Microsoft и NIST вместе создадут руководство по патчам

[душман]

Компания Microsoft и Национальный институт стандартов и технологий США (The National Institute of Standards and Technology, NIST) объединили свои усилия для создания руководства по применению исправлений безопасности в корпоративном секторе. Системные администраторы смогут использовать практическое руководство Special Publication 1800 от NIST для организации или оптимизации внутренних процедур исправлений в компании.

В настоящее время обе организации приглашают другие заинтересованные стороны внести вклад в руководство, в том числе поставщиков, компаний или частных лиц.

Работа над руководством началась в 2018 году в рамках проекта под названием «Critical Cybersecurity Hygiene: Patching the Enterprise Project», и Microsoft сыграла решающую роль в его запуске. По словам представителей компании, они начали изучать, как другие компании обновляли компьютерные системы после трех атак с применением вымогательского ПО в 2017 году, а именно WannaCry, NotPetya и Bad Rabbit.

Многие из пострадавших организаций не смогли применить патчи, даже когда были доступны обновления. Данная ситуация побудила Microsoft выяснить, почему так произошло.

Как выяснилось, в организациях применялись разные подходы к применению патчей, из-за чего возникали задержки в установке обновлений безопасности. В компаниях не было процедуры тестирования исправлений, и многие из них откладывались из-за страха перед ошибками и сбоями, которые могли вызвать простои в производственных системах.

В некоторых организациях процесс тестирования патча «состоял исключительно в том, чтобы спросить, есть ли у кого-либо еще проблемы с обновлением на online-форуме».

В рамках совместного проекта Microsoft и NIST планируют рассмотреть «как можно использовать коммерческие инструменты и инструменты с открытым исходным кодом, чтобы помочь с наиболее сложными аспектами исправления общих IT-систем, включая характеристику системы и расстановку приоритетов, тестирование и применение патчей, а также их отслеживание и верификацию».