Configurações de Patch

Essa guia permite configurar várias opções diferentes relacionadas à implantação de patches.

Dica: um resumo de suas opções personalizadas de configuração de patch fica disponível ao clicar em Mostrar resumo. Esse resumo é atualizado em tempo real, conforme você adiciona, exclui ou modifica suas opções de configuração de patch.

Comportamento de implantação

Essa área permite configurar quais patches serão implantados.

Há três opções configuráveis: Implantar por gravidade, Implantar por grupo de patches e Fornecedores/produtos selecionados. Se você não modificar nenhuma das opções, por padrão, serão implantados apenas os patches de segurança crítica. Se você habilita e configura as opções Implantar por gravidade e Implantar por grupo de patches, o efeito é aditivo, sendo implantados todos os patches de cada opção configurada. Se você habilitar e configurar Fornecedores/produtos selecionados, os patches das outras duas opções serão filtrados.

Exemplo 1: se você deseja implantar apenas os patches contidos em um grupo de patches:

• Desabilite as opções Implantar por gravidade e Fornecedores/produtos selecionados
• Habilite a opção Implantar por grupo de patches e selecione o grupo desejado

Exemplo 2: digamos que você configure o seguinte:

• Implantar por gravidade: Segurança Crítica e Segurança Importante estão selecionados
• Implantar por grupo de patches: você seleciona um grupo de patches que contém um patch de Segurança Crítica, um patch de Segurança Importante e dois patches de Segurança Moderada
• Fornecedores/produtos Selecionados: esta opção fica desabilitada

Nesse caso, os patches de Segurança Crítica e Segurança Importante serão implantados para todos os fornecedores e produtos. Além disso, todos os quatro patches contidos no grupo de patches serão implantados, inclusive os dois patches de Segurança Moderada.

Exemplo 3: igual ao Exemplo 2, mas você também usa a opção Fornecedores/produtos selecionados para especificar que apenas os patches da Adobe devem ser implantados. Nesse caso, serão implantados apenas os patches de Segurança Crítica Adobe, Segurança Importante Adobe e os patches Adobe contidos no grupo de patches.

Opções do comportamento de implantação

• Implantar por gravidade: se ativado, permite especificar os tipos de patch e os níveis de gravidade que devem ser incluídos na implantação. Por padrão, apenas os patches de segurança crítica são selecionados.
  • Patches de segurança: patches relacionados ao boletim de segurança. Você pode optar por implantar um ou mais níveis de gravidade específicos.
    • Crítico: vulnerabilidades que possam ser exploradas por um invasor remoto não autenticado ou sejam capazes de romper o isolamento entre os sistemas operacionais de host/convidado. A exploração resulta no comprometimento de confidencialidade, integridade, disponibilidade dos dados de usuário ou processamento de recursos sem interação do usuário. Tal exploração poderia ser aproveitada para propagar um worm de Internet ou executar código arbitrário entre máquinas virtuais e o host.
    • Importante: vulnerabilidades cuja exploração resulta no comprometimento de confidencialidade, integridade ou disponibilidade dos dados do usuário e do processamento de recursos. Essas falhas podem permitir que usuários locais obtenham privilégios; que usuários remotos autenticados executem código arbitrário; ou que usuários locais ou remotos causem facilmente uma negação de serviço.
    • Moderado: falhas em que a capacidade de exploração é atenuada em grau significativo pela configuração ou dificuldade de exploração, mas, em certos cenários de implantação, ainda pode levar a algum comprometimento da confidencialidade, integridade ou disponibilidade dos dados do usuário e dos recursos de processamento. Vulnerabilidades deste tipo poderiam ter impacto crítico ou importante, mas são menos facilmente exploradas por conta da avaliação técnica da falha ou por afetarem configurações improváveis.
    • Baixo: todos os outros incidentes que impactam a segurança. Vulnerabilidades em que a exploração seja considerada extremamente difícil ou de mínimo impacto se for bem-sucedida.
    • Não categorizado: patches de segurança que não têm um nível de gravidade atribuído.
  • Patches de não segurança: patches de fornecedores que corrigem problemas de software conhecidos não relativos à segurança. Você pode optar por implantar para um ou mais níveis de gravidade específicos do fornecedor. Consulte Patches de segurança para ver a descrição dos níveis de gravidade disponíveis.
• Implantar por grupo de patches: se ativado, permite especificar um ou mais grupos contendo os patches a serem instalados. Essa é uma boa maneira de garantir que apenas patches aprovados sejam implantados. Patches ausentes que não estejam contidos nos grupos de patches especificados não serão implantados, a menos que especificados no filtro Implantar por gravidade. Detalhes sobre os grupos de patches disponíveis podem ser vistos usando-se a aba Grupos de patches, na página Configurações de patch. Os grupos de patches são gerenciados na Inteligência de Patches.
  Poderá ser útil recordar quais patches estão contidos no grupo antes de selecioná-lo. Para fazer isso, clique no link numérico na coluna Patches. Os patches contidos no grupo são exibidos na parte inferior da página. Use a coluna Status para determinar o status de cada patch individual.

  O status mostrado é, na verdade, uma aproximação baseada no uso desse grupo com a configuração de patch atual. Vários fatores podem afetar o status do patch. Por exemplo, se você usar Fornecedores/produtos selecionados em conjunto com um grupo de patches, um ou mais patches do grupo poderão ser desconsiderados.

  • Ativo: o grupo de patches é usado por essa configuração para disponibilizar o patch aos dispositivos do usuário final. Os dispositivos fazem parte dos grupos de política associados a essa configuração de patch.
  • Não ativo: existem duas razões possíveis para esse status. (1) Esse grupo não foi usado para disponibilizar o patch a nenhum dispositivo. (2) A configuração de patch à qual esse grupo de patches está atribuído não foi ativada para os dispositivos.
    Existe um cenário em que um patch listado como Não ativo pode, na verdade, estar ativo. Se o patch residir em mais de um grupo de patches, um desses outros grupos pode ter sido usado para tornar o patch ativo para os dispositivos.
• Fornecedores/produtos selecionados: se desabilitado, os patches de todos os fornecedores e produtos disponíveis serão incluídos na implantação definida pelas opções Implantar por gravidade e Implantar por grupo de patches. À medida que novos produtos e patches forem disponibilizados, eles serão adicionados à implantação.

Se habilitado, permite especificar os fornecedores, famílias de produtos e versões de produtos que podem ser implantados nos pontos de extremidade. Fornecedores e produtos que não forem selecionados serão excluídos da implantação. Os itens são apresentados em uma lista hierárquica. Se você habilitar uma caixa de seleção em um nível, todas as caixas de seleção em níveis inferiores também serão habilitadas.

• Selecionar tudo: habilitar esta caixa seleciona todos os patches atualmente disponíveis para todos os fornecedores e produtos na lista. Novos patches de fornecedores e produtos que forem disponibilizados posteriormente não serão adicionados à implantação.

DICA: se deseja excluir um pequeno número de itens, você pode habilitar Selecionar tudo e desmarcar as caixas de seleção dos itens que deseja excluir.

• Seleção de fornecedores e produtos individuais: serão implantados somente patches dos fornecedores, famílias de produtos e versões de produto selecionados. Fornecedores e produtos não selecionados são deixados de fora da implantação.
  

Comportamento de reinicialização

Essa área permite configurar se e quando as máquinas de destino serão reinicializadas durante o processo de implantação.

• Reinicialização pré-implantação: especifica se a reinicialização das máquinas de destino deve ser executada antes que os patches sejam implantados. Existem duas opções:
  • Nunca: especifica que não é necessário reinicializar cada máquina antes da implantação dos patches.
  • Sempre: especifica que cada máquina deve ser reinicializada antes da implantação dos patches. Considera-se uma melhor prática reinicializar as máquinas antes de instalar novos softwares importantes, especialmente para grandes alterações de software, tais como níveis de produto do sistema operacional.
    Se você optar por reinicializar as máquinas, poderá especificar a quantidade de avisos que o usuário logado receberá e escolher o nível de controle que ele terá sobre o processo de reinicialização. Você pode:
    • Optar por forçar a reinicialização após decorrido um número de minutos
    • Alertar o usuário de que uma reinicialização ocorrerá quando ele fizer logoff
    • Selecione a duração para exibir uma mensagem de contagem regressiva quando a sequência de desligamento for iniciada. Para ter uma prévia da caixa de diálogo que o usuário verá, clique em Exemplo de contagem regressiva.
    • Permitir que o usuário estenda a contagem regressiva do tempo limite até um máximo especificado.
    • Permitir que o usuário cancele o tempo limite. Se um tempo limite for cancelado, os patches não serão implantados até que o usuário faça logoff ou reinicialize manualmente a máquina.
    • Permitir que o usuário cancele a reinicialização. Os patches não serão instalados até que a máquina seja reiniciada.
• Reinicialização pós-implantação: especifica se a reinicialização das máquinas de destino deve ser executada depois que os patches forem implantados. Há três opções:
  • Nunca: especifica que não é necessário reinicializar cada máquina após a implantação dos patches.
  • Sempre: especifica que cada máquina deve ser reinicializada após a implantação dos patches. Essa é a opção mais segura ao implantar patches, pois a maioria deles exige reinicialização para concluir a implantação. Contudo, pode haver momentos em que as máquinas sejam reinicializadas desnecessariamente.
  • Quando necessário: especifica que o agente Ivanti Neurons determinará a necessidade ou não de reinicializar cada máquina.
    Se você optar por reinicializar as máquinas, poderá especificar a quantidade de avisos que o usuário logado receberá e escolher o nível de controle que ele terá sobre o processo de reinicialização. Você pode:
    • Programar a reinicialização para ocorrer imediatamente após a instalação dos patches ou após um número de dias, numa hora especificada

      Se a máquina de destino for reinicializada antes de a reinicialização agendada ocorrer, a reinicialização agendada perderá sua necessidade e será cancelada.

    • Optar por forçar a reinicialização após decorrido um número de minutos, horas ou dias
    • Alertar o usuário de que uma reinicialização ocorrerá quando ele fizer logoff
    • Selecione a duração para exibir uma mensagem de contagem regressiva quando a sequência de desligamento for iniciada.
    • Permitir que o usuário estenda a contagem regressiva do tempo limite até um máximo especificado.
    • Permitir que o usuário cancele o tempo limite. Se um tempo limite for cancelado, os patches não serão implantados até que o usuário faça logoff ou reinicialize manualmente a máquina.
    • Permitir que o usuário cancele a reinicialização. Os patches não serão instalados até que a máquina seja reinicializada.

Agendamento

Essa área permite configurar implantações a serem realizadas em horário recorrente.

• Definir recorrência: permite agendar regularmente as operações de implantação em um horário específico e usando um padrão de recorrência especificado. Por exemplo, a implantação pode ser executada todas as noites à meia-noite ou a cada sábado às 21 horas, a cada dia da semana às 23 horas ou em qualquer outro horário e intervalo selecionado pelo usuário.
  • Executar na reinicialização se o agendamento for perdido: se a implantação agendada for perdida, ela será executada na próxima vez que a máquina for reinicializada.
  • Implantar patches: você pode agendar a implantação de patch usando as seguintes opções:
    • Diariamente: as implantações serão executadas todos os dias da semana no horário de sua escolha.
    • Semanalmente: as implantações serão executadas no dia da semana especificado, no horário de sua escolha.
    • Mensalmente: as implantações serão executadas na data especificada, a cada mês, no horário de sua escolha. Você também pode usar essa opção para agendar uma implantação em conjunto com a Patch Tuesday da Microsoft. Por exemplo, para programar uma implantação de patch mensal para ocorrer um dia após a Patch Tuesday, habilite a caixa de seleção Também implantar após Patch Tuesday e especifique 1 como o número de dias para adiar a implantação após a Patch Tuesday.
    • Patch Tuesday: programe as implantações para serem executadas no mesmo dia do evento mensal regular de aplicação de patches da Microsoft, conhecido como Patch Tuesday.
  • Preparar conteúdo antes da implantação: especifica se você deseja criar o pacote de implantação e copiá-lo para as máquinas de destino antes da implantação real. Você pode preparar o conteúdo de 1 a 23 horas antes de a implantação ser executada. Uma análise de patch é executada automaticamente pelo agente no início do processo de preparação para reavaliar o status de patch da máquina antes da implantação.

    Há uma exceção para as implantações de patch que ocorram no primeiro dia do mês. Para evitar problemas com anos bissextos e outras peculiaridades semelhantes no calendário, a interface impedirá que você prepare o conteúdo no dia anterior ao primeiro dia do mês. Por exemplo, se você agendar uma implantação para as 8h do primeiro dia do mês, só poderá preparar o conteúdo de 1 a 8 horas antes da implantação.

  • Tarefas futuras: esta tabela mostra uma lista de tarefas futuras. Ela permite visualizar todos os eventos projetados para ocorrer nos próximos 60 dias usando a configuração selecionada no momento. Observe que as informações fornecidas nessa tabela são uma projeção; muitas coisas podem acontecer para evitar que um ou mais dos eventos ocorram.

Essa guia permite associar a configuração de patch a um ou mais grupos de políticas do agente. A associação da configuração de patch a um grupo de políticas define os pontos de extremidade nos quais a configuração será implantada. Todos os dispositivos que usem determinada política serão regidos pela configuração de patch que você associar a ela.

Importante! O grupo de políticas do agente deve ter o recurso Gerenciamento de Patch habilitado para que seja possível utilizar a configuração de patch.

Você pode associar uma configuração de patch a vários grupos de políticas do agente.

Exemplos

• Você pode criar uma configuração de patch para todos os fornecedores e produtos usados ​​pelas equipes de suporte de TI em sua organização. Você pode então associar essa configuração aos grupos de políticas do agente que cobrem suas equipes regionais, como Suporte TI AMER, Suporte TI EMEA e Suporte TI APAC.
• Você pode criar uma configuração para os patches lançados em uma Patch Tuesday. Você pode então associar essa configuração a um grupo piloto de políticas do agente que será usado para testar as implantações de patch. Se as implantações forem bem-sucedidas, você poderá associar a configuração ao seu grupo principal de políticas do agente para fazer uma distribuição mais ampla.
• Você pode criar uma configuração de patch para seus laptops e estações de trabalho e outra separada para seus servidores. Em seguida, você associa a configuração de patch adequada ao grupo de políticas do agente que governa cada tipo de dispositivo.
  

Para associar a configuração de patch atual a um ou mais grupos de políticas do agente:

1. Clique em Selecionar grupos de políticas.
2. Escolha os grupos de políticas desejados.
   Para ajudá-lo a escolher, são fornecidas as seguintes informações sobre os grupos de políticas disponíveis:
   • Grupo de políticas: nome do grupo de políticas do agente.
   • Pontos de extremidade: mostra quantos pontos de extremidade usam atualmente o grupo de políticas do agente.
   • Configuração de patch atual: mostra o nome da configuração de patch atualmente associada ao grupo de políticas do agente.
3. Clique em Confirmar.

A lista de todos os grupos de políticas do agente atualmente associados à configuração do patch é exibida na página Associações.

Essa guia permite rastrear as alterações feitas na configuração de patch. A tabela exibe todas as versões da configuração. Por padrão, a tabela contém as colunas a seguir e é classificada pela coluna Versão.

• Versão: valor numérico da versão. O primeiro salvamento da configuração será a versão 1. Cada vez que a configuração for editada e salva, o valor da versão será incrementado em um. Clicar no valor da versão abrirá os detalhes de configuração dessa versão específica.
• Nome da configuração: o nome da configuração de patch.
• Data de salvamento: data e hora em que a configuração foi salva.
• Último salvamento por: nome de quem editou por último essa versão da configuração. Se você modifica um grupo de patches que está associado a uma configuração de patch, isso se qualifica como uma revisão da configuração.

• Disponibilidade: mostra o status atual da configuração. Os valores possíveis são Novo, Pendente, Ativo, Anteriormente ativo, Rascunho e Falhou

• Descrição: comentário fornecido no momento em que a edição da configuração foi salva.

Ações

• Reverter para a versão selecionada: permite reverter a configuração selecionada para uma versão anterior. Certifique-se de atualizar a descrição da configuração e clicar em Salvar depois de executar sua ação. Grupos de patches não são incluídos na ação de reversão. Todos os grupos de patches incluídos na configuração de patch atual serão incluídos na configuração de patch revertida.

Exportar

Permite exportar o conteúdo da tabela para um arquivo CSV. Você pode exportar todos os itens da tabela ou apenas os itens selecionados.

O arquivo CSV é criado usando os padrões ISO e é armazenado na pasta Downloads local. Se você usar o Excel para ver o arquivo, os dados poderão ser convertidos para a localidade da máquina, a fim de que possam ser visualizados em um formato mais legível.

Qualquer classificação ou filtragem aplicada às configurações será conservada na saída exportada. Todas as colunas serão incluídas, independentemente do que foi selecionado no seletor de coluna.

Marque a caixa de seleção da primeira coluna nas configurações que deseja exportar. Como alternativa, marque a caixa de seleção na célula do cabeçalho para selecionar todas as configurações.

Clique em Exportar para criar o arquivo CSV.

Os botões a seguir ficam disponíveis ao usar qualquer uma das três guias de configuração de patch.

• Salvar e ativar: salva a configuração de patch e a ativa para os dispositivos que estão atribuídos aos grupos de políticas associados. Cada dispositivo receberá a nova configuração na próxima vez em que o agente dele fizer check-in no Ivanti Neurons.
• Salvar: salva a configuração de patch sem fechar a página, permitindo que você continue trabalhando.
• Desfazer alterações: desfaz todas as alterações, retornando a configuração de patch ao estado salvo anterior.
• Fechar: fecha a página sem salvar as últimas alterações na configuração de patch.