Maintenance windows: Patch Management-ийн засварын цонхыг хэрхэн үүсгэж, бодлогод оноох вэ?

Maintenance windows (Засварын цонх) хуудсанд endpoint-ууд дээрх засварын үйлдлийг удирдах тохиргооны профайл үүсгэх боломжтой. Энэ нь бодлогоос хамааралгүй тул орчин бүрийн нөхцөлд тохирсон олон засварын цонх үүсгэж болно.

Ингэснээр бодлого тохируулах ажил хялбар болж, илүү зорилтот бодлого үүсгэх, ашиглах боломжтой болно.

Засварын цонхны эрхийг хуваалцаж болох бөгөөд тэгвэл танай компанийн бусад GravityZone хэрэглэгч тэдгээрийг харж, ашиглах боломжтой.

Засварын цонхыг Patch Management (Засварын удирдлага) тохиргоотой хамт үүсгэж, хэрэглэнэ.

Patch Management модуль нь олон төрлийн бүтээгдэхүүний засварыг автоматаар түгээж, суулгадаг тул endpoint-уудыг программ хангамжийн сүүлийн засвартай байлгах ачааллаас таныг чөлөөлнө. Дэмжигдсэн нийлүүлэгч, бүтээгдэхүүний жагсаалтыг энэ нийтлэлээс харна уу.

Maintenance windows хуудсанд цонхуудыг харах, шүүх, хайх, үүсгэх, засах, устгах боломжтой. Засварын цонхыг ашиглахын тулд Policies (Бодлого) хэсэгт бодлогод оноох ёстой. Засварын цонх үүсгэх, засах, устгах үйлдэл User activity log-д бүртгэгдэнэ.

Засварын цонхыг харах

Maintenance windows хуудас хоёр үндсэн хэсэгтэй:

1. 1Сонгох самбар (selection panel) — боломжит засварын цонхуудыг төрлөөр нь жагсаасан хэсэг.
2. 2Дэлгэрэнгүй хүснэгт (details grid) — шинэ засварын цонх үүсгэх эсвэл байгааг удирдах хэсэг.

Засварын цонхыг шүүх, хайх

Maintenance windows хуудсанд сонгох самбар болон дэлгэрэнгүй хүснэгтийн сонголтоор засварын цонхыг хялбар шүүж, хайна.

Patch Management ангилалд дараах төрлүүдийн аль нэгийг сонгоно:

• All patches (Бүх засвар)
• Security patches (Аюулгүй байдлын засвар)
• Non-security patches (Аюулгүй байдлын бус засвар)

Дэлгэрэнгүй хүснэгт сонголтод тохируулан харуулна. Хүснэгтэд дараах мэдээлэл байна:

• Window name — засварын цонхны нэр.
• Status — засварын цонх бодлогод ашиглагдаж байгаа эсэх.
• Schedule details — засварын цонхонд тохируулсан хуваарийн тоо. Жишээлбэл, гурван хуваарьтай цонхонд засвар шалгах нэг хуваарь, аюулгүй байдлын болон аюулгүй байдлын бус засвар суулгах тус бүр нэг хуваарь байна.
• Last modified — засварын цонх хамгийн сүүлд өөрчлөгдсөн огноо, цаг.
• Last edited by — засварын цонхыг хамгийн сүүлд өөрчилсөн хэрэглэгч.
• Permissions — бусад хэрэглэгч харагдаж буй засварын цонхыг өөрчлөх хуваалцсан эрхтэй эсэх.
• In policies — засварын цонх оноогдсон бодлогын тоо.

Дараах баганы толгойг дарж эрэмбэлнэ: Window name, Status, Last modified, Last edited by, Permissions, In policies.

Засварын цонхыг дараах байдлаар хайх, шүүх боломжтой:

• Window name — нэг буюу хэд хэдэн тэмдэгт бичээд өсгөгч шилийг дарна (эсвэл Enter дарна). Тохирох нэртэй засварын цонхууд харагдана.

• Status — жагсаалтаас нэгийг сонгоод APPLY дарна. Ашиглагдаж буй, ашиглагдаагүй эсвэл бүх засварын цонх харагдана.

• Last modified — дарахад календарь нээгдэж, яг тодорхой завсар сонгож болно.

Зүүн самбараас урьдчилан тохируулсан сонголтыг (Last 24 hours, Last 7 days, Last 30 days) сонгох эсвэл баруун самбар дахь календарь ашиглан завсараа өөрөө тогтооно. Календарийг гүйлгэхдээ самбарын хоёр талын зүүн, баруун сумыг ашиглана.

Сонголтоо хэрэгжүүлэхийн тулд CONFIRM дарна.

• Last edited by — хэрэглэгчийн нэрээс нэг буюу хэд хэдэн тэмдэгт бичээд өсгөгч шилийг дарна (эсвэл Enter дарна). Тухайн GravityZone хэрэглэгчийн үүсгэсэн эсвэл өөрчилсөн засварын цонх харагдана.

• More шүүлтүүрийн нүднээс Permissions-ийг сонгоод APPLY дарна. Эрх нь хуваалцсан эсвэл хуваалцаагүй засварын цонх харагдана.

Хүснэгтийн баруун дээд буланд нэмэлт сонголтууд байна:

• Show/Hide Columns товчийг дарж шүүлтүүрийн багана нэмэх, хасна.
• Show/Hide Filters товчийг дарж шүүлтүүрийн мөрийг харуулах, нуух.
• Clear товчийг дарж бүх шүүлтүүрийг арилгана.

Засварын цонх үүсгэх, засах

Засварын цонхоор засварыг автоматаар түгээхийг удирдана. Эхлээд засварыг endpoint-уудад хэрхэн татахыг, дараа нь аль засварыг хэзээ суулгахыг тохируулна.

GravityZone засвар түгээлтийг хоёр бие даасан үе шатаар гүйцэтгэнэ:

• Assessment (Үнэлгээ) — удирдлагын консолоос хүсэлт ирэхэд endpoint-ууд дутуу засварыг шалгаж, тайлагнана.
• Installation (Суулгалт) — GravityZone консол endpoint-ийн агентад суулгахыг хүссэн засварын жагсаалтыг илгээнэ. Агент засваруудыг татаж аваад суулгана.

Засварын цонх эдгээр үйл явцыг хэсэгчлэн эсвэл бүхэлд нь автоматжуулах тохиргоог өгдөг тул тэдгээр нь таны сонгосон хуваарийн дагуу тогтмол ажиллана.

Засварын цонх үүсгэхийн тулд дараах алхмыг гүйцэтгэнэ.

1. 1Add window товчийг дарна.

2. 2Window name (цонхны нэр) оруулна. Энэ талбар заавал бөглөгдөнө.

3. 3Эрхийг хуваалцахыг хүсвэл Allow others to make changes to this maintenance window сонголтыг идэвхжүүлнэ.

4. 4Targeted operations (зорилтот үйлдэл)-д дараах сонголтуудын аль нэг эсвэл хоёуланг нь сонгоно:

- Scan for patches — аюулгүй байдлын агент endpoint дээрх дутуу засварыг шалгаж, GravityZone консолд тайлагнана.

- Apply patches — GravityZone консол агентад суулгахыг хүссэн засварын жагсаалтыг илгээнэ. Endpoint засваруудыг Patch Caching Server-ээс татаж аваад суулгана. Үүний дараа endpoint-уудад ямар төрлийн засвар суулгахыг сонгоно:

- Security patches — эмзэг байдал/CVE-ийн засварыг агуулна.
- Non-security patches — гуравдагч талын программын алдааны засвар, шинэ боломжийг агуулна.
- Manually approved patches — Microsoft Windows Feature Updates эсвэл бусад аюулгүй байдлын хэрэгслийн засвар зэргийг агуулна.

Scan for patches болон Apply patches-ийг сонгосны дараа хуудсанд доор тайлбарласан нэмэлт сонголтууд гарч ирнэ.

5. 5Scheduling options (хуваарийн сонголт)-ыг тохируулна:

- Smart scan for patches when new applications are installed. Endpoint дээр шинэ программ суухад аюулгүй байдлын агент төлөвлөсөн шалгалт, суулгалтын даалгавраас үл хамааран илэрсэн үйлдлийн систем болон программын бүх шинэчлэлтийг автоматаар суулгана.

> Тэмдэглэл: Patch Management нь Linux endpoint-ууд дээр smart scan-ийг дэмждэггүй.

- Use the same schedule for all targeted operations. Аюулгүй байдлын агент засварыг шалгаад, дараа нь аль болох шуурхай endpoint дээр суулгана.

- Use fallback schedule compatible with Bitdefender Endpoint Security Tools for Windows version 7.3.2.x or older. Энэ сонголт нь хуваарийн чадамж хязгаарлагдмал байсан агентын өмнөх үеийн хувилбартай нийцтэй байлгана. Patch Management модулийг хамгийн сайн ашиглахын тулд Bitdefender Endpoint Security Tools for Windows-ийг 7.4.1.111 ба түүнээс шинэ хувилбар руу шинэчлэхийг зөвлөж байна.

> Чухал: Энэ сонголтыг идэвхгүй байлгаж засварын цонхыг нийцгүй endpoint-уудад оноовол аюулгүй байдлын агент тэдгээр дээр засвар шалгах, суулгах үйлдлийг гүйцэтгэхгүй.

6. 6Идэвхжүүлсэн сонголтоосоо хамаарч хуудсанд дараах хуваарийн маягтууд гарч ирнэ:

- Schedule for patch scanning — засвар шалгах үйлдэл хэзээ явагдахыг тохируулна.
- Schedule for applying patches - security — аюулгүй байдлын засвар болон гараар зөвшөөрсөн засвар endpoint-уудад хэзээ суухыг тохируулна.
- Schedule for applying patches - non-security — аюулгүй байдлын бус засвар хэзээ суухыг тохируулна.

> Тэмдэглэл: Use the same schedule for all targeted operations-ийг сонгосон бол тусдаа хуваарийн оронд нэг хуваарийн маягт гарна.
>
> Хуваарь нь endpoint-ийн цагаар тооцогдоно.

Хуваарийн маягтад хүссэн үйлдэл (засвар шалгах эсвэл суулгах) хэзээ явагдахыг уян хатан тохируулж болно:

- Immediately (зөвхөн засвар суулгахад) — аюулгүй байдлын агент засвар шалгаж дууссаны дараа аль болох шуурхай засваруудыг суулгана.

- Weekly — аюулгүй байдлын агент долоо хоногийн дотор засвар шалгаж, суулгана:

- Сарын тодорхой долоо хоногуудад (1, 2, 3 эсвэл 4 долоо хоног тутамд).
- Тодорхой өдрүүдэд (Даваагаас Ням хүртэл дурын сонголт).
- Тодорхой огнооноос эхлэн.
- Тодорхой цагийн завсарт (00:00-аас 23:59 хүртэл дурын сонголт).

- Monthly — аюулгүй байдлын агент сарын дотор засвар шалгаж, суулгана:

- Жилийн тодорхой саруудад (1, 2, 3 гэх мэтээр 12 сар тутам хүртэл).
- Тодорхой өдрүүдэд (сарын эхний өдрөөс сүүлийн өдөр хүртэл дурын сонголт, эсвэл долоо хоногийн тодорхой өдрүүд).
- Тодорхой огнооноос эхлэн.
- Тодорхой цагийн завсарт (00:00-аас 23:59 хүртэл дурын сонголт).

Жишээ:

- Долоо хоногийн хуваарьт засвар шалгах даалгаврыг 2021 оны 12-р сарын 12-оос эхлэн, 3 долоо хоног тутамд, Даваа, Лхагва, Баасан гарагт 18:00-аас 19:30-ын хооронд явуулахаар тохируулж болно.

- Сарын хуваарьт засвар шалгах даалгаврыг 2021 оны 12-р сарын 12-оос эхлэн, 2 сар тутамд, сарын гурав дахь Лхагва гарагт 10:00-аас 10:59-ийн хооронд явуулахаар тохируулж болно.

> Тэмдэглэл: Шалгалтыг сарын 31-ний өдөр хийхээр сонгосон бол 30 ба түүнээс цөөн өдөртэй саруудад даалгаврыг алгасана.

7. 7Засвар суулгахаар товлосон үед endpoint офлайн байж болно. Endpoint онлайн болмогц засваруудыг шууд суулгахын тулд If missed, run as soon as possible сонголтыг идэвхжүүлнэ.

8. 8Reboot preferences (дахин асаах тохиргоо)-ыг тохируулна:

- Users postpone the system restart until a more convenient time. Endpoint-ийн хэрэглэгчид системээ цагийн хязгаарлалтгүйгээр өөрт тохирсон үедээ дахин асаах боломж олгохын тулд энэ сонголтыг сонгоно.

Windows endpoint-ууд дээр аюулгүй байдлын агент харилцах цонх харуулах бөгөөд хэрэглэгчид restart the system immediately (системийг шууд дахин асаах), postpone the restart alert (дахин асаах сануулгыг хойшлуулах) эсвэл pick a more convenient time (илүү тохиромжтой цаг сонгох) боломжтой.

- Users postpone the system restart only within a specific interval. Хэрэглэгчид системээ дахин асаах цагийн хязгаарыг тогтоохын тулд энэ сонголтыг сонгоно. Мөн дараахыг тодорхойлж болно:

- Тогтоосон завсар алдагдвал нэмэгдэх минутын тоо.
- Дахин асаахын өмнө endpoint-д харуулах өөрийн тохируулсан зурвас.

Windows endpoint-ууд дээр аюулгүй байдлын агент харилцах цонх харуулах бөгөөд хэрэглэгчид restart the system immediately, postpone the restart alert эсвэл pick a more convenient time боломжтой. GravityZone Control Center-т хийсэн тохиргооны дагуу дахин асаалт хэзээ болохыг интерфэйсийн зурвас мэдэгдэнэ. Таны тохируулсан зурвас дахин асаахын өмнө Windows-ийн зурвас хэлбэрээр гарна.

Жишээ:

Хэрэв та завсрыг 16:30-аас 17:30 гэж, алдагдсан завсарт нэмэлт 10 минут гэж тохируулсан бол хэрэглэгчид тэр нэг цагийн дотор дахин асаалтыг хойшлуулж болно. 17:30-аас эхлэн хэрэглэгч юу хийснээс үл хамааран системийг автоматаар дахин асаах хүртэл ердөө 10 минут үлдэнэ.

- System restarts automatically after a specific number of minutes. Тодорхой хугацааны дараа endpoint-уудыг автоматаар дахин асаахыг албадахын тулд энэ сонголтыг сонгоно. Энэ тохиолдолд endpoint-ийн хэрэглэгчид дахин асаалтыг хойшлуулах, цаг сонгох боломжгүй. Мөн дахин асаахын өмнө харуулах зурвасыг өөрчилж болно.

> Чухал: Endpoint-ийн хэрэглэгчээс үйлдэл хүсэхийн тулд бодлогын тохиргооны General > Notifications хэсэгт Endpoint restart notification, Display alert pop-ups, Display notifications pop-ups сонголтуудыг идэвхжүүлсэн эсэхээ шалгана. Эдгээр сонголт идэвхгүй, автоматаар дахин асаах сонгоогүй бол засвар суулгасны дараа endpoint-ийг гараар дахин асаах шаардлагатай.

> Тэмдэглэл: Patch Management одоогоор Linux endpoint-ууд дээр дахин асаахыг дэмждэггүй.

macOS дээр GravityZone үйлдлийн системийн засварыг зөвхөн бага хувилбарт хэрэглэнэ. Жишээлбэл, 13.5 (Ventura)-аас 13.6 (Ventura) хүртэл, харин 13.9 (Ventura)-аас 14.0 (Sonoma) хүртэл биш.

Mac дээр үйлдлийн системийн засвар суулгахад endpoint-ийг дахин асаах шаардлагатай. Mac хэрэглэгчид харилцах цонхонд суулгалтыг 4 цаг хүртэл хойшлуулж болно. Хэрэглэгч харилцах цонхонд 24 цагийн турш юу ч хийхгүй бол (суулгахгүй, хойшлуулахгүй) GravityZone консол холбогдох даалгаврыг амжилтгүй гэж үзнэ. Шинэчлэлтийг хийхийн тулд Mac хэрэглэгчид хүсэлт гарахад локал администраторын нэвтрэх мэдээллээ оруулна.

Шаардлагатай үед Patch Management модуль macOS хэрэглэгчээс шинэчлэлтийг дуусгахын тулд программуудаа дахин эхлүүлэхийг хүснэ. Хэрэглэгчид шинэчлэлтийг 24 цаг хүртэл хойшлуулж болно. Энэ хугацаа өнгөрвөл суулгалтын даалгавар "timeout" төлөвтэйгээр дуусч, GravityZone консолд тэгж тайлагнагдана.

Patch Management macOS дээр чимээгүй горимыг (silent mode) тойрно. Тиймээс endpoint дээр идэвхтэй бодлогод мэдэгдлийг идэвхгүй болгосон ч шаардлагатай үед хэрэглэгчээс үйлдэл хүсэх болно.

9. 9Additional patch settings (нэмэлт засварын тохиргоо)-г тохируулна:

- Relays with Patch Caching Server role сонгоно.

Засвар түгээх үйл явц сүлжээний ачааллыг оновчтой болгохын тулд Patch Caching Server-үүдийг ашигладаг. Windows endpoint-ууд эдгээр сервертэй холбогдож, локал сүлжээгээр засвар татна. Засвар байнга бэлэн байлгахын тулд нэгээс олон сервер ашиглахыг зөвлөж байна.

Relay сервер нэмэхийн тулд:

- Жагсаалтаас сонголт хийнэ.
- Нэг буюу хэд хэдэн нэр эсвэл IP хаяг оруулж, цэгтэй таслалаар (;) тусгаарлана. Талбарын урт 256 тэмдэгтээс хэтрэхгүй.

Сонголтоо баталгаажуулахын тулд нэмэх (Add) товчийг дарна. Relay-г жагсаалтаас устгахын тулд X дүрсийг дарна.

Жагсаалт хоосон бол сүлжээнийхээ Relay-үүд дээр Patch Caching Server үүргийг суулгах хэрэгтэй. Суулгах заавар: Install security agents - standard procedure.

> Тэмдэглэл: Relay нь зөвхөн Windows endpoint-уудад зориулж Microsoft болон бусад нийлүүлэгчийн шинэчлэлтийг татаж хадгалдаг Windows эсвэл Linux машин байж болно. Засвар шаардлагатай болмогц Windows endpoint-ууд caching server-ээс татах тул сүлжээний зурвасын өргөн дүүрэхээс сэргийлнэ.
>
> Linux болон macOS endpoint-ууд засварыг нийлүүлэгчдийн вэбсайтаас шууд татна.

Сонгосон relay бүрд тэргүүлэх эрэмбэ (priority) тохируулж болно. Endpoint оноогдсон серверүүдээс засварыг эрэмбийн дарааллаар хүснэ. Endpoint засварыг хамгийн түрүүнд олсон серверээс татна. Хүссэн засвар нь байхгүй сервер түүнийг нийлүүлэгчээс автоматаар татаж, дараагийн хүсэлтэд бэлэн болгоно.

Patch Caching Server-үүд боломжгүй үед endpoint-ууд программ хангамжийн засвар авч чадахын тулд Use vendors websites as fallback location for downloading the patches сонголтыг сонгоно. Энэ сонголтыг идэвхгүй болговол Patch Caching Server-үүд боломжгүй болж, нэгэн зэрэг интернет холболт тасарсан үед сүлжээ тань шинэчлэгдээгүй үлдэх эрсдэлтэй.

Татсан засварууд Patch Caching Server-үүдээс 7 хоногийн дараа устгагдана.

- Vendors and products to include or exclude from being patched хэсэгт шинэчлэх эсвэл шинэчлэхгүй программуудын жагсаалт үүсгэнэ.

Included жагсаалтад шинэчлэгдэх программууд байна. Бусад бүх зүйлийг алгасна.

Excluded жагсаалтад шинэчлэлтээс хасагдах программууд байна. Endpoint дээр байгаа бусад бүх программ шинэчлэгдэнэ.

Юу ч сонгоогүй бол аюулгүй байдлын агент endpoint дээр суулгасан бүх программыг шинэчилнэ.

Нийлүүлэгч, бүтээгдэхүүний жагсаалт үүсгэхийн тулд:

1. Included эсвэл Excluded-ийг сонгоно. Сонголт таны үүсгэж буй жагсаалтад бүхэлд нь хамаарна.

2. Жагсаалтаас нийлүүлэгч, программуудыг сонгоод Select products дарна.

> Тэмдэглэл: Жагсаалтад Windows, Linux, macOS-ийн бүтээгдэхүүний хувилбарууд тусад нь харагдана.

3. Нэмэх (Add) товчийг дарж сонголтоо жагсаалтад нэмнэ. Нийлүүлэгч эсвэл бүтээгдэхүүнийг устгахын тулд X дүрсийг дарна.

4. Сонголтыг засахын тулд жагсаалт дахь бүтээгдэхүүний нэр дээр дарж контекст цэсийг нээгээд өөрчлөлт хийнэ.

10. 10Тохиргоог баталгаажуулж, засварын цонхыг үүсгэхийн тулд Save дарна.

Засварын цонхыг засахын тулд хүснэгтэд түүний нэр дээр дарж нээнэ. Өөрчлөлт хийсний дараа Save дарна.

Засварын цонхыг устгах

Засварын цонхыг устгахын тулд:

1. 1Дэлгэрэнгүй хүснэгтэд устгах засварын цонхны нүдийг тэмдэглэнэ.
2. 2Delete товчийг дарна.
3. 3Үйлдлээ баталгаажуулна.

Засварын цонхыг бодлогод оноох

Patch Management тохиргоог сүлжээндээ хэрэгжүүлэхийн тулд засварын цонхыг бодлогод оноох хэрэгтэй.

Засварын цонхыг бодлогод ингэж онооно:

1. 1GravityZone-ийн зүүн талын цэснээс Policies хуудас руу орно.

2. 2Шинэ бодлого үүсгэхийн тулд Add дарна, эсвэл байгаа бодлогыг засахаар нээнэ.

3. 3Patch Management хэсгийн Maintenance windows дор жагсаалтаас сонголт хийнэ.

Жагсаалтад таны болон бусад хэрэглэгчийн үүсгэсэн (хуваалцах эрхтэй бол) бүх засварын цонх байна.

Жагсаалтад засварын цонх байхгүй бол Create window товч харагдана.

Товчийг дарж зөвхөн засвар шалгахыг агуулсан үндсэн тохиргоотой цонхыг хурдан үүсгэнэ. Цонхыг засаж засвар суулгах зэрэг бусад боломж нэмэхийн тулд GravityZone-ийн үндсэн цэсийн Policies > Configuration profiles руу орно.

4. 4Үйлдлээ баталгаажуулахын тулд Save дарна.

Засварын цонхыг бодлогод оноосны дараа Patch Management хэсэгт дараах хураангуйг харуулна:

• Засварын цонхны нэр
• Зорилтот үйлдэл (Scan for patches эсвэл Apply patches)
• Засварын хүрээ (Security, Non-security эсвэл Manually approved)
• Давтамж
• Дахин асаах дэлгэрэнгүй

Нэг бодлогод зөвхөн нэг засварын цонх оноож болно. Нэг засварын цонхыг олон бодлогод оноохын тулд бодлого бүрийг ээлжлэн засна.

Засварын цонхыг бодлогоос салгахын тулд:

1. 1Maintenance windows дор жагсаалтаас No maintenance window selected-ийг сонгоно.

2. 2Үйлдлээ баталгаажуулна.

3. 3Save дарна.

Засварын цонх салж, Patch Management модуль идэвхгүй болно.