Patch Tuesday: que esperar este septiembre

Estamos a solo unos minutos del martes de parches de septiembre, por lo que aquí hay algunos consejos a tener en cuenta, que lo ayudarán a minimizar el impacto y ajustar su proceso, y nuestro pronóstico sobre lo que creemos que debe esperar este mes.
En el horizonte
Basado en el gran volumen de preguntas que he tenido sobre esto, voy a arriesgarme y decir que los cambios de servicio que Microsoft planea implementar en octubre son un tema candente en este momento. El anuncio de Microsoft de trasladar todos los sistemas operativos anteriores a Windows 10 al mismo modelo de actualización en paquete ha despertado la preocupación de sus clientes.. Comenzaré con la misma recomendación que les he dado a todos hasta ahora: sigan respirando. Pero también conozca los hechos. Microsoft tendrá un paquete de seguridad que se lanzará cada mes que incluye actualizaciones para IE y el sistema operativo. También habrá una opción de paquete acumulativo que incluirá correcciones no relacionadas con la seguridad y cambios de funciones. El paquete de seguridad será el camino a seguir para la mayoría de las organizaciones.
Las consecuencias de este evento serán una necesidad más pronunciada de pruebas de compatibilidad de aplicaciones. Si recuerdas El martes de parches de enero, la actualización acumulativa de Windows 10 hizo que el cliente VDA de Citrix se rompiera. Este es exactamente el tipo de escenario que preocupa a las empresas con las que he hablado. Afortunadamente, Citrix trabajó con Microsoft y actuó rápidamente para resolver la incompatibilidad de VDA que causó la actualización acumulativa. Microsoft actualizó su versión para detectar si se instaló VDA y, si lo estaba, la actualización acumulativa no se instaló. Este proceso dejó a sus clientes expuestos a muchas vulnerabilidades en la versión de enero, pero Citrix cambió una solución en poco tiempo y juntos redujeron el riesgo para sus clientes comunes a solo una semana de no poder impulsar las actualizaciones de enero.
Pero se trataba de dos gigantes del software trabajando juntos; los problemas serán más pronunciados con productos menos comunes o productos verticales específicos, como dispositivos de atención médica o sistemas de fabricación que se ejecutan en sistemas Windows. Las aplicaciones locales y las aplicaciones desarrolladas por proveedores que ya no están en el negocio pueden ser una preocupación menor en Windows 10, pero en sistemas más antiguos son mucho más comunes. ¡Lo que nos lleva a nuestro consejo del mes!
Consejo del mes para la gestión de parches
La compatibilidad de aplicaciones es el mayor obstáculo para remediar eficazmente las vulnerabilidades del software. La mayoría de las empresas con las que hablamos tienen una lista de excepciones de actualizaciones que entraron en conflicto con aplicaciones críticas para el negocio. Esta ha sido una preocupación creciente para las empresas a medida que evalúan Windows 10, y ahora se convertirá en una preocupación para sus sistemas existentes a partir de octubre. La inminente incapacidad para elegir qué actualizaciones aplicar a sus sistemas preocupa a muchas empresas. La realidad es que tendremos menos opciones en el futuro, entonces, ¿qué hacemos?
Grupos piloto
Un consejo que siempre enfatizo al asesorar a nuestros clientes es tener un grupo piloto involucrado. Muchas empresas tienen un pequeño conjunto de sistemas de prueba para los activos más críticos, pero esto no garantiza realmente que detecte rápidamente los problemas de compatibilidad de aplicaciones. Lo que necesita es asegurarse de tener una selección de usuarios avanzados en su grupo piloto para ayudarlo a solucionar problemas rápidamente. Estos usuarios avanzados podrán brindarle mejores comentarios y son lo suficientemente expertos en tecnología como para ayudarlo a resolver los problemas a medida que los descubre.
Golpear a algunos usuarios avanzados que se mantendrán alerta y trabajarán con TI para resolver problemas rápidamente ayuda a reducir el impacto en la fuerza laboral en general. Es posible que alguien de TI pueda verificar que el inicio de sesión funcione y que se carguen algunas interfaces básicas, pero los usuarios avanzados entrarán en el producto y encontrarán las cosas menos obvias, como actualizar las funciones de impresión defectuosas o enviar un trabajo o formulario. La mayoría de los gerentes comerciales aceptan rápidamente este arreglo cuando se lo presenta como una asociación en la que trabajará con uno o dos de los mejores para mantener a la mayoría libre de impacto.
Su pronóstico de la semana de parches
Agosto fue nuestro martes de parches de Microsoft más ligero este año atado con enero con un total de 9 boletines de Microsoft; el promedio de este año ha estado más cerca de 13 boletines cada mes. Espero que este mes esté más cerca del promedio, si no un poco por encima. A partir de octubre, este promedio parecerá caer significativamente a medida que los boletines se convertirán en paquetes, reduciendo el número promedio de actualizaciones de Microsoft a alrededor de cuatro o cinco cada mes. En ese momento, ver las vulnerabilidades resueltas será un indicador más preciso de cuán significativas fueron las actualizaciones del mes.
En el frente que no es de Microsoft, esperaría una actualización de Adobe Flash, ya que no hemos visto una actualización de Flash Player desde julio, que es casi una eternidad en términos de Flash Player. Además, tenga en cuenta que Adobe ha actualizado el inminente final de la distribución abierta de Flash mensaje en la página de descarga de distribución. A finales de septiembre es el nuevo límite en el que deberá tener un ID de Adobe e iniciar sesión en el sitio de Adobe para obtener acceso a las actualizaciones de Flash si necesita distribuirlas internamente. Veremos si este es realmente el indicado.
Google Chrome acaba de lanzarse este miércoles, así que planee incluir eso y algunos otros terceros recientes como Wireshark en su programa de parches este mes.
Y como siempre, esté atento a nuestra infografía y actualización de Patch Tuesday el próximo martes y vea un análisis más profundo de Patch Tuesday en nuestro seminario web mensual de Patch Tuesday el próximo miércoles. Los registros y la información se pueden encontrar en nuestro Parche de la página del martes.

Chris Goettl, director de productos del programa en Shavlik