基於ITIL的補丁管理

文章同時發表在：[url]http://media.ccidnet.com/art/2615/20080403/1410249_1.html[/url]

ITIL並不能直接指導企業IT架構的日常維護和補丁升級操作，但ITIL涵蓋了範圍更爲寬廣的變更、分發和配置管理，從而使利用ITIL的思想和原則對企業的補丁管理流程進行規範成爲可能。

企業在對IT架構實施補丁升級的過程中，會遇到相當多的問題。冗餘低效的補丁分發方案、補丁記錄缺失、高風險的補丁實施和沒有制定有效的補丁撤銷策略等是其中影響最大的問題。這些問題的存在，不但明顯降低了企業IT部門的工作效率，還消耗了大量企業用於IT設施的預算，最爲嚴重的是，還影響企業順利開展業務，對高價值數據的安全造成了非常大的威脅。

企業要提高IT架構的效率、安全性和對業務的貢獻率，就必須首先解決在實施補丁升級過程中的諸多問題。這些問題的解決都指向一點：制定並實施理想的補丁管理策略。這點是目前絕大多數的企業都十分缺乏的實踐。那麼企業應該如何做？

企業要制定理想的補丁管理策略，就需要先明確實施這個策略要實現什麼目的，以及目的的達成能夠給企業帶來什麼現實的好處。瞭解目標所在之後，企業下一步需要做的就是，制定一個符合自己業務和IT環境現狀的理想補丁管理策略。但對大部分缺乏標準化流程制定經驗的企業來說，這並非易事。幸好，我們有ITIL（IT基礎設施庫）可以參考，它包含着如何管理IT基礎設施的流程描述。它以流程爲導向，以客戶爲中心，通過整合IT服務與企業業務，提高企業的IT服務提供和服務支持的能力和水平。ITIL可引導組織高效和有效地使用技術，讓既有的信息化資源發揮更大的效能。基於ITIL思想的補丁管理策略包括4個重要階段：配置管理、風險評估、變更管理和補丁發佈管理。

重要階段１：配置管理

對企業現有IT環境的詳細瞭解是補丁升級成功的第一步。如果企業在實行補丁升級操作前不瞭解企業IT環境的實際情況，企業將無法瞭解漏洞的存在和危害、補丁程序的影響和風險，也就無法對接下去的補丁升級活動進行計劃。企業可以通過配置管理來收集IT環境的相關數據。

企業要根據IT架構的配置情況實施配置管理，可以使用數據庫或文檔記錄的方式。一般情況下，企業只須關注系統的標識、技術特徵和業務角色三個要素即可。

配置數據一般可直接從企業新設備的採購或更新時的登記表中獲取，但要注意的是，配置信息應該隨着系統的變更而及時更新，否則就毫無價值。對於內部網絡龐大、設備數量衆多的企業，建議採用數據庫的方式來維護配置管理信息，以增強配置管理信息的使用效率並降低維護難度。

重要階段２：風險評估

企業在進行補丁升級操作之前，還需要獲知當前最新的補丁程序信息，同時還要知道企業IT架構中有哪些系統是需要進行補丁升級操作的。因此，企業可以在風險評估這一階段對存在漏洞的系統進行調查，並獲取補丁程序的信息。風險評估的一般步驟如下：1.獲取漏洞信息和廠商發佈的補丁信息；2.評估漏洞和補丁對現有系統及應用程序的影響；3.查找並記錄現有系統和應用程序中存在的漏洞，並記錄所有的處置決定；4.將漏洞情況告知系統的所有人；5.提交變更請求。

企業可以很方便地從相關廠商或各大安全站點上獲取最新的漏洞和補丁信息。這些漏洞信息中通常包括受影響系統、漏洞描述和威脅等。企業的IT部門需要將這些信息記錄下來，並作爲補丁程序使用決定的依據之一。有漏洞信息公開時，對應的廠商尚未提供補丁程序，企業的IT部門也應該根據該漏洞的危害及影響，從其他方面對防禦這個漏洞進行準備，如隔離或關閉受影響系統等。

由於廠商往往會針對不同的軟件產品和版本發佈多個補丁程序，因此企業可以使用自動化的補丁分發工具，獲取並分類這些種類繁多的補丁程序。將自動化的補丁分發工具和階段1使用到的配置管理數據庫結合使用，能夠幫助企業IT部門做出更準確的判斷。

重要階段３：變更管理

在收到IT部門提出的變更請求後，企業指定的變更管理人就需要對變更請求進行審覈和批准。這個階段通常包括對變更請求的審覈，評估變更可能帶來的影響、成本和風險，批准已經評估的變更以及跟蹤變更的實施效果等步驟。變更管理階段還和下面要提到的補丁發佈管理階段有相當多的互動。

廠商一般是定期發佈補丁程序。如果遇到比較緊急的漏洞爆發情況，廠商通常還會發布緊急的補丁升級程序。因此，企業對補丁程序的變更管理操作，也可以分成兩個不同的流程。

其一是標準的變更管理流程，通常用於處理標準的定期補丁升級。變更管理人可以處理IT部門的變更請求，評估變更可能帶來的影響、成本和風險，批准已經評估的變更，並跟蹤變更的實施效果。

另外一個是緊急的變更管理流程，這個流程用於處置緊急的補丁升級。在緊急情況下，變更管理人只負責審覈和批准IT部門的變更請求，直接跳過了變更評估階段。

無論是在標準還是緊急的變更管理流程中，齊全的文檔記錄非常重要，這對企業實施緊急變更管理流程尤其重要。只有這樣，企業才能跟蹤補丁更新的實施效果，在補丁更新出現問題時也能夠及時按照文檔的記錄進行修正。

重要階段４：發佈管理

發佈管理階段的目的就是儘可能地減小新補丁程序對當前業務和現有IT架構的不利影響，並指導下屬部門進行補丁程序的更新操作。補丁發佈管理階段的實施者通常是企業的IT部門或安全部門，它們需要按照企業的當前業務和現有IT環境，架設測試用的環境，同時按照一般用戶的補丁更新行爲使用新補丁程序。在整個過程中，企業的IT部門要全程記錄補丁程序的測試過程和結果，還要爲實施補丁升級操作的用戶提供詳細的技術指導。如果在補丁測試的階段出現問題，IT部門還應該將問題發生的原因和過程記入文檔，並通報相關的管理部門。

企業IT部門測試完成補丁程序後，由管理層批准才能發佈補丁程序和相應的操作文檔。在此之後，IT部門還應該對補丁程序的使用情況進行跟蹤，並及時解決用戶在實施補丁升級時遇到的問題。

總之，制定並實施基於ITIL的理想補丁管理策略，可以保證企業能夠以標準化的流程評估、發佈和應用補丁程序，並及時解決在進行補丁升級時可能遇到的問題，同時，大大降低補丁程序可能對企業業務持續和高價值數據造成的影響，提高了企業IT架構對企業業務的貢獻率。