Kleiner Stolperstein, grosser Fall: Matthias Jankowitz von Oracle über Patches

Wieso ist ein gutes Patch-Management wichtig? Was kann denn schon schiefgehen, wenn mal ein Update vergessen geht?

Matthias Jankowitz: Patch-Management ist eine Art Risikomanagement. Ein zeitnahes Einspielen von Patches ist primär eine Versicherungspolice gegen bekannte Probleme. Besonders wichtig, wenn es um Security-Patches geht. Werden Patches nicht eingespielt, sind potenzielle Serviceunterbrechungen aufgrund von fehlerhaften oder gehackten Systemen sofort in monetäre Werte übersetzbar. Bei Oracle glauben wir, dass volle Automation der Schlüssel ist, das heisst, das Patches automatisch und ohne Systemunterbrechung eingespielt werden sollten, da manuelle Arbeiten zu häufig Fehlerquellen in sich tragen. Wir haben in der Vergangenheit in vielen Bereichen technische Lösungen entwickelt, um Patches einzuspielen; wir wollen das jetzt auf eine weitere, höhere Stufe bringen. Wir haben autonome Services entwickelt, die Machine Learning und künstliche Intelligenz einsetzen, um dieses Ziel zu erreichen.

Was gilt es beim Patch-Management besonders zu beachten?

Zwei Hauptkriterien müssen in Betrachtung gezogen werden: Erstens die Zeitachse: Patches, besonders Security-Patches, sollten sehr zeitnah nach Verfügbarkeit auf ein System eingespielt werden. Zweitens die Aufwandskosten: Jede Aktion, in diesem Fall die Evaluierung von Patch-Inhalten, die entsprechende Priorisierung und schliesslich das Einspielen von Patches, verursachen Kosten. Autonome Services dienen dazu, eben solche administrativen Aufgaben ohne unmittelbare menschliche Intervention durchzuführen. Dadurch werden zusätzliche Fehlerquellen und die damit verbundenen Risiken vermieden. Patches sind gewöhnlich mit einem bestimmten Takt, etwa jedes Quartal, verfügbar. Somit weitaus häufiger, als sie von Administratoren eingespielt werden. Patching für Security-Probleme, etwa Zero-Day-Exploit Fixes, spitzen diese Situation zu. Durch die Verwendung von Technologien wie Oracle Real Application Clusters können die autonome Datenbank und Infrastruktur häufiger gepatcht werden, ohne den Systembetrieb zu unterbrechen.

Was sind die Vorteile einer Patch-Management-Lösung?

Nach unserer Meinung die beste Lösung ist ein vollständiges autonomes Provisionierung, Patching und Upgrading. Werden solche Routineaufgaben, wie Bugfixing, Tuning, Monitoring und Back-ups, autonom ausgeführt, bleibt den Administratoren mehr Zeit für wertvollere Aufgaben, was sich schliesslich in grösserer Effizienz und reduzierten Kosten niederschlägt.

Wie kann man mit Patch- beziehungsweise Update-Management Geld verdienen?

Für ein Unternehmen, das Patches selbst verwaltet und einspielt, ist der betriebswirtschaftliche Vorteil offensichtlich: Durch ein autonomes Verwalten und Managen von Datenbanken und Infrastrukturen werden bis zu 80 Prozent der administrativen Kosten gesenkt. Die Effizienz einer autonomen, selbstoptimierenden Datenbank und Infrastruktur in Verbindung mit elastischen Bezahloptionen, beispielsweise Pay-per-Use, kann des Weiteren die Laufzeitkosten um 70 Prozent reduzieren.

Wie müssen Channelpartner dafür aufgestellt sein?

Unterscheiden wir hier einmal zwei Typen von Channelpartnern: Serviceprovider und Softwarehersteller. Der Serviceprovider kann sich auf Neuerungen und Innovationen konzentrieren und damit eine für sich attraktivere Wertschöpfung anstreben – etwa Migrationsdienste im Cloud-Umfeld. Dieses Refokussieren von Businessangeboten ist auch in den letzten Marktanalysen klar sichtbar. Der Softwarehersteller hingegen sollte sich zeitnah mit autonomen Infrastrukturen auseinandersetzen und bestenfalls seine eigene Releaseplanung auf wiederkehrende Patch- und Updatezyklen anpassen. Dies ermöglicht schnellere, einfachere Releasewechsel und das Einspielen neuer Funktionalität in seine Software. Die Kunden des Channelpartners profitieren von agileren Releases und neuen Funktionalitäten.

Die Links zu den Antworten der anderen Podiumsteilnehmer (in alphabetischer Reihenfolge):

• Marc Burkhard, ITsense: "Manuelles Patch-Management ist fehleranfällig und zeitaufwändig."

• Cornelia Lehle, G Data: "Es ist wichtig, auf ein Patch-Management zu setzen, dass sich nahtlos in die vorhandene Sicherheitslösung integrieren lässt."

• Ernesto Hartmann, Infoguard: "Falls Unternehmen wichtige Patches auf exponierten Systemen vergessen, sind sie ein leichtes Ziel für Angreifer."

• Jürg Meier, RedIT: "Schon eine einzige Sicherheitslücke reicht potenziellen Angreifern."

• Candid Wüest, Symantec: "Updates helfen dabei, die Angriffsfläche zu minimieren."