安全分析自动更新安全补丁的利与弊

安全分析自动更新安全补丁的利与弊& p8 ^0 E+ r. t" t* {. @, [" k
' `9 q; q* P( p

   如果你认为自己的系统很安全，那就大错特错了。计算机系统安全是个动态的过程，而不是目标。保护系统安全的过程包括不断监控已发现的安全漏洞和脆弱性。
! U: ?) C1 W4 {" N# s
   当然，目的在于趁不怀好意的人还没有发现未打上补丁的系统，了解新发现的漏洞、打上补丁。这种做法似乎是一项艰巨的任务，需要给予不停的关注。而从某种意义上来说，确实如此。 3 h9 }( d7 S1 Q8 B, I

   乍一看，自动获得安全补丁以堵住已确认的漏洞似乎是个好主意。最有可能发现操作系统存在的缺陷和漏洞的是最了解操作系统的那些人，也就是开发者。关注安全的系统管理员有几种办法可以关注漏洞信息，其中包括NTBugTraq。
% H3 j* `) G, w) h) p9 D
   www.ntbugtraq.com介绍了有关NTBugTraq的详情情况。该网站列有你可以订阅的列表服务，系统管理员通过此项服务可以随时了解Windows的安全问题（订阅方法：发送订阅信息到listserv@listserv.ntbugtraq.com;主题栏空白；正文区输入subscribe ntbugtraq）。作为Windows系列操作系统的开发者，微软同样密切关注着NTBugTraq。 $ f8 j/ X( w& s

   只有微软的开发队伍才能为这些漏洞开发补丁，因为只有他们拥有Windows操作系统的全部源代码，因而也只有他们能通知你何时发现了漏洞、何时能获得补丁。为此，微软推出了Windows自动更新服务（Automatic Updates）。

   自动更新位于Windows 2000里面的控制面板，而在XP/2003里面是系统属性的一个标签。有四个选项可以选择。可以关闭这项功能：对从不联网的机器来说，这可能是唯一合理的选项。如果一个地方有好几台机器，它们都需要更新补丁，而你又希望只下载一次，以便节省带宽，则可以开启这项功能。 + @! ]  G. u* i7 [+ H

   自动更新功能开启后，可以设置成：补丁下载前通知你、补丁下载后通知你；或者只是下载补丁，然后在指定日期安装。
) b0 s/ i  O7 }- K, Z/ K
利用Windows自动更新是个好办法，以便一有安全补丁就通知你。如果你只有几个系统要维护，或者你认为带宽耗用不成问题，那么自动更新同样不失为获得补丁的一种好办法。甚至在有些情形下，建议用户利用这项功能，在指定日期安装补丁。但要小心，因为事后想一想，你会发现自动更新的一个缺点。 # x1 z0 \/ b# p, l
2 @8 R5 e6 l( n/ I7 N7 k$ Y& b
自动更新系统的问题在于，如果对系统进行的变更并不需要管理员干预，管理员对于这些变更毫无察觉。这问题似乎不大重要，但不妨考虑这个例子：微软最近发布的安全补丁通过自动更新功能提供给了许多系统，即使目标系统首先需要装有某个版本的服务包。

安装完毕，补丁出现了与核心DLL不兼容，结果导致系统重新启动后出现“停止”出错消息而悬挂起来。但要是人工进行安装，管理员可能会获得相关线索，查出问题的根源。而自动安装的补丁也许在机器重新启动前几天就安装好了，所以管理员不会立即把它与系统出错联系起来。 ( K( ]+ \& h0 o& I; b/ _8 p( g# j
+ k, {+ W8 R8 L9 S6 \  h
如上所述，自动更新系统具有诸多优点。建议在不很关键的机器上安装自动更新功能。至于处理比较关键任务的机器，应该订阅微软的产品安全通知服务，密切关注新出现的补丁，然后根据危胁严重性、适用性等因素安排打补丁时间。
! H8 _# ]2 ]6 ~) e- O3 F
随着威胁日益增加，及时打上补丁变得越来越重要，对服务包来说同样如此。迟迟不给系统打上补丁非常危险。

记住：那些不怀好意的人也订阅NTBugTraq和微软通知服务。对他们来说，这类服务提供了可以尝试攻击的新目标清单。如果你的系统在他们偷窃时早已打上补丁，他们只好改而寻找下一个目标。