安全补丁更新流程.doc

安全补丁更新流程 安全补丁更新流程 PAGE / NUMPAGES 安全补丁更新流程 远东宏信有限企业 安全补丁更新流程 订正记录 版 本编 号  版 今日期  修 订 者  说 明 V1.0  2015-04-20  曹宏涛  草稿 目 录 第 1 章 介绍 1.1. 基本观点 1.2. 用途和目标 1.3. 范围 1.4. 流程运转的前提和机遇 5 第 2 章 流程详尽说明 2.1. 流程关系图 2.2. 流程总图（包含总图说明表格） 4 补丁的分类 安全补丁风险与影响评估 补丁的审批 安全补丁的开发测试与确认 补丁的实行 补丁回退 2.3. 流程质量控制 评估与改良流程 升级上报管理 第 3 章 流程角色和职责 第1章 介绍 1.1. 基本观点 未实时进行安全补丁更新的系统或软件很简单遭到的攻击，并致使未受权接见、系统拒绝服务，从而致使 信息泄漏、业务中止等重要安全事故的发生。但是，补丁的更新不妥甚至可能带来比网络攻击更大的安全事故。 所以保障各种补丁实时、安全、安妥地更新安装是保障信息系统安全的重要手段。 补丁常常会因为以下三种原由此进行公布： 修理应用程序或操作系统的破绽。很多黑客经过缓冲区溢出对应用程序和操作系统进行网络攻击。经过补丁的安装能够对这种破绽进行很好的修理。补丁也常常会因为修正系统的功能问题进行公布。 改变功能或更新特点库等从而对新的安全威迫进行检测。 改正软件的配置使它更为的安全。 1.2. 用途和目标 依照改正流程文档进行安全补丁更新能够降低系统的安全隐患发生的可能。安全补丁更新流程文档供给了 对改正流程中补丁更新所波及的步骤进行说明，使系统安全管理专员能够更好地依据改正流程的规定对各样补 丁进行更新操作，并保证其有效性、稳固性和安全性。 可是安全补丁更新流程文档其实不会说明指定的补丁是如何对破绽进行修理从而降低安全风险的。 本流程的目标是： 规范不一样操作系统、应用程序、硬件设施系统的补丁按期检查。 确认补丁安装的需乞降申请的步骤。 供给补丁更新流程在改正流程中所波及的各项细化表格。 规定各安全有关职员在补丁更新中的职责。 1.3. 范围 下边表格说了然哪些远东宏信内部操作系统、应用软件、硬件设施的升级更新属于安全补丁管理的范围， 哪些不是。 表格 1：安全补丁管理范围 包含 不包含 个人主机操作系统 病毒库的自动升级 生产主机系统 病毒库的自动升级 非生产主机系统 IDS 特点库的自动升级 1.4. 流程运转的前提和机遇 为了各种安全补丁的更新能够顺利和有效实行，需要以下前提条件： 由安全管理员发现或被见告的内部系统中确认存在的操作系统、应用软件或硬件系统公布的补丁，并确立能够经过已有的安全门路获取有关的补丁。 由系统或软件安全有关引起的配置改正或功能调整，经安全管理员确认能够在现有环境中进行实行的。 由产商自动下发的安全有关特点数据库的升级，经安全管理员确认能够经过已有安全门路获取有关数据的。 实行补丁更新的机遇：在申请、同意和测试管理流程以后，依据系统所属的类型能够选择在远东宏信范围 内分步分区实行或集中实行。 第 2章 流程详尽说明 2.1. 流程总图（包含总图说明表格） 编号 管理活动 补丁的登记和分类 1.1 安全补丁风险与影响 1.2 评估 补丁的审批 1.3 安全补丁的开发测试 1.4 与确认 补丁的实行 1.5  图示 1：补丁安全管理总图 表格 2：补丁管理总图说明表格 描绘 登记需要安装补丁的改正系统对补丁的可能影响范围进行评估 判断与剖析补丁关于生产环境与业务的风险和影响 。 召开补丁管理睬议，议论和回首补丁安装细节，审批或驳回补丁，为补丁的开发、测试和实行分派资源，并知会系统安全专员。 计划、开发、测试补丁、记录测试结果，并确认改正所需要的各要素切合要求。在系统环境中实行补丁  输入 /触发条件 输出 发现需要安装的 补丁的请 补丁 求记录与 评估 补丁安装恳求 已接受的补丁请 补丁审批求 已达成评估正等 安装补丁 待同意的补丁 的时间、 日程安排 改正的时间和日 协调改正 程安排 实行 准备好的补丁安 考证补丁 装流程 安装达成 并结束， 若实行失 败 跳 至 1.6 1.6 补丁回退 履行补丁回退计划  补丁安装失败 恢复补丁 安装失败 对业务环 境的影响 2.1.1. 补丁的分类 安全补丁更新管理的目的是有效的审批和控制关于补丁的改正，从而减少关于业务和用户的影响，以达到 较高的安全和实行性。 安全管理员发现规定范围内系统、应用程序或硬件有新补丁公布应向运维组进步行报告。同时运维组长在 确认补丁后应责成有关安全负责人对补丁进行等级区分。 补丁等级区分 因为不一样系统的补丁所波及的机器数目、业务流程、影响大小都有所不一