Patch Management Security

Abstract

NORSK: Denne Master rapporten fokuserer på sikkerhetsaspektet ved installering av patcher, og vi foreslår en metodikk for å kunne sikre at denne prosessen blir utført uten tap av noen av de implementerte sikkerhetsmekanismene. Vi kan nesten hver dag observere på internet-siter at en av de største softwareleverandørene får mye kritikk for den store mengden av patcher de utgir, og for den høye frekvensen av oppdagelse av sikkerhetsrelaterte sårbarheter i produktene deres. Generelt sett er det klart at økning av sårbarheter kan kunne føre til høyere eksponering av systemene, og høyere eksponering fører til høyere sannsynlighet for at de blir angrepet. Dett er en av de mange grunnene til å implementere en Patch Mangagement strategi som er tilpasset organisasjonen. Men prosedyrene i flere av de offentlige standardene omkring Patch Management strategi fokuserer ikke nok på sikkerhet generelt. Hvis denne jobben blir utført uten å opprettholde sikkerheten, kan det føre til sårbare konfigurasjoner og svekke sikkerheten til systemene. Faktum er at antallet patcher øker hvert år, og hvis installeringen av disse medfører situasjoner som svekker sikkerheten kan dette føre til enda et område for utnyttelse av angripere og ondsinnede brukere. Spørsmålet var hvordan vi kunne tilpasse en metode som fokuserer på sikkerhet i Patch Management prosedyrene, og hvordan dette kunne ivareta sikkerheten under vurderingen om å installere patchene. Avgjørelsen var å tilføre et steg i Patch Management prosedyren. Dette steget fokuserer på å kartlegge sikkerhetsmekanismene basert på data innhentet fra tidligere steg i Patch Management prosessen. Metoden som ble valgt var å utføre en undersøkelse for konnektivitet1 for alle sikkerhetsrelaterte mekanismer for systemene, og samle denne informasjonen for å utføre en kartlegging av disse mekanismenes konnektivitet som en topologisk graf. Dette steget er støttet av våre metrikker for fastsetting av host-, og nettverksbaserte sikkerhetsmekanismer. For å samle informasjon omkring undersøkelsen, er behovet for korrekte og pålitelige data fra de tidligere stegene essensielt, og til denne delen har vi også utviklet metrikker som omhandler registrering av utstyr og utførelse av sårbarhets scanning. Til slutt foreslår vi en forbedret Patch Management strategi som implementerer vår konneketivitets-metodikk.

ENGELSK: This Master thesis focuses on the security aspect when deploying patches and we propose a methodology to ensure that the patching process is performed without any loss of the implemented security features. We can observe nearly every week on Internet sites that one of the largest software vendors is taking a lot of critique for their amount of patch releases, and for the high frequency of discovered security vulnerabilities in their products. In general terms, it is clear that the increasing amount of vulnerabilities would cause a higher exposure of the systems, and higher exposure is causing a higher possibility for an attack. This is one of the many reasons to implement a Patch Management strategy that is adjusted to the organization. But the procedures in several public standards and Patch Management strategies are not focusing on the overall security in an acceptable manner. If the patching is carried out without maintaining the security, it may lead to vulnerable configurations and weaken the security of the systems. The fact is that the number of patches is increasing every year, and if the deployment of these patches causes situations where the security is weakened, this can easily lead to another area of exposure to attackers and malicious users. The original question was how we could adapt a method to focus on the security in the Patch Management procedures, and how this could ensure security when deciding to deploy the needed patches. The decision was to add a step in the Patch Management procedures. This step should focus on mapping the security features based on data gathered from prior steps in this Patch Management process. The choice of method was to perform a connectivity study of all security related features for the systems, host based or network based, and gather this information to conduct a mapping of the security features formed as topology graphs. This step is supported by our metrics for determination of host-, and network-based security features. To gather the information for this connectivity study, the need for reliable data from prior steps is essential, and to support this aspect, metrics were developed to deal with the assets listing and vulnerability scanning procedures as well. Finally, we propose an improved Patch Management strategy, which implements our connectivity methodology.