Warum Sicherheitsupdates für Macs so lange dauern und wie man das Problem lösen kann

Einführung

Sicherheitsupdates gehören zu den wichtigsten Aufgaben von IT-Teams.

Der Zeitraum zwischen der Entdeckung von Schwachstellen und der Veröffentlichung von Patches setzt Unternehmen Risiken aus. Dieses Risiko ist jedoch nicht gebannt, sobald die Patches zur Verfügung stehen – es unterstreicht vielmehr die Dringlichkeit (aufgrund des Schweregrads).

Ab dem Zeitpunkt der Veröffentlichung wird erwartet, dass die Bereitstellung von System-, App- und Sicherheitsupdates für jeden Endpunkt in Ihrer Infrastruktur zügig erfolgt, um Risiken zu minimieren und die Konformität zu gewährleisten.

Dennoch wissen viele IT-Teams in mittelständischen Unternehmen, dass die Realität anders aussieht.

Die einheitliche Bereitstellung von Updates kann – und tut dies oft auch – länger dauern als erwartet. Zwar werden einige Endgeräte schnell aktualisiert, andere hinken jedoch hinterher, und ein Teil von ihnen verpasst den Patch-Zyklus gänzlich.

In diesem Fall entsteht eine Diskrepanz zwischen der Geschwindigkeit, mit der Updates erfolgen sollten, und der Geschwindigkeit, mit der sie tatsächlich im Rahmen der laufenden Maßnahmen zur Konformität durchgeführt werden. Diese Lücke hat in der Regel wenig mit der Motivation oder der Disziplin des IT-Teams zu tun, sondern verdeutlicht vielmehr das Problem, dass traditionelle Managementmodelle nicht auf Schnelligkeit ausgelegt waren – und auch nicht über das Maß an Flexibilität und Skalierbarkeit verfügten, das moderne Umgebungen brauchen.

Selbst wenn IT-Teams der Installation von Patches, der Kommunikation und der optimalen Nutzung älterer Tools Priorität einräumen, werden die Grenzen älterer Modelle mit dem Wachstum und der Weiterentwicklung von Unternehmen immer deutlicher und lassen sich immer schwerer umgehen.

Warum Updates immer noch so langsam sind

Um zu verstehen, warum Sicherheitsupdates und Patches für Macs nach wie vor uneinheitlich sind, ist es hilfreich, sich anzuschauen, wie ältere MDM-Workflows funktionieren. Sie basieren auf einem befehlsbasierten Modell, bei dem der Server (in der Cloud oder vor Ort) Aktionen auslöst, auf die die verwalteten Geräte reagieren.

In der Praxis besteht der gesamte Prozess aus mehreren Schritten, von denen jeder einzelne zu Verzögerungen führen kann, die sich auf die Wirksamkeit der Fehlerbehebung auswirken. Im Folgenden wird detailliert beschrieben, wie ein typischer MDM-Workflow für das Patch-Management in älteren Systemen abläuft:

1. Server-Push: Der erste Befehl, der vom MDM gesendet wird. Wenn ein Befehl fehlschlägt, verzögert wird oder das Gerät nicht erreicht, wird der Aktualisierungsvorgang bis zum nächsten Versuch unterbrochen.
2. Geräte-Check-in: Dies erfolgt in festgelegten Intervallen und nicht durch kontinuierliche Übermittlung des Status. Wenn ein Gerät offline ist oder ein Check-in-Fenster verpasst, erhält es das Update nicht rechtzeitig.
3. Aufforderung zur Installation des Updates: Der Benutzer wird über eine Benachrichtigung aufgefordert, das Update zu genehmigen oder abzulehnen.
   1. Genehmigung: Das Update wird heruntergeladen und die Installation erfolgt sofort. Während der Installation kann der Benutzer nicht mir dem Gerät arbeiten; der anschließende Neustart schließt den Vorgang ab.
   2. Ablehnung: Dies führt nicht nur dazu, dass Benachrichtigungen abgebrochen werden, sondern stoppt den kompletten Workflow. Häufig wird dies zeitlich verschoben, um die Arbeit der Benutzer nicht zu unterbrechen, doch leider verhindert dies die Installation und verlängert dadurch den Umsetzungszeitraum.

Einige weitere wichtige Aspekte, die bei der Planung von Update-Bereitstellungen unter Verwendung älterer MDM-Workflows zu beachten sind, sind:

• Anforderungen an die Konnektivität: Viele firmeneigene Geräte müssen mit dem Unternehmensnetzwerk oder einem VPN verbunden sein, um Anweisungen zu erhalten. In verteilten Umgebungen führt dies zu einer erhöhten Unvorhersehbarkeit.
• Transparenz in Echtzeit: Ohne einen klaren Überblick über den Zustand der Endgeräte wissen IT-Teams möglicherweise nicht, ob Updates anstehen, gerade heruntergeladen werden oder fehlgeschlagen sind, was zu längeren Reaktionszeiten führt.
• Skalierbarkeit und Flexibilität: Befehle werden auf dem Server in eine Warteschlange gestellt und müssen anschließend auf den verwalteten Geräten selbst verarbeitet werden. Verzögerungen bei der Bearbeitung von Befehlen sind keine Seltenheit; oft summieren sie sich und führen zu weniger vorhersehbaren Verwaltungsprozessen.

Der wahre Preis verzögerter Updates

Verzögerte Updates haben schleichende, aber wachsende Folgen.

Das löst eine Kettenreaktion aus – wie ein Dominoeffekt, bei dem ein einziger Impuls alles nach sich zieht. Zum Beispiel:

• Befehle zur Patch-Verwaltung stehen in der Warteschlange und warten auf die Verarbeitung.
• Von Sitzung zu Sitzung wird die Warteschlange länger und beansprucht immer mehr Ressourcen.
• Bearbeitungsstaus summieren sich und verlängern Verzögerungen weiter.
• Die Geräte bleiben länger als vorgesehen ohne Patches.
• Erhöhtes Risiko einer Sicherheitsbedrohung durch Geräte, auf denen keine Sicherheitspatches installiert sind.
• Die Gefahr, dass bekannte Schwachstellen ausgenutzt werden, nimmt zu.
• Die Baselines beginnen zu driften, sobald Geräte die Konformitätsanforderungen nicht mehr erfüllen.
• Die Sicherheitslücken nehmen zu, wodurch das Unternehmen dem Risiko von Verstößen gegen gesetzliche Vorschriften ausgesetzt ist.
• Die IT-Abteilung verbringt noch mehr Zeit damit, Probleme zu lösen und sich um die Benutzer zu kümmern.

Dadurch verlagert sich der IT-Betrieb von einer proaktiven Arbeitsweise hin zu einem reaktiven Ansatz. Anstatt sich auf Verbesserungen zu konzentrieren, hetzen die Teams von einer Aufgabe zur nächsten und sind mit einer endlosen Reihe sich wiederholender Aufgaben beschäftigt, da langsamere Patches die Angriffsfenster vergrößern.

Je länger eine bekannte Schwachstelle ungepatcht bleibt, desto größer wird das Zeitfenster, in dem ein Angriff möglich ist. Da IT-Teams in mittelständischen Unternehmen für die Verwaltung von mehr als 500 Endgeräten verantwortlich sind, geht es hier nicht um Einzelfälle, sondern um das wachsende Betriebsrisiko für das gesamte Unternehmen.

Was ändert sich durch die deklarative Geräteverwaltung (DDM)?

Die deklarative Geräteverwaltung führt ein neues, modernes Modell für das Endpunktmanagement ein. Eine Lösung, die darauf ausgelegt ist, die Patch-Verwaltung zu skalieren, und dabei die Flexibilität und Effizienz berücksichtigt, die moderne Geräteflotten erfordern.

Ein Ansatz, bei dem auf ständige Serverbefehle verzichtet wird, um stattdessen sicherzustellen, dass die Geräte den gewünschten Zustand verstehen, in dem sie sich befinden müssen. Auf einer übergeordneten Ebene sieht das beispielsweise so aus:

1. Definierte Bedingungen: Die IT-Abteilung legt im Rahmen des MDM den Sollzustand für Geräte fest, darunter unter anderem Konfigurationen und Betriebssystemversionen.
2. Sollzustand: Das DDM gibt den gewünschten, konformen Zustand an, den Geräte bei verwalteten Endpunkten aufrechterhalten sollen.
3. Statusbericht: Die Geräte melden Zustandsänderungen in Echtzeit und bieten so einen kontinuierlichen Überblick über den Fortschritt des Updates.
4. Durchsetzung von Richtlinien: Wenn ein Gerät aus der Konformität fällt, werden automatisch Maßnahmen ergriffen, um die Konformität wiederherzustellen – unabhängig vom MDM-Server.

Weitere Anmerkungen zur Sicherheitswirksamkeit und operativen Effizienz von DDM:

• Die Geräte leiten die Benutzer mithilfe von Benachrichtigungen an und führen bei Bedarf Updates durch.
• Patches werden häufig automatisch außerhalb der Geschäftszeiten installiert – das entlastet die Benutzer erheblich.
• Durch die Verlagerung der Verantwortung direkt auf das Gerät entfallen viele klassische Workflow-Verzögerungen.

Was das für IT-Teams bedeutet

Neben den Vorteilen einer Umstellung auf eine modernisierte Patch-Strategie, die in diesem Blog bereits mehrfach erwähnt wurden, sorgt DDM dafür, dass Updates schneller bereitgestellt werden, da die Geräte sofort reagieren, sobald die Voraussetzungen erfüllt sind.

Das steigert die Effizienz durch schnellere Patches, sichert die Konsistenz der gesamten Flotte und erhöht die Sicherheit durch kleinere Abdeckungslücken.

Dies führt zu einem geringeren manuellen Aufwand, einschließlich sich wiederholender Aufgaben, um sicherzustellen, dass die verwalteten Geräte die Konformitätsanforderungen erfüllen. Dank besserer Transparenz – einem DDM-Eckpfeiler – und Statusberichten in Echtzeit verschwenden IT-Teams weniger Zeit mit der Gerätesuche oder Fehlersuche bei versäumten Updates.

Letztendlich versetzt ein DDM Ihr Unternehmen in die Lage, Schwachstellenfenster zu verkürzen – und damit sowohl die Gerätesicherheit als auch die Durchsetzung der allgemeinen Sicherheitsrichtlinien Ihres Unternehmens zu stärken. Schließlich verbringen IT-Teams weniger Zeit damit, Brände zu löschen (reaktiv) und können sich stattdessen auf strategische Aufgaben (proaktiv) konzentrieren, um bessere Lösungen zu entwickeln und durch eine stärkere Ausrichtung auf die Unternehmensziele einen Mehrwert zu schaffen.