesday Megathread, это даже лучше вебинара Синицына с унылым перечислением номер CVE без каких-либо технических деталей.