Een aangepaste patchconfiguratie maken

In dit gebied kunt u configureren welke patches zullen worden geïmplementeerd (implementatie-opties en of en wanneer aanvragen voor het opnieuw opstarten van uw doelmachines worden verzonden tijdens het implementatieproces (gedrag bij opnieuw opstarten). U kunt verschillende implementatiegedragingen configureren voor verschillende besturingssystemen in dezelfde patchconfiguratie.

Implementatie inschakelen voor een besturingssysteem

U kunt de patchimplementatie in- of uitschakelen voor elk besturingssysteem afzonderlijk. Selecteer het vereiste besturingssysteem onder Implementatiegedrag en stel dan Patches implementeren in zoals vereist.

Om een patchconfiguratie voor alleen-scannen te maken, schakelt u de implementatieschakelaar uit voor alle tabbladen van het besturingssysteem.

Implementatieopties

Er zijn maximum drie configureerbare implementatieopties, afhankelijk van het besturingssysteem:

• Windows: Implementeren op ernst, Implementeren op pratchgroep en Geselecteerde leveranciers/producten
• Mac: Implementeren op ernst, Implementeren op patchgroep
• Linux: patch alles

Standaard zijn alleen kritieke beveiligingspatches voor Windows geïmplementeerd. Als u Implementeren op ernst inschakelt en configureert, en u enkele patchgroepen instelt op Opnemen in Implementeren/Uitsluiten per patchgroep, is het effect additief, waarbij alle patches voor elke geconfigureerde optie wordt geïmplementeerd. Als u Geselecteerde leveranciers/producten inschakelt en configureert, zal die optie patches van de andere twee opties filteren. Als u een patchgroep instelt op Uitsluiten in Implementeren/uitsluiten op patchgroep, worden patches die in een patchgroep zijn ingesteld op Uitsluiten altijd uitgesloten, zelfs als ze zijn ingesteld om ergens anders te worden opgenomen.

Voorbeeld 1: als u alleen de patches die in een patchgroep zijn opgenomen, wilt implementeren:

• Schakel de opties Implementeren op ernst en Geselecteerde leveranciers/producten uit
• Schakel de optie Implementeren/uitsluiten op patchgroep en stel de gewenste patchgroep in op Opnemen

Voorbeeld 2: laten we veronderstellen dat u het volgende configureert:

• Implementeren op ernst: Kritiek voor beveiliging en Belangrijk voor beveiliging zijn geselecteerd
• Implementeren op patchgroep u selecteert één patchgroep die één beveiligingskritieke patch, één voor de beveiliging belangrijke patch en twee voor de beveiliging matige patches bevat.
• Geselecteerde leveranciers/producten: deze optie is uitgeschakeld

In dit geval worden de patches Kritiek voor beveiliging en Belangrijk voor beveiliging geïmplementeerd voor alle leveranciers en producten. Daarnaast worden alle vier patches in de patchgroep geïmplementeerd, inclusief de twee patches Gemiddelde beveiliging.

Voorbeeld 3: idem als voorbeeld 2, maar u gebruikt ook de optie Geselecteerde leveranciers/producten om op te geven dat alleen Adobe-patches mogen worden geïmplementeerd. In dit geval zullen alleen patches die zullen worden geïmplementeerd, Adobe-patches Kritiek voor beveiliging zijn en alle Adobe-patches die in de patchgroep zijn opgenomen.

Voorbeeld 4: idem als voorbeeld 3, maar u gebruikt de optie Implementeren/uitsluiten op patchgroep voor het uitsluiten van een patchgroep die een specifieke voor Adobe beveiligingskritieke patch bevat. In dit geval zullen alleen patches die zullen worden geïmplementeerd, Adobe-patches Kritiek voor beveiliging zijn en alle Adobe-patches die in de patchgroep zijn opgenomen.

Als een patch wordt toegevoegd aan een patchgroep die is ingesteld op Uitsluiten, dan wordt de patch niet geïmplementeerd, zelfs als de andere instellingen specifiek suggereren dat deze moet worden geïmplementeerd.

Voorbeeld 4 (Windows edge case): Say you configure Deploy by severity with only Security Critical and also configure Deploy by Patch Group to include Vantosi V3.

Als Vantosi V4 dan wordt uitgegeven als Kritiek voor beveiliging en Vantosi V5, vóór een andere patchimplementatie, wordt uitgegeven als Belangrijk voor beveiliging, worden in dat geval voor Windows noch Vantosi V4, noch Vantosi V5 geïmplementeerd. Dit is omdat de laatste versie (Vantosi V5) niet voldoet aan de Ernstvereisten voor implementatie en noch Vantosi V4, noch Vantosi V5 zijn opgenomen in de patchgroep. Denk eraan dat als u dezelfde patchconfiguratie voor Mac hebt geconfigureerd, zou Vantosi V4 worden geïmplementeerd.

Wij raden u aan regelmatig de componenten Nalevingsrapportage te gebruiken om de nalevingssttus van uw apparaten te controleren en eventuele nieuwe beveiligingskritieke patches toe te voegen aan een patchgroep. Zie Voorgeschreven rapportage en Patchgroepen voor meer informatie.

Implementatieopties selecteren

• Implementeren op ernst: als dit is ingeschakeld, kunt u de types patches en de ernstniveaus die moeten worden opgenomen in de implementatie, opgeven. Standaard zijn alleen kritieke beveiligingspatches geselecteerd.
  • Beveiligingspatches: met beveiligingsbulletin verwante patches. U kunt ervoor kiezen om een of meer specifieke urgentieniveaus te implementeren.
    • Kritiek: kwetsbaarheden die kunnen worden misbruikt door een niet-geverifieerde externe aanvaller of kwetsbaarheden die de isolatie van het gast/host-besturingssysteem doorbreken. Het misbruik resulteert in gevaar voor de vertrouwelijkheid, integriteit, beschikbaarheid van gebruikersgegevens of verwerkingsbronnen zonder tussenkomst van de gebruiker. Exploitatie kan worden gebruikt om een Internetworm of een uitvoerbare willekeurige code door te geven tussen virtuele machines en de host.
    • Belangrijk: kwetsbaarheden waarvan het misbruik de vertrouwelijkheid, integriteit of beschikbaarheid van gebruikersgegevens en verwerkingsbronnen in gevaar brengt. Dergelijke fouten kunnen lokale gebruikers toestaan bevoegdheden te verkrijgen, geverifieerde externe gebruikers toestaan een willekeurige code uit te voeren, of lokale of externe gebruikers toestaan om gemakkelijk een DoS-service te veroorzaken.
    • Gemiddeld: fouten waar de mogelijkheid tot misbruik aanzienlijk wordt beperkt door de configuratie of moeilijke exploitatie, maar in bepaalde implementatiescenario's nog steeds kan leiden tot wat gevaar voor de vertrouwelijkheid, integriteit of beschikbaarheid van gebruikersgegevens en verwerkingsbronnen. Dit zijn types kwetsbaarheden die een kritieke of belangrijke impact zouden kunnen hebben, maar die minder gemakkelijk kunnen worden misbruikt op basis van een technische evaluatie van de fout of die weinig waarschijnlijk invloed zullen hebben op configuraties.
    • Laag: alle andere problemen die een impact op de beveiliging hebben. Kwetsbaarheden waarvan wordt verondersteld dat ze extreem moeilijk kunnen worden misbruikt of waar een geslaagd misbruik een minimale impact zou hebben.
    • Niet toegewezen: beveiligingspatches waaraan geen ernstniveau werd toegewezen.
  • Niet-beveiligingspatches: leverancierspatches die bekende softwareproblemen oplossen, zijn geen beveiligingsproblemen. Voor Windows kunt u kiezen om te implementeren voor een of meer specifieke urgentieniveaus van leveranciers. Zie Beveiligingspatches voor een beschrijving van de beschikbare ernstniveaus.
• Implementeren/uitsluiten op patchgroep (Windows) of Implementeren op patchgroep (Mac): als dit is ingeschakeld, kunt u een of meer patchgroepen opgeven die de patches bevatten die u wilt opnemen in een implementatie of (alleen Windows) die u wilt uitsluiten van de implementatie. Dit is een goede manier om te controleren dat alleen goedgekeurde patches zijn geïmplementeerd. Ontbrekende patches die niet zijn opgenomen in patchgroepen die zijn ingesteld op Opnemen, worden niet geïmplementeerd tenzij ze voldoen aan de vereiste die is opgegeven in de optie Implementeren op ernst. Patches in patchgroepen die zijn ingesteld op Uitsluiten worden niet geïmplementeerd, zelfs als andere instellingen specifiek suggereren dat dat moet gebeuren. Details over de beschikbare patchgroepen kunnen worden weergegeven via het tabblad Patchgroepen op de pagina Patchinstellingen. Patchgroepen worden beheerd in Patch Intelligence.

  Wanneer u Implementeren op patchgroep inschakelt, verschijnt een raster van alle patchgroepen die het aantal patches tonen voor elk besturingssysteem, plus het totale aantal patches in elke patchgroep. Schakel het selectievakje in naast een patchgroep in en klik dan op Opnemen of Uitsluiten als geschikt. Klik op Wissen om de selectie van een patchgroep op te heffen.

  Een naast het aantal patches voor het besturingssysteem dat niet wordt geconfigureerd, geeft aan dat de configuratie die patches al bevat.

  U wilt zich mogelijk eraan herinnering welke patches in een groep zijn opgenomen, voordat u deze selecteert. Klik hiervoor op een numerieke koppeling in het raster om de overeenkomende patches onder het raster Patchgroepen weer te geven. Gebruik de kolom Platform om het besturingssysteem te bepalen en de kolom Status om de status van elke individuele patch te bepalen.

  De weergegeven status is eigenlijk een status bij benadering op basis van het gebruik van deze patchgroep met de huidige patchconfiguratie. Een aantal factoren kan de patchstatus beïnvloeden. Als u bijvoorbeeld Geselecteerde leveranciers/producten gebruikt in combinatie met een patchgroep, kan dit een of meer patches van de groep filteren.

  • Actief: deze patchgroep werd gebruikt door deze configuratie om de patch beschikbaar te maken voor apparaten van eindgebruikers. De apparaten maken deel uit van de beleidsgroepen die gekoppeld zijn aan deze patchconfiguratie.
  • Niet actief: er zijn twee mogelijke redenen voor deze patchstatus. (1) Deze patchgroep werd niet gebruikt om de patch beschikbaar te maken voor enige apparaten. (2) De patchconfiguratie waaraan deze patchgroep is toegewezen, is niet actief gemaakt voor apparaten.
    Er is een scenario waarbij een patch die is weergegeven als Niet actief, in werkelijkheid actie kan zijn. Als de patch in meer dan één patchgroep staat, is een van die andere patchgroepen mogelijk gebruikt om deze patch actief te maken voor apparaten.
• Geselecteerde leveranciers/producten (alleen Windows): als dit is uitgeschakeld worden patches voor alle beschikbare leveranciers en producten opgenomen in de implementatie die is gedefinieerd door de opties Implementeren op ernst en Implementeren op patchgroep. Wanneer nieuwe producten en patches beschikbaar worden, worden ze toegevoegd aan de implementatie.

Als dit is ingeschakeld, kunt u de leveranciers, productfamilies en productversies opgeven die kunnen worden geïmplementeerd op eindpunten. Leveranciers en producten die niet zijn geselecteerd, worden uitgesloten van de implementatie. De items worden voorgesteld in een hiërarchische lijst. Als u een selectievakje inschakelt op één niveau, worden ook alle selectievakjes op de onderliggende niveaus ingeschakeld.

• Alles selecteren: als u dit selectievakje inschakelt, selecteert u alle momenteel beschikbare patches voor alle leveranciers en producten in de lijst. Nieuwe leveranciers- en productpatches die beschikbaar worden op een latere datum, worden toegevoegd aan de implementatie.

TIP: als u een klein aantal items wilt uitsluiten, kunt u Alles selecteren en vervolgens de selectievakjes wissen van de items die u wilt uitsluiten.

• Individuele leveranciers en producten selecteren: alleen patches voor de geselecteerde leveranciers, productfamilies en/of productversies worden geïmplementeerd. Niet-geselecteerde leveranciers en producten worden gefilterd uit de implementatie.
  

Gedrag bij opnieuw opstarten

In dit gebied kunt u configureren of en wanneer het opnieuw opstarten van uw doelmachines zal worden gevraagd tijdens het implementatieproces. Het Ivanti Neurons-platform gaat centraal om met aanvragen voor opnieuw opstarten om conflicten van verschillende Ivanti Neurons-functies te voorkomen. Dit betekent dat het opnieuw opstarten mogelijk niet onmiddellijk zal gebeuren indien gevraagd.

macOS start altijd opnieuw op na de patchimplementatie van het besturingssysteem, nadat de gebruikers is gevraagd om updates van het besturingssysteem te implementeren. U kunt ook kiezen voor Altijd opnieuw opstarten na een update (zelfs als er geen patches van het besturingssysteem zijn toegepast) voor Mac-configuraties.

• Opnieuw opstarten vóór implementatie: indien dit is ingeschakeld, geeft dit aan dat de doelmachines opnieuw worden opgestart voordat de patches worden geïmplementeerd. Het wordt beschouwd als een aanbevolen procedure om machines opnieuw op te starten voordat u belangrijke nieuwe software installeert, vooral voor grote softwarewijzigingen, zoals het productniveau van het besturingssysteem. Als u ervoor kiest om de machines opnieuw op te starten, kunt u vervolgens opgeven in welke mate een aangemelde gebruiker waarschuwingen ontvangt en kunt u kiezen hoeveel controle de gebruiker zal hebben over het proces voor het opnieuw opstarten. U kunt:
  • Kies ervoor om een herstart te forceren nadat enkele minuten zijn verstreken
  • De gebruiker waarschuwen dat opnieuw zal worden gestart wanneer wordt afgemeld
  • Selecteer de duur voor het weergeven van een aftelbericht wanneer de afsluitprocedure is gestart. Om een voorbeeld weer te geven van het dialoogvenster dat de gebruiker zal zien, klikt u op Voorbeeld aftellen.
  • Sta de gebruiker toe om de aftelling van de time-out te verlengen tot een opgegeven maximum.
  • De gebruiker toestaan om de time-out te annuleren. Als een time-out wordt geannuleerd, worden de patches niet geïmplementeerd tot de gebruiker afmeldt of de machine handmatig opnieuw opstart.
  • De gebruiker toestaan om het opnieuw opstarten te annuleren. De patches worden niet geïnstalleerd zolang de machine niet opnieuw is opgestart.
• Opnieuw opstarten na de implementatie:: indien dit is ingeschakeld, geeft dit aan of de doelmachines opnieuw moeten worden opgestart nadat de patches zijn geïmplementeerd. Er zijn twee opties:
  • Altijd: bepaalt dat elke machine opnieuw moet worden opgestart nadat de patches zijn geïmplementeerd. Dit is de veiligste optie voor het implementeren van patches omdat de meeste patches een herstart vereisen om te worden voltooid, maar het kan zich voordoen dat machines onnodig worden heropgestart.
  • Indien vereist: geeft aan dat de Ivanti Neurons-agent zal bepalen of het opnieuw opstarten van elke machine al dan niet vereist is, gebaseerd op de patches die in de implementatie zijn opgenomen.

Als u ervoor kiest om de machines opnieuw op te starten, kunt u vervolgens verdere opties opgeven, zoals de mate waarin een aangemelde gebruiker waarschuwingen ontvangt en kunt u kiezen hoeveel controle de gebruiker zal hebben over het proces voor het opnieuw opstarten van de gekoppelde beleidsgroepen. Zie Detail beleidsgroep voor meer informatie.

In dit gebied kunt u implementaties configureren die worden uitgevoerd volgens een terugkerende planning.

Via het tabblad Terugkeerpatroon instellen kunt u regelmatig implementatiebewerkingen plannen op een specifiek tijdstip met een opgegeven terugkeerpatroon. Een implementatie kan bijvoorbeeld elke avond om middernacht worden uitgevoerd, of elke zaterdag om 21 uur, elke werkdag om 23 uur of op elk ander door de gebruiker geselecteerd tijdstip of interval.

• Uitvoeren bij opnieuw opstarten indien planning gemist: als een geplande implementatie is gemist omdat een machine is uitgeschakeld, wordt deze uitgevoerd binnen het uur na het opnieuw inschakelen van de machine.
• Patches implementeren: u kunt de patchimplementatie plannen met de volgende opties:
  • Dagelijks: de implementaties worden elke dag van de week uitgevoerd op het tijdstip van uw keuze.
  • Wekelijks: de implementaties worden uitgevoerd op de opgegeven dag van de week op het tijdstip van uw keuze.
  • Maandelijks: de implementaties worden uitgevoerd op de opgegeven datum of elke maand één dag op het tijdstip van uw keuze.U kunt deze optie ook gebruiken voor het plannen van een implementatie in combinatie met Patch Tuesday van Microsoft. U kunt bijvoorbeeld plannen dat er een maandelijkse patchimplementatie plaatsvindt op de dag na Patchdinsdag door het selectievakje Ook implementeren na Patchdinsdag te selecteren en vervolgens 1 op te geven als het aantal dagen na Patchdinsdag om de implementatie te vertragen.
    De optie Vertraging toevoegen voegt meer flexibiliteit toe aan de planning door u de mogelijkheid te bieden een vertraging van een aantal dagen toe te voegen aan een maandelijkse planning. Als uw Change Advisory Board op de eerste woensdag van elke maand samenkomt om overeen te komen welke patches moeten worden geïmplementeerd op de daaropvolgende zaterdag, kunt u kiezen om de eerste woensdag te implementeren met een vertraging van 3 dagen. Dit behandelt het geval waar de zaterdag na de eerste woensdag, de eerste of de tweede zaterdag van de maand kan zijn.
  • Patch Tuesday: plan de implementaties om te worden uitgevoerd op dezelfde dag als de regelmatige maandelijkse patchgebeurtenis van Microsoft, bekend als Patch Tuesday.

• Inhoud faseren vóór de implementatie: bepaalt of u het implementatiepakket wilt maken en kopiëren naar de doelmachines vóór de actuele implementatie. U kunt de inhoud faseren op elk ogenblik tussen 1 en 23 uur voordat de implementatie wordt uitgevoerd. Een patchscan wordt automatisch uitgevoerd door de agent bij de start van het faseringsproces om de patchstatus van de machine opnieuw te beoordelen vóór de implementatie.

  Er is een uitzondering voor patchimplementaties die zullen optreden op de eerste dag van de maand. Om problemen met schrikkeljaren en andere soortgelijke afwijkingen in de kalender te vermijden, zal de interface u verhinderen de inhoud te faseren op de dag voorafgaand aan de eerste dag van de maand. Als u bijvoorbeeld een implementatie plant vóór 08u00 's morgens op de eerste dag van de maand, mag u inhoud pas 1- 8 uur vóór de implementatie faseren.

• Aanstaande taak: deze tabel toont een lijst van aanstaande taken. Hiermee kunt u alle gebeurtenissen weergeven waarvan wordt verwacht dat ze in de loop van de volgende 60 dagen zullen optreden met de momenteel geselecteerde configuratie. Houd ermee rekening dat de informatie die in deze tabel is opgegeven, een prognose is. Veel zaken kunnen optreden om te voorkomen dat een of meer gebeurtenissen optreden.

• U kunt een patchconfiguratie maken voor alle leveranciers en producten die worden gebruikt door de IT-ondersteuningsteams binnen uw organisatie. U kunt deze configuratie vervolgens koppelen met de agentbeleidsgroepen die uw regionale teams dekken, zoals AMER IT Support, EMEA IT Support en APAC IT Support.
• U kunt een patchconfiguratie maken voor patches die worden uitgegeven op een Patch Tuesday. U kunt deze configuratie vervolgens koppelen aan een testbeleidsgroep voor agenten die u wilt gebruiken voor het testen van patchimplementaties. Als de implementaties gelukt zijn, kunt u de configuratie koppelen met uw primaire agentbeleidsgroep voor een bredere distributie.
• U kunt één patchconfiguratie maken voor uw laptop en werkstations, en een afzonderlijke patchconfiguratie voor uw serverapparaten. U kunt vervolgens de juiste patchconfiguratie koppelen met de agentbeleidsgroep die elk apparaattype beheert.
  

Voor het koppelen van de huidige patchconfiguratie met een of meer agentbeleidsgroepen:

1. Klik op Beleidsgroepen selecteren.
2. Kies de gewenste agentbeleidsgroepen.
   Om u te helpen kiezen, wordt de volgende informatie opgegeven over de beschikbare beleidsgroep(en):
   • Beleidsgroep: de naam van de agentbeleidsgroep.
   • Eindpunten: toont het aantal eindpunten dat momenteel de agentbeleidsgroep gebruikt.
   • Huidige patchconfiguratie: toont de naam van de patchconfiguratie die momenteel is gekoppeld aan de agentbeleidsgroep.
3. Klik op Bevestigen.

De lijst van alle agentbeleidsgroepen die momenteel gekoppeld zijn met de pachconfiguratie wordt weergegeven op de pagina Koppelingen.

De tabel toont alle versies van de configuratie. De tabel bevat standaard de volgende kolommen en is gesorteerd volgens de kolom Versie.

• Versie: de numerieke waarde van de versie. De eerste opslag van de configuratie zal versie 1 zijn. Telkens wanneer de configuratie wordt bewerkt en opgeslagen, verhoogt de versiewaarde met één. Als u klikt op de versiewaarde worden de configuratiedetails voor die specifieke versie geopend.
• Configuratienaam: de naam van de patchconfiguratie.
• Datum opslaan: de datum en tijd waarop de configuratiebewerking werd opgeslagen.
• Laatst opgeslagen door: de naam van het teamlid dat deze versie van de configuratie het laatst heeft bewerkt. Als u een patchgroep wijzigt die gekoppeld is aan een patchconfiguratie, kwalificeert dit als een revisie van de configuratie.

• Beschikbaarheid: toont de huidige status van de configuratie. Mogelijke waarden zijn Nieuw, In behandeling, Actief, Eerder actief, Concept en Mislukt

• Beschrijving: de opmerking die werd gegeven op het ogenblik waarop de gewijzigde configuratiebewerking werd opgeslagen.

• Terugzetten naar geselecteerde versie: hiermee kunt u de patchconfiguratie herstellen naar een eerdere versie. Zorg dat u de configuratiebeschrijving bijwerkt en op Opslaan klikt na het uitvoeren van uw actie. Patchgroepen zijn niet opgenomen in de terugdraaiactie. Alle willekeurige patchgroepen die zijn opgenomen in de huidige patchconfiguratie worden opgenomen in de configuratie van de teruggedraaide patchconfiguratie.

Hiermee kunt u de inhoud van de tabel exporteren naar een CSV-bestand. U kunt kiezen om alle items in de tabel, of alleen geselecteerde items te exporteren.

Het CSV-bestand wordt gemaakt met ISO-normen en wordt opgeslagen in uw lokale map Downloads. Als u Excel gebruikt om het bestand weer te geven, kunnen de gegevens worden geconverteerd naar de landinstellingen van de machine zodat ze kunnen worden weergegeven in een meer door de mens leesbare opmaak.

Elke sortering of filtering die wordt toegepast op de configuraties wordt behouden in de geëxporteerde uitvoer. Alle kolommen worden opgenomen, ongeacht wat werd geselecteerd in de Kolomkiezer.

Schakelt het selectievakje voor de eerste kolom in voor de configuraties die u wilt exporteren. U kunt ook het selectievakje in de cel van de koptekst inschakelen om alle configuraties te selecteren.

Klik op Exporteren om het CSV-bestand te maken.