补丁管理规范.doc

补丁管理规范 目的 规范补丁管理流程，减少安全漏洞，使计算机免予遭受利用漏洞的各种恶意攻击，尽最大限度的保证计算机安全、稳定的运行。 范围 适用于深圳迈瑞生物医疗技术公司及其分公司等分支机构。以下简称公司。 本文档补丁是指微软WINDOWS操作系统补丁。 定义 术语定义 漏洞定义： 缓冲区溢出：程序中未经检查的缓冲区，可以用新数据覆盖程序代码。如果新的可执行代码覆盖了程序代码，结果就会如攻击者指示的那样更改程序的操作。 权限提高：某些环境下允许用户或攻击者获得更高的权限。 验证缺陷：允许错误数据产生不可预料的结果。 补丁定义： 安全修补程序(Security patch)： 为特定产品广泛发布的修补程序，针对的是某一个安全漏洞。安全修补程序通常描述为有一定的严重度，实际上就是此安全修补 程序针对的漏洞的 MSRC 严重程度等级。 重要更新(Critical update)：为特定问题广泛发布的修补程序，针对的是重的、与安全无关的缺陷。 更新(Update)： 为特定问题广泛发布的修补程序，针对的是不重要的、与安全无 关的缺陷。 修补程序(Hotfix )：由一个或多个文件组成的单个程序包，用来解决产品中的问题。 修补程序针对的是特定的客户环境，仅通过与 Microsoft 的支持 关系才可用。如果没有 Microsoft 的书面合法许可，就不能在客 户组织外部分发。在过去，术语 QFE（快速修补工程更新）、补 丁和更新都用作修补程序的同义词。 更新汇总(Update Rollup)：安全修补程序、重要更新、更新和修补程序的集合，可以作为累积更新进行发布，或定位于单个产品组件，如 Microsoft Internet Information Services (IIS) 或 Microsoft Internet Explorer。 这是为了更容易地部署多个软件更新。 Service Pack ：从产品发布至今，累积的一系列修补程序、安全修补程序、重要更新和更新，包括许多已经解决，但还没有通过任何其他软件更新使之可用的问题。Service Pack 也可能包含少量客户需求的设计更改或功能。Microsoft 在分发和测试 Service Pack 时比任何其他软件更新更广泛。 集成的 Service Pack (integrated service pack )：与 Service Pack 组合在一个程序包中。 功能包 (Feature pack)：产品发布的新功能，可以用来添加功能。通常在下一次发布时集 成到产品中。 人员和职责定义 补丁管理员：补丁收集，补丁检查，服务器操作系统级别补丁测试。 信息安全工程师：整个补丁流程的OWNER，跟踪和监视整个补丁管理流程的执行情况。 信息安全主管：审核和检查补丁测试报告，负责审批流程的审核工作。 IT总监：审核和检查补丁测试报告，负责审批流程的审核工作。 IT基础架构部：负责测试环境的搭建，WINDOWS平台补丁安装，负责平台级以及数据库/中间件/WEBSERVER级的测试。 操作系统管理员：WINDOWS平台补丁安装，负责平台级以及数据库/中间件/WEBSERVER级的测试。 应用系统管理员：负责WINDOWS平台补丁安装后的应用系统测试工作。 内容 原则 补丁收集 补丁管理员获取的补丁信息必须遵循是必威体育精装版且合法的。可以通过微软的补丁发布通告（每月第二个星期星期二）、趋势科技每周/每月/每季威胁预警、国家互联网应急中心安全通告。补丁管理员在提出补丁更新通知时，必须要进行补丁分析，进而确定补丁的严重等级。根据”补丁评级表”进行补丁级别记录。补丁测试 补丁测试环境要最大限度地模拟目标平台。进行相关的安全性测试后要出具详细的测试记录和测试报告。 补丁发布 系统管理员要根据补丁级别记录制定补丁分发计划，分批安装，遵循原则是优先级高的补丁、资产价值大的系统优先安装， 确定顺序后，组织相关人员进行补丁安装。 补丁发布过程中疑难问题的解决一定要有详细的记录，做到及时与领导通报和反馈。 补丁检查 补丁安装完成以后要通过补丁管理工具进行检查，形成补丁清单列表，总结出公司内部系统目前的补丁安装情况。 补丁更新管理规范 补丁管理员对补丁测试报告等文档中描述内容必须真实准确。 操作系统管理员和应用系统管理员对补丁测试报告等文档中描述内容必须真实准确。 补丁管理员、操作系统管理员、应用系统管理员对于补丁更新所有工作要整理维护形成工作性的文档，以便存档。 补丁管理员要做到良好的补丁信息收集，每周至少一次关注微软安全响应中心和趋势安全威胁预警。 桌面端补丁测试环境的搭建由补丁管理员根据必威体育精装版的标准SOE环境完成。服务器端补丁测试环境中系统环境搭建由补丁管理员完成，带有应用的系统测试环境由IT基础架构提供，操作系统