Patchhantering — varför IT tjatar om uppdateringar, och har rätt

Vi har gått igenom AD, GPO, DNS, DHCP, PKI, NTFS och Virtualisering. Nu är det dags för patchhantering — det tråkigaste ämnet i IT med de allvarligaste konsekvenserna när det missköts.

All mjukvara har buggar. Vissa buggar är irriterande — saker som kraschar eller beter sig konstigt. Andra är säkerhetssårbarheter — fel i koden som en angripare kan utnyttja för att ta sig in i ett system, köra skadlig kod eller stjäla data.

En patch (lapp) är en liten uppdatering av mjukvara som rättar till ett specifikt fel eller en säkerhetsbrist. Tillverkaren hittar problemet, skriver en fix och skickar ut den som en uppdatering. Patchhantering är processen att se till att den uppdateringen faktiskt installeras — på alla enheter, i tid.

Varje känd säkerhetssårbarhet får ett unikt ID-nummer — ett CVE (Common Vulnerabilities and Exposures), t.ex. CVE-2024-12345. Den tilldelas också en CVSS-poäng (0–10) som anger allvarlighetsgraden. En CVSS på 9–10 är kritisk och kräver omedelbar åtgärd. IT-avdelningen prioriterar patches baserat på dessa poäng.

Microsoft släpper sina säkerhetsuppdateringar den andra tisdagen varje månad — känt som Patch Tuesday. Det gör det förutsägbart för IT att planera patchcykler. Andra tillverkare som Adobe, Oracle och Google har egna scheman, men Microsofts rytm sätter ofta takten.

En zero-day-sårbarhet är en brist som är känd (och kanske aktivt utnyttjad av angripare) men som det ännu inte finns någon patch för. Det är det farligaste läget — ingen fix att installera, men hotet är verkligt. Enda försvaret är andra skyddsåtgärder som nätverkssegmentering och övervakning.

Patches rullas aldrig ut direkt till alla produktionssystem. Först testas de i en testmiljö — en kopia av produktionsmiljön — för att verifiera att de inte kraschar affärskritiska system. Sedan rullas de ut i etapper: en pilotgrupp, sedan avdelning för avdelning, sedan resten.

I företag med hundratals datorer hanteras patchar centralt med verktyg som WSUS (Windows Server Update Services), Microsoft Endpoint Configuration Manager (MECM/SCCM) eller Microsoft Intune. IT bestämmer vilka patches som ska ut, när och till vilka grupper — och kan se exakt vilka enheter som är uppdaterade.

Många patches kräver omstart. Omstarter mitt i arbetsdagen är impopulärt. Därför definierar IT underhållsfönster — schemalagda tider (ofta nätter eller helger) då patches installeras och omstarter sker automatiskt utan att störa arbetet.

Att installera en patch på en dator är tekniskt enkelt. Att göra det kontrollerat, säkert och i rätt ordning på tusentals enheter — utan att krascha affärskritiska system, utan att störa produktionen och med full spårbarhet — är en disciplin i sig.

Kompatibilitet är ett klassiskt problem. En patch till Windows kan oavsiktligt bryta ett äldre affärssystem som byggdes för tio år sedan och aldrig uppdaterats. IT måste balansera säkerhet mot stabilitet.

Spridning är ett annat. Med distansarbete, privata enheter och molntjänster är det svårare än någonsin att ha koll på alla enheter som behöver patchas. En laptop som aldrig ansluter till VPN får kanske aldrig sina uppdateringar.

I ett Windows-nätverk med Active Directory används ofta WSUS för att centralt hantera Windows-uppdateringar. IT-avdelningen godkänner vilka uppdateringar som ska installeras, och WSUS distribuerar dem till alla datorer i domänen — enligt de regler och scheman som IT definierat.

För mer avancerade behov — inklusive tredjepartsprogram som Chrome, Adobe Reader och Java — används MECM eller Intune, som ger full kontroll över hela enhetens mjukvarulivscykel, inte bara Windows-uppdateringar.