WINDOWS补丁管理实施细则.doc

WINDOWS补丁管理实施细则1 目的规范补丁管理流程，减少安全漏洞，使计算机免予遭受利用漏洞的各种恶意攻击，尽最大限度的保证计算机安全、稳定的运行。2 范围适用于XXXXXXX公司及其分公司等分支机构。以下简称公司。本文档补丁是指微软WINDOWS操作系统补丁。3 定义3.1术语定义3.1.1漏洞定义 1. 缓冲区溢出：程序中未经检查的缓冲区，可以用新数据覆盖程序代码。如果新的可执行代码覆盖了程序代码，结果就会如攻击者指示的那样更改程序的操作。2. 权限提高：某些环境下允许用户或攻击者获得更高的权限。3. 验证缺陷：允许错误数据产生不可预料的结果。3.1.2 补丁定义 1. 安全修补程序(Security patch)： 为特定产品广泛发布的修补程序，针对的是某一个安全漏洞。安全修补程序通常描述为有一定的严重度，实际上就是此安全修补 程序针对的漏洞的 MSRC 严重程度等级。2. 重要更新(Critical update)：为特定问题广泛发布的修补程序，针对的是重的、与安全无关的缺陷。3. 更新(Update)： 为特定问题广泛发布的修补程序，针对的是不重要的、与安全无 关的缺陷。4. 修补程序(Hotfix )：由一个或多个文件组成的单个程序包，用来解决产品中的问题。 修补程序针对的是特定的客户环境，仅通过与 Microsoft 的支持 关系才可用。如果没有 Microsoft 的书面合法许可，就不能在客 户组织外部分发。在过去，术语 QFE（快速修补工程更新）、补 丁和更新都用作修补程序的同义词。 5. 更新汇总(Update Rollup)：安全修补程序、重要更新、更新和修补程序的集合，可以作为累积更新进行发布，或定位于单个产品组件，如 Microsoft Internet Information Services (IIS) 或 Microsoft Internet Explorer。 这是为了更容易地部署多个软件更新。 6. Service Pack ：从产品发布至今，累积的一系列修补程序、安全修补程序、重要更新和更新，包括许多已经解决，但还没有通过任何其他软件更新使之可用的问题。Service Pack 也可能包含少量客户需求的设计更改或功能。Microsoft 在分发和测试 Service Pack 时比任何其他软件更新更广泛。7. 集成的 Service Pack (integrated service pack )：与 Service Pack 组合在一个程序包中。8. 功能包 (Feature pack)：产品发布的新功能，可以用来添加功能。通常在下一次发布时集 成到产品中。3.2人员和职责定义1. 补丁管理员：补丁收集，补丁检查，服务器操作系统级别补丁测试。2. 信息安全工程师：整个补丁流程的OWNER，跟踪和监视整个补丁管理流程的执行情况。3. 信息安全主管：审核和检查补丁测试报告，负责审批流程的审核工作。4. IT总监：审核和检查补丁测试报告，负责审批流程的审核工作。5. IT基础架构部：负责测试环境的搭建，WINDOWS平台补丁安装，负责平台级以及数据库/中间件/WEBSERVER级的测试。6. 操作系统管理员：WINDOWS平台补丁安装，负责平台级以及数据库/中间件/WEBSERVER级的测试。7. 应用系统管理员：负责WINDOWS平台补丁安装后的应用系统测试工作。4 流程4.1 补丁收集1. 补丁管理员获取的补丁信息必须遵循是最新且合法的；2. 可以通过微软的补丁发布通告（每月第二个星期星期二）；3. 趋势科技每周/每月/每季威胁预警；4. 国家互联网应急中心安全通告。5. 补丁管理员在提出补丁更新通知时，必须要进行补丁分析，进而确定补丁的严重等级。4.2补丁测试6. 补丁测试环境要最大限度地模拟目标平台。此环境由操作系统管理员和应用系统管理员准备。但要确保测试环境与正式生产环境的一致性、可用性。7. 了解安全补丁中的文件、功能函数和操作。为确保所有的用户组（比如服务器管理员组）都充分地理解安装补丁所造成的影响，负责补丁管理的人员应了解以下问题： 需要了解信息详细信息补丁解决的问题受影响的系统受影响的文件是否需要重启系统是否需要重启应用是否能进行卸载安装失败的回退方案以上问题及其解答，与所计划发布的补丁的细节应记录在案。这将为组织留下了安装补丁的原因、时间、地点的审记记录。8. 进行相关的安全性测试后要出具详细的测试记录和测试报告。4.3补丁发布9. 发布过程中由操作系统管理员先进行补丁安装，并进行数据库、中间件、WEBSERVER的测试，安装完成后，由应用系统管理员进行应用系统的测试。10. 系统管理员要根据补丁级别记录制定补丁分发计划，分批安装，遵循原则是优先级高的补丁、资产价值大的系统优先安装， 确定顺序后，组织相关人员进行补丁安装。11. 补丁发布过程中疑难问题的解决一定要有详细的记录，做到及时与领导通报和反馈。4.4 补丁检查12. 补丁安装完成以后要通过补丁管理工具进行检查，形成补丁清单列表，总结出公司内部系统目前的补丁安装情况。4.5补丁更新管理规范1. 补丁管理员对补丁测试报告等文档中描述内容必须真实准确。2. 操作系统管理员和应用系统管理员对补丁测试报告等文档中描述内容必须真实准确。3. 补丁管理员、操作系统管理员、应用系统管理员对于补丁更新所有工作要整理维护形成工作性的文档，以便存档。4. 补丁管理员要做到良好的补丁信息收集，每周至少一次关注微软安全响应中心和趋势安全威胁预警。5. 桌面端补丁测试环境的搭建由补丁管理员根据最新的标准SOE环境完成。服务器端补丁测试环境中系统环境搭建由补丁管理员完成，带有应用的系统测试环境由IT基础架构提供，操作系统管理员和应用系统管理员共同完成测试。6. 补丁测试要按照补丁测试流程图进行安全性、兼容性、稳定性测试。补丁测试报告要详尽真实。7. 补丁测试完成后，补丁管理员要对信息安全工程师提出补丁安装申请，信息安全工程师向信息安全主管汇报，信息安全主管向IT总监汇报，然后补丁安装命令下达到IT基础架构部，IT基础架构对补丁进行判断，如果为危急补丁，则直接安装；如果为常规补丁刚进入常规补丁安装流程。8. 补丁管理工具包括但是不限于WSUS、kBox、GPO、其他工具等。操作系统管理员对补丁管理工具一定要运用熟练，确保补丁安装顺利高效进行。9. 补丁发布时参照“补丁评级表”根据优先级进行安装，并根据“安装率参考值”制定出合理的补丁发布计划。补丁管理员记录补丁发布阶段发布情况。10. 操作系统管理员和应用系统管理员对于服务器平台的补丁发布一定要制定完善的应急计划，包括系统备份、应用切换、补丁发布时间控制、补丁卸载和回退。没有应急计划，不可以直接进行补丁安装。11. 对于大规模的补丁发布，系统管理员和补丁管理员应提前告知操作系统厂商和应用系统厂商，以备应急情况下的厂商支持。12. 补丁发布完成后，由系统管理员利用补丁管理工具进行补丁检查，观察系统的运行状况，同时统计补丁安装清单。13. 系统管理员根据补丁安装清单，对比“补丁评级表”中的“安装率参考值”。针对未完成安装的机器提出应对措施。包括手动上门安装，机器环境检查等。5 附录5.1 流程图5.2 补丁评级表 (公式 “安装率参考值”=已安装补丁的在线客户端数量/在线客户端总数*100%)优先级表示优先级的颜色标准推荐操作最迟操作响应时间安装率参考值响应时间安装率参考值1 危急 (Emergency)易受攻击,攻击已出现,其他组织正在受到该问题的影响 6-12小时之内 95%12-18小间之内 100%2 关键(Critical)易受攻击,但未发现漏洞利用 48小时之内 95%1周之内 100%3 紧急(Urgent)已出现攻击技术,但难以实施 1周之内 95%2周之内 100%4 严重 (Important)已出现攻击技术,但难以实施,且危害性很有限或很小 15天之内 90%1个月之内 100%5 通知 (Informational)没有攻击技术 1个月之内 80%2个月之内升级或不处理100%5.3 修改历史记录表日期人员版本内容概要2010年11月20号 A创建初始版本5.4 相关文件与记录补丁测试报告个人工作业务总结本人于2009年7月进入新疆中正鑫磊地矿技术服务有限公司(前身为“西安中正矿业信息咨询有限公司”)，主要从事测量技术工作，至今已有三年。在这宝贵的三年时间里，我边工作、边学习测绘相专业书籍，遇到不懂得问题积极的请教工程师们，在他们耐心的教授和指导下，我的专业知识水平得到了很到的提高，并在实地测量工作中加以运用、总结，不断的提高自己的专业技术水平。同时积极的参与技术培训学习，加速自身知识的不断更新和自身素质的提高。努力使自己成为一名合格的测绘技术人员。在这三年中，在公司各领导及同事的帮助带领下，按照岗位职责要求和行为规范，努力做好本职工作，认真完成了领导所交给的各项工作，在思想觉悟及工作能力方面有了很大的提高。 在思想上积极向上，能够认真贯彻党的基本方针政策，积极学习政治理论，坚持四项基本原则，遵纪守法，爱岗敬业，具有强烈的责任感和事业心。积极主动学习专业知识，工作态度端正，认真负责，具有良好的思想政治素质、思想品质和职业道德。 在工作态度方面，勤奋敬业，热爱本职工作，能够正确认真的对待每一项工作，能够主动寻找自己的不足并及时学习补充，始终保持严谨认真的工作态度和一丝不苟的工作作风。 在公司领导的关怀以及同事们的支持和帮助下，我迅速的完成了职业角色的转变。一、回顾这四年来的职业生涯，我主要做了以下工作：1、参与了新疆库车县新疆库车县胡同布拉克石灰岩矿的野外测绘和放线工作、点之记的编写工作、1:2000地形地质图修测、1:1000勘探剖面测量、测绘内业资料的编写工作，提交成果新疆库车县胡同布拉克石灰岩矿普查报告已通过评审。2、参与了库车县城北水厂建设项目用地压覆矿产资源评估项目的室内地质资料编写工作，提交成果为库车县城北水厂建设项目用地压覆矿产资源评估报告，现已通过评审。3、参与了新疆库车县巴西克其克盐矿普查项目的野外地质勘查工作，参与项目包括：1:2000地质测图、1:1000勘查线剖面测量、测绘内业资料的编写工作；最终提交的新疆库车县康村盐矿普查报告已通过评审。4、参与了新疆哈密市南坡子泉金矿2009年度矿山储量监测工作，项目包括：野外地质测量与室内地质资料的编写，提交成果为新疆哈密市南坡子泉金矿2009年度矿山储量年报，现已通过评审。6、参与了新疆博乐市五台石灰岩矿9号矿区勘探项目的野外地质勘查工作，项目包括：1:2000地质测图、1:1000勘探剖面测量、测绘内业资料的编写工作，并绘制相应图件。7、参与了新疆博乐市托特克斜花岗岩矿详查报告项目的野外地质勘查工作，项目包括：1:2000地质测图、1:1000勘探剖面测量、测绘内业资料的编写工作，并绘制相应图件。通过以上的这些工作，我学习并具备了以下工作能力： 1、通过实习，对测绘这门学科的研究内容及实际意义有了系统的认识。加深对测量学基本理论的理解，能够用有关理论指导作业实践，做到理论与实践相统一，提高分析问题、解决问题的能力，从而对测量学的基本内容得到一次实际应用，使所学知识进一步巩固、深化。2、熟悉了三、四等控制测量的作业程序及施测方法，并掌握了全站仪、静态GPS、RTK等测量仪器的工作原理和操作方法。3、掌握了GPS控制测量内业解算软件（南方测绘 Gps数据处理）以及内业成图软件（南方cass）的操作应用。能够将外业测量的数据导入软件进行地形图成图和处理。4、在项目技术负责的指导下熟悉了测量技术总结的编写要求和方法，并参与了部分项目测量技术总结章节的编写工作。5、在项目负责的领导下参与整个测量项目的组织运作，对项目的实施过程有了深刻理解。通过在项目组的实习锻炼了自己的组织协调能力，为以后的工作打下了坚实基础。二、工作中尚存在的问题 从事测绘工作以来，深深感受到工作的繁忙、责任的重大，也因此没能全方位地进行系统地学习实践，主要表现为没有足够的经验，对于地形复杂的地段理解不够深刻；理论知识掌握不够系统，实践能力尚为有限。以上问题，在今后工作中自己将努力做到更好。三、今后的工作打算 通过总结四年来的工作，我无论从工作技术上，还是从世界观、人生观、价值观等各个方面，都有了很大的提高。今后，我会在此基础上，刻苦钻研，再接再厉，使自己在业务知识水平更上一层楼，为测绘事业的发展，贡献自己的力量。