近年來，蠕蟲病毒和木馬病毒的頻繁爆發(fā)，給全球網(wǎng)絡(luò)運行乃至世界經(jīng)濟(jì)都造成了嚴(yán)重的影響，這些病毒普遍利用了操作系統(tǒng)或者應(yīng)用程序的漏洞。而消除漏洞的根本辦法，就是安裝相應(yīng)的補丁，補丁的安裝和管理也便成為了日常安全運維中最基本的工作任務(wù)。   

補丁也叫補丁程序，是修復(fù)系統(tǒng)漏洞的程序，像破衣服上面的“補丁”一樣，把系統(tǒng)這件完美的衣服“補好”。

• 普通用戶知識水平、技術(shù)水平有限，造成了計算機系統(tǒng)漏洞經(jīng)常不能得到及時的修補，甚至長期不修補；
• 網(wǎng)絡(luò)運維人員為每臺機器安裝補丁，工作量很大，耗時較長，容易導(dǎo)致安裝補丁之前系統(tǒng)已經(jīng)被攻破；
• 對于物理隔離網(wǎng)絡(luò)，用戶必須使用移動存儲設(shè)備，從外網(wǎng)將補丁程序?qū)氲絻?nèi)網(wǎng)，才能進(jìn)行安裝，麻煩且?guī)硇畔⑿孤逗筒《緜魅氲娘L(fēng)險；
• 每個終端補丁安裝均從外網(wǎng)下載補丁，一方面造成網(wǎng)絡(luò)資源消耗過大，另一方面下載的補丁未經(jīng)過安全和有效性驗證，存在潛在的安全風(fēng)險或?qū)е孪到y(tǒng)不可用的風(fēng)險；
• 用戶隨意下載補丁，導(dǎo)致補丁來源不統(tǒng)一，可能存在有害的來源，給網(wǎng)絡(luò)帶來一定的安全風(fēng)險。
  
  

補丁管理系統(tǒng)工作流程如下：

1. 從互聯(lián)網(wǎng)上自動下載補?。?/span>

2. 對補丁進(jìn)行完整性檢測；

3. 對補丁進(jìn)行安全性檢測；

4. 通過完整性和安全性檢測的補丁存放在特定位置，并將信息記錄到補丁庫；

5. 補丁分發(fā)代理根據(jù)策略庫（用戶制定的補丁分發(fā)策略）中的補丁分發(fā)策略，對終端進(jìn)行補丁分發(fā)，分發(fā)過程需注意流量控制；

6. 補丁分發(fā)到終端后，自動進(jìn)行補丁安裝；

7. 記錄補丁安裝情況，包括未安裝補丁、已安裝補丁信息等。

另外，補丁管理系統(tǒng)還具備自動卸載補丁、終端補丁自動檢測、補丁安裝情況統(tǒng)計匯總等功能呢。

• 每一次大規(guī)模蠕蟲病毒的爆發(fā)，都提醒人們要居安思危，及早發(fā)現(xiàn)漏洞，并打補丁，做好事前防范工作，提高系統(tǒng)的整體安全防護(hù)能力?？梢哉f，補丁安裝已經(jīng)成為安全運維中一個必不可少、十分重要的環(huán)節(jié)。

• 黑客技術(shù)的不斷變化和發(fā)展，層出不窮的高效攻擊入侵工具，導(dǎo)致留給管理員進(jìn)行安全防護(hù)的時間越來越少，在最短的時間內(nèi)安裝補丁，將極大地保護(hù)網(wǎng)絡(luò)和其所承載的機密，同時也可以使更多的用戶免受蠕蟲的入侵。

• 對于機器眾多的用戶，繁重的手工補丁安裝已經(jīng)遠(yuǎn)遠(yuǎn)不可能適應(yīng)于現(xiàn)今日趨龐大的大規(guī)模網(wǎng)絡(luò)管理，必須依靠新的技術(shù)手段，實現(xiàn)對操作系統(tǒng)的漏洞進(jìn)行自動的補丁修復(fù)。

• 補丁管理系統(tǒng)能夠幫助安全運維人員及時、持續(xù)、穩(wěn)定、高效的安裝計算機補丁，并且能夠保證補丁的來源合法，補丁安全可用，有效降低補丁安裝過程中存在的潛在風(fēng)險。

醫(yī)院系統(tǒng)安全補丁管理辦法

為加強醫(yī)院信息系統(tǒng)安全補丁的跟蹤、分析、測試、分發(fā)和檢查流程，落實主機、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫系統(tǒng)補丁安全管理工作，降低信息系統(tǒng)安全漏洞帶來的安全風(fēng)險，提高信息系統(tǒng)的抗攻擊能力，特制定本辦法。

一、安全補丁管理原則

1.及時性原則：對于必要的安全補丁的發(fā)布和安裝流程，必須及時準(zhǔn)確，把安全漏洞所造成的對信息系統(tǒng)的潛在威脅降到最低；

2.嚴(yán)密性原則：補丁的測試和分發(fā)流程都需要嚴(yán)密的計劃，在保障安全行的同時不影響生產(chǎn)和應(yīng)用系統(tǒng)的正常運行；

3.持續(xù)性原則：補丁管理工作是一個長期持續(xù)性的工作，昆明市兒童醫(yī)院信息部門應(yīng)時刻跟蹤廠商的補丁公告和安全公司的安全公告。

4.適應(yīng)性原則：分場景執(zhí)行安全補丁管理要求。

二、安全補丁獲知、測試及安裝

1.信息部門負(fù)責(zé)跟蹤下列信息，直接獲取可信任安全補丁程序或?qū)踩a丁獲取地址發(fā)布至指定位置，并對補丁加載情況定期審查、驗證并歸檔。

1）安全組織如CNCERT發(fā)布相關(guān)預(yù)警信息；

2）廠商、服務(wù)商發(fā)布的相關(guān)安全公告；

3）其他安全公告類信息。

2.信息部門及運維方技術(shù)人員負(fù)責(zé)一下工作：

1）通過獲取主機、應(yīng)用、數(shù)據(jù)庫等的補丁的安裝程序或發(fā)布地址，下載補丁安裝程序。

2）負(fù)責(zé)補丁測試、加載、驗證，批量部署或指導(dǎo)科室人員安裝系統(tǒng)安全補丁，并填寫相關(guān)報告、表單。

3）對補丁的影響進(jìn)行評估，對風(fēng)險進(jìn)行控制。

三、安全補丁管理細(xì)則

1.需區(qū)分信息資產(chǎn)、IT系統(tǒng)環(huán)境、IT網(wǎng)絡(luò)環(huán)境的重要等級，以便有針對性地跟蹤所需要的系統(tǒng)補丁和需要采取的措施。

2.應(yīng)每月定期跟蹤補丁的最新信息。信息的來源分為以下幾類：

1）軟件廠商：軟件廠商是系統(tǒng)安全補丁的主要來源，安全補丁的發(fā)布通常以官方通告的形式附加；

2）安全機構(gòu)：官方安全機構(gòu)會對一些影響特別大的安全事件進(jìn)行通告；

3）安全組織和安全公司：研究信息網(wǎng)絡(luò)安全的中堅力量，通告的特點是發(fā)布快速、內(nèi)容詳細(xì)、方案全面，并且可知是否已經(jīng)或者可以被利用。

3.安全漏洞的威脅等級分類為：

4.應(yīng)分析安全漏洞的威脅等級，針對于不同的安全漏洞，對應(yīng)的修補時間和修補方式要求如下：

針對Windows操作系統(tǒng)，各系統(tǒng)管理員應(yīng)關(guān)注以下四類補丁程序，其安裝時間要求如下：

5.應(yīng)確保從安全可靠的地方獲取補丁程序，推薦直接從廠商官方網(wǎng)站下載，如果補丁支持校驗，必須進(jìn)行安全校驗，以驗證補丁的可靠性，防止補丁被惡意用戶篡改。

6.嚴(yán)禁未經(jīng)測試直接在生產(chǎn)系統(tǒng)加載補丁。

7.補丁測試的過程要考慮測試的廣泛性和針對性，即在實際情況下盡量充分地測試。

8.補丁測試的方式有2種：測試環(huán)境測試和現(xiàn)網(wǎng)測試；測試環(huán)境測試必須進(jìn)行，測試環(huán)境需要與現(xiàn)網(wǎng)環(huán)境盡可能一致，并考慮差異性帶來的風(fēng)險；條件允許的情況下（如有測試環(huán)境或備機）可以現(xiàn)網(wǎng)測試。

補丁測試的內(nèi)容包括補丁安裝測試、補丁兼容性測試和補丁回退測試：

1)安裝測試主要測試補丁安裝過程是否正確無誤，補丁安裝后系統(tǒng)是否正常啟動。

2)補丁兼容性測試主要測試補丁安裝后是否對應(yīng)用系統(tǒng)帶來影響，業(yè)務(wù)是否可以正常運行。

3)補丁回退測試主要包括補丁卸載測試、系統(tǒng)還原測試。

9.完成補丁測試后，如果未發(fā)現(xiàn)問題，則要根據(jù)漏洞威脅的緊急程度，上報信息網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組，制定補丁分發(fā)計劃，根據(jù)實際情況統(tǒng)一部署、分批安裝。

10.分發(fā)補丁的優(yōu)先次序為：

1)辦公環(huán)境的計算機優(yōu)先安裝；

2)生產(chǎn)網(wǎng)中資產(chǎn)價值大、威脅等級高的系統(tǒng)優(yōu)先安裝；

3)對于具有多臺服務(wù)器并行的負(fù)載均衡系統(tǒng)，并行的服務(wù)器組應(yīng)分批多次分發(fā)和安裝系統(tǒng)補丁。

11.   信息部門應(yīng)根據(jù)最新的補丁通告信息，指導(dǎo)和組織各部門進(jìn)行安全補丁的安裝工作。

12.如無特殊原因，辦公網(wǎng)環(huán)境、各部門的計算機應(yīng)優(yōu)先安裝系統(tǒng)安全補丁，信息部門應(yīng)督促辦公區(qū)計算機安全補丁的安裝工作。

13.對重要的業(yè)務(wù)系統(tǒng)安裝系統(tǒng)安全補丁，應(yīng)事先做好系統(tǒng)和數(shù)據(jù)的備份工作，以便在補丁安裝失敗后可以盡快恢復(fù)系統(tǒng)。

14.補丁的安裝操作過程必須詳細(xì)記錄，核心業(yè)務(wù)系統(tǒng)的補丁加載必須要求廠商工程師現(xiàn)場支持。

15.終端操作系統(tǒng)安全補丁要隨出隨裝，及時更新；

16.服務(wù)器安全補丁要隨應(yīng)用軟件升級一同安裝；

17.定期安裝補丁的周期不得大于90天。在沒安裝補丁期間，要采取臨時替代措施。

18.對補丁安裝過程中出現(xiàn)且能解決的問題，盡快進(jìn)行總結(jié)，以便為解決同類問題提供借鑒。

19.對于一些不能解決的補丁安裝問題，需采用應(yīng)急方案，使用備份系統(tǒng)或者卸載補丁，同時需確定一個臨時的解決辦法消除漏洞的潛在威脅，并盡快向補丁廠商尋求技術(shù)支持。

20.完成系統(tǒng)補丁的安裝變更后，需對安裝的系統(tǒng)進(jìn)行檢查，及時確認(rèn)補丁的安裝情況。

21.新增計算機必須在開機后及時安裝通過測試的、可靠的系統(tǒng)安全補丁。

22.信息部門可以通過適當(dāng)?shù)墓ぞ哕浖?，檢查全網(wǎng)的補丁安裝情況，并對未正常安裝的補丁的計算機進(jìn)行通報，以便及時處理。