Configuratiegedrag

Op dit tabblad kunt u een aantal verschillende opties configureren die betrekking hebben op de implementatie van patches.

Bekijk een gerelateerde video (6:56)

Selecteer Overzicht weergeven voor een overzicht van uw aangepaste patchconfiguratie-opties, met een tabblad voor elk besturingssysteem. Deze samenvatting wordt bijgewerkt in real time terwijl u de opties van uw patchconfiguratie toevoegt, verwijdert of wijzigt.

Implementatiegedrag

Met Implementatiegedrag kunt u configureren wanneer patches worden geïmplementeerd (de planning), welke patches worden geïmplementeerd (de implementatieopties) en of en wanneer aanvraagen om uw doelapparaten opnieuw op te starten worden verzonden tijdens het implementatieproces (het gedrag voor opnieuw opstarten).

U kunt verschillende implementatiegedragingen configureren voor verschillende besturingssystemen in dezelfde patchconfiguratie. Het implementatiegedrag voor elk besturingssysteem bestaat uit een of meer implementatietaken die u kunt in- of uitschakelen:

Routineonderhoud: wordt doorgaans gebruikt voor de standaard maandelijkse patches van besturingssystemen en toepassingen en vereist vaak een herstart van het eindpunt.
Prioriteitsupdates (alleen Windows): voor toepassingen die vaker updates uitbrengen, zoals browsers en telecomtoepassingen. Omdat hiervoor zelden een herstart nodig is, kunt u deze implementaties vaker plannen zodat u uw kwetsbaarheid kunt vermidneren met weinig impact op de gebruikers.
Zero-day-reactie (alleen Windows): voor dringende reacties, zoals voor misbruikte kwetsbaarheden.

U kunt deze taken gebruiken om een op risico's gebaseerde patchstrategie te implementeren door verschillende typen patches te configureren die volgens verschillende planningen moeten worden geïmplementeerd.

Om een patchconfiguratie voor alleen-scannen te maken, schakelt u de implementatieschakelaar uit voor alle taken voor alle besturingssystemen.De patch-engine scant het eindpunt zodra het is geïnstalleerd en daarna dagelijks tussen middernacht en 02.00 uur 's nachts op de lokale eindpunttijd.

Om een patchtaak in te schakelen, schakelt u de schakelaar in en klikt u op Deze taak configureren om het configuratiescherm voor de taak weer te geven.

Planning

In dit gebied kunt u implementaties configureren die worden uitgevoerd volgens een terugkerende planning.

Met de sectie Een planning kiezen kunt u regelmatig implementatiebewerkingen plannen op een bepaald tijdstip en met een opgegeven terugkeerpatroon.Een implementatie kan bijvoorbeeld elke avond om middernacht worden uitgevoerd, of elke zaterdag om 21 uur, elke werkdag om 23 uur of op elk ander door de gebruiker geselecteerd tijdstip of interval.

Uitvoeren bij opnieuw opstarten indien planning gemist: als een geplande implementatie is gemist omdat een machine is uitgeschakeld, wordt deze uitgevoerd binnen het uur na het opnieuw inschakelen van de machine.
Patches implementeren: u kunt de patchimplementatie plannen met de volgende opties:
- Dagelijks: de implementaties worden elke dag van de week uitgevoerd op het tijdstip van uw keuze.
- Wekelijks: de implementaties worden uitgevoerd op de opgegeven dag van de week op het tijdstip van uw keuze.
- Maandelijks: de implementaties worden uitgevoerd op de opgegeven datum of elke maand één dag op het tijdstip van uw keuze.U kunt deze optie ook gebruiken voor het plannen van een implementatie in combinatie met Patch Tuesday van Microsoft. U kunt bijvoorbeeld plannen dat er een maandelijkse patchimplementatie plaatsvindt op de dag na Patchdinsdag door het selectievakje Ook implementeren na Patchdinsdag te selecteren en vervolgens 1 op te geven als het aantal dagen na Patchdinsdag om de implementatie te vertragen.
  De optie Vertraging toevoegen voegt meer flexibiliteit toe aan de planning door u de mogelijkheid te bieden een vertraging van een aantal dagen toe te voegen aan een maandelijkse planning. Als uw Change Advisory Board op de eerste woensdag van elke maand samenkomt om overeen te komen welke patches moeten worden geïmplementeerd op de daaropvolgende zaterdag, kunt u kiezen om de eerste woensdag te implementeren met een vertraging van 3 dagen. Dit behandelt het geval waar de zaterdag na de eerste woensdag, de eerste of de tweede zaterdag van de maand kan zijn.
- Patch Tuesday: plan de implementaties om te worden uitgevoerd op dezelfde dag als de regelmatige maandelijkse patchgebeurtenis van Microsoft, bekend als Patch Tuesday.

Fase-inhoud vóór implementatie (Windows en Mac): geeft de patch-engine instructies op het eindpunt om patches te downloaden voorafgaand aan de implementatietaak. Dit is vooral handig voor eindpunten met onderhoudsvensters, zodat niets van de duur van het onderhoudsvenster verloren gaat bij het downloaden. U kunt de inhoud faseren op elk ogenblik tussen 1 en 23 uur voordat de implementatie wordt uitgevoerd. Een patchscan wordt automatisch uitgevoerd door de agent bij de start van het faseringsproces om de patchstatus van het apparaat opnieuw te beoordelen vóór de implementatie.
Er is een uitzondering voor patchimplementaties die zullen optreden op de eerste dag van de maand. Om problemen met schrikkeljaren en andere soortgelijke afwijkingen in de kalender te vermijden, zal de interface u verhinderen de inhoud te faseren op de dag voorafgaand aan de eerste dag van de maand. Als u bijvoorbeeld een implementatie plant vóór 08u00 's morgens op de eerste dag van de maand, mag u inhoud pas 1- 8 uur vóór de implementatie faseren.

Implementatie door

De beschikbare implementatieopties zijn afhankelijk van het besturingssysteem:

Windows: Implementeren op risicoscore, Implementeren op ernst, Implementeren/Uitsluiten op patchgroep, Inschakelingspakketten opnemen en Geselecteerde leveranciers/producten
Mac: Implementeren op ernst, Implementeren op patchgroep
Linux: Alle ontbrekende patches implementeren, Implementeren op ernst, Implementeren op patchgroep

Standaard zijn alleen kritieke beveiligingspatches voor Windows geïmplementeerd. Als u:

Als u Implementeren op ernst inschakelt en configureert, en u enkele patchgroepen instelt op Opnemen in Implementeren/uitsluiten op patchgroep, is het effect additief, waarbij alle patches voor elke geconfigureerde optie worden geïmplementeerd.
Als u Geselecteerde leveranciers/producten inschakelt en configureert, zal die optie patches van de andere twee opties filteren.
stel een patchgroep in op Uitsluiten in Implementeren/uitsluiten op patchgroep, dan worden patches die in een patchgroep zijn ingesteld op Uitsluiten altijd uitgesloten, zelfs als ze zijn ingesteld om ergens anders te worden opgenomen.

Voorbeeld 1: als u alleen de patches die in een patchgroep zijn opgenomen, wilt implementeren:

Schakel de opties Implementeren op ernst en Geselecteerde leveranciers/producten uit
Schakel de optie Implementeren/uitsluiten op patchgroep en stel de gewenste patchgroep in op Opnemen

Voorbeeld 2: laten we veronderstellen dat u het volgende configureert:

Implementeren op ernst: Kritiek voor beveiliging en Belangrijk voor beveiliging zijn geselecteerd
Implementeren/uitsluiten op patchgroep: u stelt één patchgroep in op Opnemendie één beveiligingskritieke patch, één voor de beveiliging belangrijke patch en twee voor de beveiliging matige patches bevat.
Geselecteerde leveranciers/producten: deze optie is uitgeschakeld

In dit geval:

In dit geval worden de patches Kritiek voor beveiliging en Belangrijk voor beveiliging geïmplementeerd voor alle leveranciers en producten
alle vier patches in de patchgroep woden geïmplementeerd, inclusief de twee patches Gemiddelde beveiliging

Voorbeeld 3: idem als voorbeeld 2, maar u kunt ook:

gebruik de optie Geselecteerde leveranciers/producten om op te geven dat alleen Adobe-patches moeten worden geïmplementeerd

In dit geval zijn de enige patches die zullen worden geïmplementeerd:

Voor de Adobe-beveiliging kritieke patches, voor de Adobe-beveiliging belangrijke patches en alle Adobe-patches die in de patchgroep staan

Voorbeeld 4: idem als voorbeeld 3, maar u kunt ook:

gebruik de optie Implementeren/uitsluiten op patchgroep om een patchgroep uit te sluiten die een specifieke voor de beveiliging kritieke Adobe-patch bevat

In dit geval zijn de enige patches die zullen worden geïmplementeerd:

Voor de beveiliging kritieke Adobe-patches (behalve voor deze in de uitgesloten patchgroep)
Voor de beveiliging belangrijke Adobe-patches
alle Adobe-patches die in de patchgroep zijn opgenomen

Als een patch wordt toegevoegd aan een patchgroep die is ingesteld op Uitsluiten, dan wordt de patch niet geïmplementeerd, zelfs als de andere instellingen specifiek suggereren dat deze moet worden geïmplementeerd.

Voorbeeld 5 (Windows edge case): laten we ervan uitgaan dat u Implementeren op ernst configureert met alleen Kritiek voor beveiliging en ook Implementeren op patchgroep om Vantosi V3 op te nemen.

Als Vantosi V4 dan wordt uitgegeven als Kritiek voor beveiliging en Vantosi V5, vóór een andere patchimplementatie, wordt uitgegeven als Belangrijk voor beveiliging, worden in dat geval voor Windows noch Vantosi V4, noch Vantosi V5 geïmplementeerd. Dit is omdat de laatste versie (Vantosi V5) niet voldoet aan de Ernstvereisten voor implementatie en noch Vantosi V4, noch Vantosi V5 zijn opgenomen in de patchgroep. Denk eraan dat als u dezelfde patchconfiguratie voor Mac hebt geconfigureerd, zou Vantosi V4 worden geïmplementeerd.

Wij raden u aan regelmatig de componenten Nalevingsrapportage te gebruiken om de nalevingssttus van uw apparaten te controleren en eventuele nieuwe beveiligingskritieke patches toe te voegen aan een patchgroep. Zie Voorgeschreven rapportage en Patchgroepen voor meer informatie.

Implementatieopties selecteren

Alle ontbrekende patches implementeren / Geselecteerde patches implementeren (alleen Linux). Voor Linux kunt u kiezen voor Alle ontbrekende patches implementeren. Daarnaast schakelt het selecteren van Geselecteerde patches implementeren meer bedieningselementen in zodat u kunt selecteren welke patches worden geïmplementeerd.
Implementeren op risicoscore (alleen Windows): als dit is ingeschakeld, kunt u de risicoscores opgeven die gekoppeld zijn met patches die moeten worden opgenomen in een implementatie.
- VRR-score: implementeert patches met een VRR-score die groter is dan of gelijk is aan de geconfigureerde waarde. De VRR (Vulnerability Risk Rating = percentage kwetsbaarheidsrisico) staat voor het risico dat wordt gevormd doro een bepaalde kwetsbaarheid, geleverd als een numeriek score tussen 0 en 10.
- CVSS-score: implementeert patches waar de nieuwste versie van de CVSS-score (Common Vulnerability Scoring System) die genomen is van alle CVE's die gekoppeld zijn met de patch, groter is dan of gelijk is aan de geconfigureerde waarde. Het scorebereik is van 0,1 tot 10.
- Patches implementeren voor misbruikte kwetsbaarheden: indien dit is ingeschakeld, worden patches geïmplementeerd voor kwetsbaarheden die werden gemeld als misbruikt.

Implementeren op ernst: als dit is ingeschakeld, kunt u de types patches en de ernstniveaus die moeten worden opgenomen in de implementatie, opgeven. Standaard zijn alleen kritieke beveiligingspatches geselecteerd. Er zijn verschillende niveaus beschikbaar voor elk besturingssysteem en Linux-distributie. Pictogrammen tonen welke Linux-distributies elk niveau ondersteunen.
- Beveiliging: met beveiligingsbulletin verwante patches. U kunt ervoor kiezen om een of meer specifieke urgentieniveaus te implementeren.
  - Kritiek: kwetsbaarheden die kunnen worden misbruikt door een niet-geverifieerde externe aanvaller of kwetsbaarheden die de isolatie van het gast/host-besturingssysteem doorbreken. Het misbruik resulteert in gevaar voor de vertrouwelijkheid, integriteit, beschikbaarheid van gebruikersgegevens of verwerkingsbronnen zonder tussenkomst van de gebruiker. Exploitatie kan worden gebruikt om een Internetworm of een uitvoerbare willekeurige code door te geven tussen virtuele machines en de host.
  - Belangrijk: kwetsbaarheden waarvan het misbruik de vertrouwelijkheid, integriteit of beschikbaarheid van gebruikersgegevens en verwerkingsbronnen in gevaar brengt. Dergelijke fouten kunnen lokale gebruikers toestaan bevoegdheden te verkrijgen, geverifieerde externe gebruikers toestaan een willekeurige code uit te voeren, of lokale of externe gebruikers toestaan om gemakkelijk een DoS-service te veroorzaken.
  - Gemiddeld: fouten waar de mogelijkheid tot misbruik aanzienlijk wordt beperkt door de configuratie of moeilijke exploitatie, maar in bepaalde implementatiescenario's nog steeds kan leiden tot wat gevaar voor de vertrouwelijkheid, integriteit of beschikbaarheid van gebruikersgegevens en verwerkingsbronnen. Dit zijn types kwetsbaarheden die een kritieke of belangrijke impact zouden kunnen hebben, maar die minder gemakkelijk kunnen worden misbruikt op basis van een technische evaluatie van de fout of die weinig waarschijnlijk invloed zullen hebben op configuraties.
  - Laag: alle andere problemen die een impact op de beveiliging hebben. Kwetsbaarheden waarvan wordt verondersteld dat ze extreem moeilijk kunnen worden misbruikt of waar een geslaagd misbruik een minimale impact zou hebben.
  - Niet toegewezen (Windows en Mac): beveiligingspatches waaraan geen ernstniveau werd toegewezen.
- Niet-beveiliging (Windows en Mac): leverancierspatches die bekende softwareproblemen die geen beveiligingsproblemen zijn, oplossen. Voor Windows kunt u kiezen om te implementeren voor een of meer specifieke urgentieniveaus van leveranciers. Zie Beveiligingspatches voor een beschrijving van de beschikbare ernstniveaus.
- Probleemoplossing (alleen Linux): Lervancierspatches die problemen oplossen.
- Verbetering (alleen Linux): leverancierspatches die functieverbeteringen bieden.
Implementeren/uitsluiten op patchgroep (Windows) of Implementeren op patchgroep (Mac): als dit is ingeschakeld, kunt u een of meer patchgroepen opgeven die de patches bevatten die u wilt opnemen in een implementatie of (alleen Windows) die u wilt uitsluiten van de implementatie. Dit is een goede manier om te controleren dat alleen goedgekeurde patches zijn geïmplementeerd. Ontbrekende patches die niet zijn opgenomen in patchgroepen die zijn ingesteld op Opnemen, worden niet geïmplementeerd tenzij ze voldoen aan de vereiste die is opgegeven in de optie Implementeren op ernst. Patches in patchgroepen die zijn ingesteld op Uitsluiten worden niet geïmplementeerd, zelfs als andere instellingen specifiek suggereren dat dat moet gebeuren. Details over de beschikbare patchgroepen kunnen worden weergegeven via het tabblad Patchgroepen op de pagina Patchinstellingen. Patchgroepen worden beheerd in Patch Intelligence.
Linux-apparaten worden altijd bijgewerkt naar het nieuwe pakket dat beschikbaar is in de opslagruimte, zelfs als een eerdere versie is toegevoegd aan een patchgroep. Pakketten zijn daarnaast niet alleen gekoppeld met de adviezen in de geïnstalleerde patchgroepen, maar pakket zijn ook gekoppeld met afhankelijke adviezen.
Wanneer u Implementeren/uitsluiten op patchgroep inschakelt, verschijnt een raster van alle patchgroepen die het aantal patches tonen voor elk besturingssysteem, plus het totale aantal patches in elke patchgroep. Schakel het selectievakje in naast een patchgroep in en klik dan op Opnemen of Uitsluiten als geschikt. Klik op Wissen om de selectie van een patchgroep op te heffen.
Een of naast het aantal patches voor het besturingssysteem dat niet wordt geconfigureerd, geeft aan dat de configuratie die patches respectievelijk al of niet bevat.
U wilt zich mogelijk eraan herinnering welke patches in een groep zijn opgenomen, voordat u deze selecteert. Klik hiervoor op een numerieke koppeling in het raster om de overeenkomende patches onder het raster Patchgroepen weer te geven. Gebruik de kolom Platform om het besturingssysteem te bepalen en de kolom Status om de status van elke individuele patch te bepalen.
De weergegeven status is eigenlijk een status bij benadering op basis van het gebruik van deze patchgroep met de huidige patchconfiguratie. Een aantal factoren kan de patchstatus beïnvloeden. Als u bijvoorbeeld Geselecteerde leveranciers/producten gebruikt in combinatie met een patchgroep, kan dit een of meer patches van de groep filteren.
- Actief: deze patchgroep werd gebruikt door deze configuratie om de patch beschikbaar te maken voor apparaten van eindgebruikers. De apparaten maken deel uit van de beleidslijnen die gekoppeld zijn aan deze patchconfiguratie.
- Niet actief: er zijn twee mogelijke redenen voor deze patchstatus. (1) Deze patchgroep werd niet gebruikt om de patch beschikbaar te maken voor enige apparaten. (2) De patchconfiguratie waaraan deze patchgroep is toegewezen, is niet actief gemaakt voor apparaten.
  Er is een scenario waarbij een patch die is weergegeven als Niet actief, in werkelijkheid actie kan zijn. Als de patch in meer dan één patchgroep staat, is een van die andere patchgroepen mogelijk gebruikt om deze patch actief te maken voor apparaten.
Inschakelingspakketten opnemen (alleen Windows, allen Routineonderhoud): indien ingeschakeld, deploys the selected enablement packages. Inschakelingspakketten zijn een beperkte set van cumulatieve updates waamee u kunt upgraden van de ene versie van Windows naar een andere. Gebruik Vervangen pakketten weergeven om items die werden vervangen weer te geven of te verbergen.
Geselecteerde leveranciers/producten (alleen Windows): als dit is uitgeschakeld worden patches voor alle beschikbare leveranciers en producten opgenomen in de implementatie die is gedefinieerd door de opties Implementeren op ernst en Implementeren op patchgroep. Wanneer nieuwe producten en patches beschikbaar worden, worden ze toegevoegd aan de implementatie.

Als dit is ingeschakeld, kunt u de leveranciers, productfamilies en productversies opgeven die kunnen worden geïmplementeerd op eindpunten. Leveranciers en producten die niet zijn geselecteerd, worden uitgesloten van de implementatie. De items worden voorgesteld in een hiërarchische lijst. Als u een selectievakje inschakelt op één niveau, worden ook alle selectievakjes op de onderliggende niveaus ingeschakeld.

Alles selecteren: als u dit selectievakje inschakelt, selecteert u alle momenteel beschikbare patches voor alle leveranciers en producten in de lijst. Nieuwe leveranciers- en productpatches die beschikbaar worden op een latere datum, worden toegevoegd aan de implementatie.

Als u een klein aantal items wilt uitsluiten, kunt u Alles selectereninschakelen en vervolgens de selectievakjes wissen van de items die u wilt uitsluiten.

Individuele leveranciers en producten selecteren: alleen patches voor de geselecteerde leveranciers, productfamilies en/of productversies worden geïmplementeerd. Niet-geselecteerde leveranciers en producten worden gefilterd uit de implementatie.

Gedrag bij opnieuw opstarten

In dit gebied kunt u configureren of en wanneer het opnieuw opstarten van uw doelmachines zal worden gevraagd tijdens het implementatieproces. Het Ivanti Neurons-platform gaat centraal om met aanvragen voor opnieuw opstarten om conflicten van verschillende Ivanti Neurons-functies te voorkomen. Dit betekent dat het opnieuw opstarten mogelijk niet onmiddellijk zal gebeuren indien gevraagd.

macOS start altijd opnieuw op na de patchimplementatie van het besturingssysteem, nadat de gebruikers is gevraagd om updates van het besturingssysteem te implementeren. U kunt ook kiezen voor Altijd opnieuw opstarten na een update (zelfs als er geen patches van het besturingssysteem zijn toegepast) voor Mac-configuraties.

Opnieuw opstarten vóór implementatie (alleen Windows): indien dit is ingeschakeld, geeft dit aan dat de doelapparaten opnieuw worden opgestart voordat de patches worden geïmplementeerd. Het wordt beschouwd als een aanbevolen procedure om machines opnieuw op te starten voordat u belangrijke nieuwe software installeert, vooral voor grote softwarewijzigingen, zoals productniveaus van het besturingssysteem. Als u ervoor kiest om de machines opnieuw op te starten, kunt u vervolgens opgeven in welke mate een aangemelde gebruiker waarschuwingen ontvangt en kunt u kiezen hoeveel controle de gebruiker zal hebben over het proces voor het opnieuw opstarten. U kunt:
- Kies ervoor om een herstart te forceren nadat enkele minuten zijn verstreken
- De gebruiker waarschuwen dat opnieuw zal worden gestart wanneer wordt afgemeld
- Selecteer de duur voor het weergeven van een aftelbericht wanneer de afsluitprocedure is gestart. Om een voorbeeld weer te geven van het dialoogvenster dat de gebruiker zal zien, klikt u op Voorbeeld aftellen.
- Sta de gebruiker toe om de aftelling van de time-out te verlengen tot een opgegeven maximum.
- De gebruiker toestaan om de time-out te annuleren. Als een time-out wordt geannuleerd, worden de patches niet geïmplementeerd tot de gebruiker afmeldt of het apparaat handmatig opnieuw opstart.
- De gebruiker toestaan om het opnieuw opstarten te annuleren. De patches worden niet geïnstalleerd zolang het apparaat niet opnieuw is opgestart.
Opnieuw opstarten na de implementatie (Windows) of Opnieuw opstarten na de implementatie indien vereist (Linux): indien dit is ingeschakeld, geeft dit aan of het opnieuw opstarten van de doelapparaten moet worden gevraagd nadat de patches zijn geïmplementeerd. Linux start alleen opnieuw op indien dat nodig is. Voor Windows zijn er echter twee opties:
- Altijd: bepaalt dat elke machine opnieuw moet worden opgestart nadat de patches zijn geïmplementeerd. Dit is de veiligste optie voor het implementeren van patches omdat de meeste patches een herstart vereisen om te worden voltooid, maar het kan zich voordoen dat machines onnodig opnieuw worden opgestart.
- Indien vereist: geeft aan dat de Ivanti Neurons-agent zal bepalen of het opnieuw opstarten van elke machine al dan niet vereist is, gebaseerd op de patches die in de implementatie zijn opgenomen.

Als u ervoor kiest om de apparaten opnieuw op te starten, kunt u vervolgens verdere opties opgeven, zoals de mate waarin een aangemelde gebruiker waarschuwingen ontvangt en kunt u kiezen hoeveel controle de gebruiker zal hebben over het proces voor het opnieuw opstarten van de gekoppelde beleidsgroepen. Voor meer informatie, zie Herstartervaring agentbeleid.

Instellingen - Microsoft preview-patches

Voor testdoeleinden biedt Microsoft een aantal vorobeeldpatches voor Windows aan, voorafgaand aan de officiële release van Patch Tuesday. Deze patches bevatten geen beveiligingsupdates. U zult ze daarom doorgaans niet implementeren op al uw apparaten. Daarom is het scannen naar deze patches standaard uitgeschakeld. Om het scannen naar voorbeeldpatches in te schakelen, schakelt u Scannen naar Microsoft-voorbeeldpatches in.

Als u kiest om voorbeeldpatches te implementeren, raden wij u aan deze alleen te implementeren voor een beperkte testgroep in uw organisatie.