Warum wird ein Gerät als online angezeigt und verpasst trotzdem Patches? Für IT-Teams ist dieses Problem besonders frustrierend, weil auf den ersten Blick nichts offensichtlich fehlerhaft erscheint. Das Gerät reagiert möglicherweise auf Pings, wird in der Verwaltungskonsole angezeigt und erlaubt sogar den Remotezugriff. Liegt jedoch eine veraltete Richtliniensynchronisierung vor, erhält es unter Umständen nicht die neuesten Patch-Anweisungen.
Das ist relevant, weil das Patchen von mehr als nur der Netzwerkverfügbarkeit abhängt. Ein Gerät muss sich außerdem beim Verwaltungssystem melden, seine Richtlinien aktualisieren und weiterhin dem richtigen Bereitstellungsbereich zugeordnet sein. Wird diese Kette unterbrochen, können Geräte bei der Patch-Bereitstellung unbemerkt übersprungen werden, ohne dass eine eindeutige Fehlermeldung erscheint.
Was eine veraltete Richtliniensynchronisierung bedeutet
Eine veraltete Richtliniensynchronisierung bedeutet, dass ein verwalteter Endpunkt seine Richtlinien, Konfigurationen oder Bereitstellungsanweisungen nicht innerhalb des erwarteten Zeitraums aktualisiert hat.
Das Gerät kann weiterhin online sein und in einem Dashboard erscheinen. Die Patch-Management-Plattform verfügt jedoch möglicherweise nicht über ausreichend aktuelle Daten, um festzustellen, welche Updates, Gruppen, Bereitstellungsringe oder Regeln für dieses Gerät gelten.
Darin liegt der entscheidende Unterschied: Der Online-Status zeigt die Erreichbarkeit eines Geräts an, während die Richtliniensynchronisierung Auskunft über seine Verwaltungsbereitschaft gibt.
Ein Laptop kann beispielsweise mit dem Unternehmensnetzwerk oder VPN verbunden sein und auf Remote-Befehle reagieren. Wenn der Agent jedoch seit längerer Zeit keine erfolgreiche Richtlinienanforderung abgeschlossen hat, nimmt die Plattform das Gerät möglicherweise nicht in die nächste Patch-Bereitstellung auf.
Der Endpunkt scheint somit verfügbar zu sein, erhält aber keine Anweisung zur Installation des Updates.
Warum „online“ nicht automatisch „patchbereit“ bedeutet
Viele Teams verwenden den Online-Status als schnellen Indikator für den Zustand eines Geräts. Für die grundlegende Fehlerbehebung ist das durchaus sinnvoll. Für das Patch-Management reicht dieser Status jedoch nicht aus.
Patch-Bereitstellungen basieren normalerweise auf einer bestimmten Zielgruppenlogik. Geräte werden über Sammlungen, Gruppen, Bereitstellungsringe oder dynamische Regeln einbezogen. Diese Regeln greifen häufig auf Daten wie die folgenden zurück:
- letzte Anmeldung beim Verwaltungssystem;
- letzte Richtlinienanforderung;
- letzter erfolgreicher Scan;
- letzter Kontakt mit dem Agenten;
- Gerätezustand;
- Mitgliedschaft in einer Gruppe oder Sammlung.
Wenn eines dieser Signale veraltet ist, kann das Gerät aus dem Bereitstellungsbereich herausfallen. Die Patch-Installation schlägt nicht fehl, da sie gar nicht erst beginnt. Die Plattform betrachtet das Gerät zu diesem Zeitpunkt lediglich nicht als berechtigt.
Genau deshalb ist eine veraltete Richtliniensynchronisierung so schwer zu erkennen. Eine fehlgeschlagene Patch-Installation erzeugt einen Fehler. Ein übersprungenes Gerät hinterlässt dagegen häufig keinerlei Hinweis.
Wie Geräte unbemerkt von Patches ausgeschlossen werden
Das unbemerkte Überspringen eines Geräts beginnt normalerweise bereits vor der eigentlichen Bereitstellung – bei der Auswahl der Zielgeräte.
Die meisten Patch-Management-Plattformen überprüfen nicht jeden einzelnen Endpunkt erneut, sobald ein Patch verteilt wird. Stattdessen verwenden sie dynamische Sammlungen, Gerätegruppen oder Bereitstellungsringe. Diese basieren auf den Daten, die der Plattform bereits vorliegen.
Sind diese Daten veraltet, wird auch der Bereitstellungsbereich ungenau.
Ein Gerät kann übersprungen werden, wenn:
- der lokale Agent-Dienst nicht mehr reagiert;
- ein Authentifizierungs- oder Tokenproblem vorliegt;
- der Richtlinienzyklus gestartet, aber nicht abgeschlossen wird;
- der Endpunkt nur kurzzeitig verbunden ist und das Auswertungsfenster verpasst;
- das Dashboard lediglich die Verbindung und nicht die Aktualität der Richtlinien anzeigt;
- eine Sammlungsabfrage Geräte mit veralteten Richtliniendaten herausfiltert.
Aus Sicht der Plattform ist kein Fehler aufgetreten. Das Gerät gehörte zum Zeitpunkt der Bereitstellung schlicht nicht zur Zielgruppe.
Für IT-Teams entsteht dadurch ein blinder Fleck: Der Patch ist vorhanden, das Gerät ist vorhanden und die Bereitstellung wurde ausgeführt – dennoch erhält das Gerät das Update nie. das Gerät ist vorhanden und die Bereitstellung ist vorhanden – doch das Gerät erhält das Update nie.
Warum die Zeiträume je nach Plattform variieren
Ein Zeitraum von drei Tagen kann als praktisches Warnsignal dienen, sollte jedoch nicht als allgemeingültige Regel betrachtet werden. Verschiedene Plattformen definieren veraltete, inaktive oder fehlerhafte Geräte unterschiedlich.
In Microsoft Intune melden sich Geräte normalerweise in regelmäßigen Abständen beim Dienst. Laut Microsofts Anleitung zur Intune-Geräteanmeldung erfolgt diese Anmeldung standardmäßig etwa alle acht Stunden. Liegt die letzte Anmeldung mehr als 24 Stunden zurück, kann dies auf ein Geräteproblem hinweisen, da der Endpunkt keine neuen Richtlinien empfangen kann. Dadurch kann ein Zeitfenster entstehen, in dem das Gerät weiterhin als verwaltet angezeigt wird, die neuesten Patch- oder Konfigurationsanweisungen jedoch noch nicht abgerufen hat.
In SCCM beziehungsweise Configuration Manager wird die Clientaktivität anhand verschiedener Signale bewertet. Dazu gehören Richtlinienanforderungen, Heartbeat Discovery, Inventardaten und Statusmeldungen. Ein Gerät kann deshalb in einem Bereich als aktiv erscheinen, während der Zeitstempel seiner letzten Richtlinienanforderung auf ein anderes Problem hindeutet.
Die genaue Anzahl der Tage kann variieren. Das betriebliche Risiko bleibt jedoch gleich: Sind die Richtliniendaten veraltet, wird die Auswahl der Zielgeräte für die Patch-Bereitstellung unzuverlässig.
Typische Anzeichen einer veralteten Richtliniensynchronisierung
Probleme mit der Richtliniensynchronisierung zeigen sich häufig als Abweichung zwischen den Informationen im Dashboard und den tatsächlichen Vorgängen auf dem Endpunkt.
Folgende Anzeichen können auf dieses Problem hinweisen:
- Ein Gerät ist online, fehlt aber im Bereitstellungsbereich.
- Ein verwaltetes Gerät hat aktuelle Patches nicht installiert.
- Der Zeitstempel der letzten Anmeldung oder Richtlinienanforderung ist veraltet.
- Vergleichbare Geräte aus derselben Gruppe wurden erfolgreich gepatcht.
- Es liegt kein Fehler bei der Patch-Installation vor.
- Compliance-Berichte enthalten unerklärliche Lücken.
- Eine manuelle Synchronisierung oder ein Neustart des Agenten bringt das Gerät wieder in den Bereitstellungsbereich.
Diese Anzeichen sind besonders in hybriden Umgebungen relevant, in denen Teams Intune, SCCM, Co-Management, VPN-Verbindungen, Verteilungsserver oder Patch-Tools von Drittanbietern verwenden.
Je mehr Systeme beteiligt sind, desto leichter kann ein Status unauffällig und fehlerfrei wirken, während ein anderes entscheidendes Signal bereits veraltet ist.t.
Wie IT-Teams unbemerkte Patch-Lücken reduzieren können
Um unbemerkte Patch-Lücken zu vermeiden, sollten Teams die Aktualität der Richtlinien als festen Bestandteil der Patchbereitschaft betrachten.
Bevor geprüft wird, ob ein Gerät einen Patch installiert hat, sollte zunächst geklärt werden, ob es die Installationsanweisung überhaupt erhalten hat.
Ein zuverlässigerer Prozess zur Überprüfung von Patches sollte die folgenden Schritte umfassen:
- Online-Status und Richtlinienaktualität vergleichen
Wenn ein Gerät online ist, überprüfen Sie, wann es zuletzt eine Richtlinienanforderung, Anmeldung, Überprüfung oder Kontaktaufnahme mit dem Agenten erfolgreich abgeschlossen hat. Diese Zeitstempel sollten gemeinsam betrachtet werden. - Erreichbare, aber nicht synchronisierte Geräte überwachen
Geräte, die online sind, aber seit längerer Zeit nicht synchronisiert wurden, können ein falsches Sicherheitsgefühl vermitteln. Sie wirken verfügbar, obwohl sie weiterhin Bereitstellungen verpassen. - Nicht nur auf ein einzelnes Datenfeld vertrauen
Wenn die Bereitstellungslogik von einem einzigen veralteten Zeitstempel abhängt, können Geräte ohne Vorwarnung aus dem Bereitstellungsbereich herausfallen. Kombinieren Sie nach Möglichkeit die Aktualität der Richtlinien mit dem letzten Kontakt, dem Gerätezustand und den Scandaten. - Warnmeldungen für Synchronisierungsabweichungen einrichten
Ein Gerät, das vor Kurzem online war, seine Richtlinien aber nicht aktualisiert hat, sollte bereits vor dem Patch-Tag gekennzeichnet werden – und nicht erst, wenn Compliance-Berichte Lücken aufzeigen. - Intern definieren, wann Daten als „veraltet“ gelten
Jede Plattform verwendet eigene zeitliche Vorgaben. Ihr Team sollte festlegen, welche Zeitstempel relevant sind, wie häufig sie aktualisiert werden müssen und ab welchem Zeitpunkt ein Endpunkt untersucht werden sollte.
Dadurch wird eine veraltete Richtliniensynchronisierung von einem versteckten Problem zu einem messbaren Bestandteil des Patch-Managements..
Warum dies für die Patch-Compliance wichtig ist
Bei der Patch-Compliance geht es nicht nur um erfolgreich abgeschlossene Installationen. Entscheidend ist auch, ob jedes berechtigte Gerät überhaupt die Möglichkeit erhalten hat, den Patch zu installieren.
Aus diesem Grund kann eine veraltete Richtliniensynchronisierung die Berichterstattung verfälschen. Ein Dashboard zeigt möglicherweise den Fortschritt einer Bereitstellung an, obwohl einige Geräte nie in den Bereitstellungsbereich aufgenommen wurden. In sicherheitskritischen Umgebungen entstehen dadurch vermeidbare Risiken, und das Vertrauen in die Compliance-Daten wird geschwächt.
Für einen vollständigen Überblick benötigen Teams Transparenz über die gesamte Patch-Kette:
- Gerätezustand;
- Richtliniensynchronisierung;
- Auswahl der Bereitstellungsziele;
- Installationsstatus;
- Neustartstatus;
- abschließende Compliance-Bestätigung.
Wenn diese gesamte Kette sichtbar ist, können IT-Teams tatsächliche Installationsfehler von Geräten unterscheiden, die nie erreicht wurden. Diese Unterscheidung hilft Teams, Probleme schneller zu beheben und den Prozess langfristig zu verbessern.n Teams, Fehler schneller zu beheben und den Prozess im Laufe der Zeit zu verbessern.
Abschließende Hinweise
Eine veraltete Richtliniensynchronisierung kann dazu führen, dass ein Gerät online, erreichbar und verwaltet erscheint, obwohl ihm die notwendige Aktualisierung fehlt, um den nächsten Patch zu erhalten. Deshalb sollten IT-Teams die Richtliniensynchronisierung, die Auswahl der Zielgeräte und den Bereitstellungsstatus überprüfen, bevor Compliance-Berichte fehlende Updates aufdecken.
Wenn Ihr Team bereits Intune oder SCCM verwendet, das Patchen von Drittanbieteranwendungen jedoch weiterhin von manueller Vorbereitung, wiederholten Kontrollen und zeitaufwendigen Paketaktualisierungen abhängt, kann Apptimized Care diesen betrieblichen Aufwand reduzieren. Die Lösung stellt getestete Anwendungsupdates über einen kontrollierten und automatisierten Prozess in Ihrer bestehenden Umgebung bereit. So kann Ihr Team weniger Zeit mit der Suche nach Patch-Lücken verbringen und sich stärker auf die Sicherheit der Endpunkte konzentrieren.
Buchen Sie eine Demo mit einem unserer Spezialisten, um zu erfahren, wie Apptimized Care das Patch-Management für Drittanbieteranwendungen in Ihrer bestehenden Intune- oder SCCM-Umgebung vereinfachen kann.
Author
Maryna Semesenko