WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU

Transkript

1 ULUSAL ELEKTRONİK VE KRİPTOLOJİ ARAŞTIRMA ENSTİTÜSÜ Doküman Kodu: BGT-1003 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU SÜRÜM Mart 2008 Hazırlayan: Ali Dinçkan P.K. 74, Gebze, Kocaeli, TÜRKİYE Tel: (0262) Faks: (0262)

2 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU ÖNSÖZ ÖNSÖZ Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü (UEKAE)'nün misyonu, "bilgi güvenliği, haberleşme ve ileri elektronik alanlarında Türkiye'nin teknolojik bağımsızlığını sağlamak ve sürdürmek için nitelikli insan gücü ve uluslararası düzeyde kabul görmüş altyapısı ile bilimsel ve teknolojik çözümler üretmek ve uygulamaktır". Bu ana hedef göz önünde bulundurularak belirlenen "bilgi güvenliği, haberleşme ve ileri elektronik alanlarında yeni teknolojilerin geliştirilmesine öncülük eden uluslararası bilim, teknoloji ve üretim merkezi olmak" vizyonuna ulaşılabilmesi ve ülkenin ihtiyacı olan teknolojilerin geliştirilmesi için Enstitü'nün akredite test ortam ve laboratuarlarında temel ve uygulamalı araştırmalar yapılmakta ve ihtiyaç sahiplerine teknik destek sağlanmaktadır. Bu doküman Ulusal Bilgi Sistemleri Güvenlik Projesi kapsamında hazırlanmış olup ihtiyaç sahiplerini bilgi sistemleri güvenliği konusunda bilinçlendirmeyi hedeflemektedir. Tüm kurum ve kuruluşlar bu dokümandan faydalanabilir. Bu dokümanda bahsi geçen belirli ticari marka isimleri kendi özgün sahiplerine aittir. Burada anlatılanlar tamamen tavsiye niteliğinde olup değişik ürünler/yapılandırmalar için farklılık gösterebilir. UEKAE, yapılan uygulamalardan doğabilecek zararlardan sorumlu değildir. Bu doküman UEKAE nin izni olmadan değiştirilemez. 2 TÜBİTAK UEKAE

3 BİLGİLENDİRME WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU BİLGİLENDİRME Bu dokümanın oluşturulmasında emeği geçen Ağ Güvenliği personeline ve dokümanı gözden geçirip fikirlerini öne sürerek dokümanın olgunlaşmasına katkıda bulunan Doğan ESKİYÖRÜK e teşekkürü borç biliriz. TÜBİTAK UEKAE 3

4 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU İÇİNDEKİLER İÇİNDEKİLER 1. GİRİŞ Amaç ve Kapsam Hedeflenen Kitle Kısaltmalar Dokümanda Kullanılan Semboller YAMA YÖNETİMİ Yama Yönetim Altyapısının Oluşturulması Yama Yönetim Süreci Tanımlama Test ve Planlama Yükleme WSUS 3.0 İLE YAMA YÖNETİMİ WSUS Yama Yönetimi Mimarisi Küçük Ölçekli Kurumlar İçin WSUS Mimarisi Orta-Büyük Ölçekli Kurumlar İçin WSUS Mimarisi Internet Bağlantısı Olmayan Ağlar İçin WSUS Mimarisi WSUS Tarafından Kullanılan Güncelleme Sınıfları WSUS Konfigürasyonu WSUS Yönetim Ara Yüzünün Açılması Güncellemelerin Temin Edilmesi İnternet Bağlantısı Olmayan Ağlarda Güncelleme İstemcilerin Yapılandırılması Bilgisayar Gruplarının Yönetimi Güncellemelerin Yönetimi Güncelleme Bilgilerinin Raporlanması TÜBİTAK UEKAE

5 GİRİŞ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU 1. GİRİŞ Yama yönetimi, bilgisayar sistemleri ile ilgili güncellemelerin temin edilmesi, test edilmesi ve kurulması işlerini içeren bir sistem yönetimi faaliyetidir. Bu doküman, yama yönetimini bir süreç olarak oluşturmak ve yönetmek isteyen kurumlar için faydalı bilgiler içermektedir. Doküman kapsamında Microsoft firması tarafından üretilmiş Windows Server Update Services (WSUS) yazılımı ile yama yönetiminin nasıl gerçekleştirildiği konusu işlenmiştir. 1.1 Amaç ve Kapsam Bu doküman, yama yönetimi ve Microsoft WSUS yazılımı ile ilgili bilgiler içermektedir. WSUS yazılımı kullanılarak yama yönetim sürecinin nasıl oluşturulacağına dair bilgiler vermeyi amaçlamaktadır. 1.2 Hedeflenen Kitle Bu doküman yama yönetimi ile ilgili bilgi almak isteyen BT çalışanlarına hitap etmektedir. Ayrıca WSUS yazılımı kullanan veya kullanmayı planlayan kurumlar için kılavuzluk etmek amacı ile hazırlanmıştır. 1.3 Kısaltmalar BT UEKAE WSUS RPC IIS SSL USB : Bilgi Teknolojileri : Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü : Windows Server Update Services Remote Procedure Call Internet Information Services Secure Socet Layer Universal Serial Bus TÜBİTAK UEKAE 5

6 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU GİRİŞ 1.4 Dokümanda Kullanılan Semboller Sembol yabancı terim (yabancı terim) Yapılandırma ismi Vurgu Açıklaması İngilizce başlık veya terimleri belirtmek içindir. Türkçe si verilmiş bir başlık veya terimin İngilizce karşılığı Bir yazılım veya işletim sisteminde bulunan yapılandırmanın ismidir Vurguları belirmek içindir. 6 TÜBİTAK UEKAE

7 YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU 2. YAMA YÖNETİMİ Yama yönetiminin amacı, işletim sistemleri ve uygulama yazılımlarındaki bilinen açıklıklara karşı önlem almaktır. Yazılımların kodlaması sırasında yapılan hatalar veya üretim ortamına aktarılmadan önce yapılan testlerin yetersiz olması nedeni ile yazılımların güncellenme ihtiyacı sıkça karşılaşılan bir durumdur. Az sayıda uygulama ve işletim sistemi olan ortamlarda bu işlemler el ile gerçekleştirilebilmektedir. Yazılımların sayısı arttıkça bu işlemlerin el ile gerçekleştirilmesi büyük bir sorun haline gelmiştir. Yamalar, üretici firmalar tarafından oluşturulmaktadır. Firma tarafından oluşturulan yamalar bazen bir açıklığı kapatmakta bazen yazılıma yeni bir özellik katmakta veya var olan bir özelliği ihtiyaca göre değiştirmektedir. Doğru yamaların temin edilmesi, yamaların mevcut sisteme dağıtımından önce test edilmesi, yamaların ana bilgi işleme ortamına dağıtılması takip edilmesi gereken ayrı iş adımlarıdır. Bu işlemlerin herhangi birinin eksik veya gecikmeli olarak yapılması sistemlerde telafisi güç sonuçlar doğurabilmektedir. Özellikle popüler işletim sistemlerinin ve yazılımların açıklıkları daha kısa sürede bulunmaktadır. Kullanıcı sayısı fazla olan sistemler zararlı kodlar için her zaman ilk hedeflerdendir. Bu tür sistemlerde yeni yamalarının takip edilmesi ve gecikmeden kurulması oluşabilecek bir güvenlik saldırısından korunmak için çok önemlidir. Yama yönetimi BT bölümü içinde takip edilen ve zaman alan bir işlemdir. Bu işlemlerin kurum içinde nasıl gerçekleştirileceği belirlenmelidir. 2.1 Yama Yönetim Altyapısının Oluşturulması Etkin bir yama yönetim altyapısı oluşturabilmek için yapılması gereken ilk iş mevcut donanım, yazılım ve uygulama envanterinin belirlenmesidir. Envanterin belirlenmesi için envanter yönetim yazılımları veya daha önceden hazırlanmış envanter listeleri kullanılabilmektedir. Bu çalışmanın amacı yama yönetimi yapılacak sistemlerin belirlenmesidir. Envanterde bulunmayan bir sistem için yama yönetimi sistematik olarak gerçekleştirilmeyeceğinden yama ile kapatılacak bir açıklığın kapatılmaması söz konusudur. Birçok saldırgan bilinen açıklıklar üzerinden sistemlere sızmaya çalışmaktadır. Bu nedenle kapatılmamış bir açıklık kurum için yüksek öneme sahip bir risk haline gelmektedir. Yama yönetimi uygulanacak envanter belirlendikten sonra hangi bileşenlere nasıl bir teknik kullanarak yama yönetimi yapılacağı belirlenmelidir. Bazı sistemler için yama yönetimi TÜBİTAK UEKAE 7

8 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU YAMA YÖNETİMİ otomatikleştirilebilirken, güvenlik duvarı, ağ cihazları gibi özel bazı sistemler için yama yönetiminin el ile gerçekleştirilmesi söz konusudur. Yama yönetiminin otomatikleştirilmesi için birçok yazılım geliştirilmiştir. Bu yazılımlar ajanlı ve ajansız olmak üzere iki tür yaklaşım kullanmaktadır. Hangi yaklaşımın daha iyi olacağı kurum ortamına bağlı olduğu için her iki yaklaşımı da destekleyen ürünler mevcuttur. Bu tür ürünlerde hangi yaklaşımın kullanılacağı seçilebilmektedir. Her iki yaklaşımda da merkezi bir sucunu bulunmakta ve bu sunucu üzerinde kurulacak yamalar bulunmaktadır. Bu sunucu üzerinde ayrıca bir yönetim ara yüzü bulunmakta ve hangi sisteme hangi yamanın kurulacağı seçilebilmektedir. Çok fazla sayıda bilgisayar bulunan ortamlarda merkezi yama sunucusu sayısı yük paylaşımı amacı ile birden fazla olabilmektedir. Ajan tabanlı yama yönetimi Bu yapıda yama yönetimi işlemlerini gerçekleştiren merkezi bir sunucu bulunmakta ve sunucu üzerinde yönetim yazılımı koşmaktadır. Bu yazılıma ek olarak tüm bileşenlerde yama yönetim ajanı bulunmaktadır. Bu tür yama yönetim altyapısının çalışması genel itibari ile şu şekildedir; Ajan yazılım merkezi sunucu ile haberleşerek yeni yama olup olmadığını öğrenir. Yapılandırmaya bağlı olarak ajan yazılım merkezi sunucuya bağlanarak kendisini ilgilendiren yamalar olup olmadığını öğrenebilir veya merkezi sunucu yeni bir yama sisteme girdiğinde ilgili ajanlarla iletişime geçerek yamaları gönderebilir. Yama yönetim ajanı sistemde yönetici hakkına sahiptir ve bu hakkı kullanarak sistemde hangi yamanın eksik olduğunu tespit eder. Yama durumu ajan yazılım tarafından tespit edilir ve merkezi sunucuya bildirilir. Bu sayede yama işlemlerinden sorumlu yönetici, yama yönetim sisteminde bulunan bilgisayarların yama durumlarını merkezi olarak görebilir. Yama durumlarına ait bilgilerin bir merkezde toplanması sayesinde sistemdeki yama durumuna ait raporlar gerektiğinde hemen üretilebilir. Merkezi yama sunucusunda yapılan yapılandırmaya göre ajan yazılım hangi yamaları kuracağına ve nasıl kuracağına ait bilgileri edinir. Örneğin yeniden başlatma gereksinimi olan bir yama için merkezi olarak Yamayı kur ve sistemi yeniden başlat ayarı yapılmış olabilir. Bu durumda ajan yazılım yamayı alır, kurar ve kendisine bildirilen biçimde sistemi yeniden başlatır. Aynı yama için farklı bir bilgisayar gurubunun bulunduğu ajanlara Yamayı al, kur ve yeniden başlatma için kullanıcıyı uyar şeklinde bir ayar uygulanmış olabilir. Ajan yazılım, yama yöneticisi tarafından belirlenmiş politikayı kullanarak sistemin güncellemesini yapmakla görevlidir. 8 TÜBİTAK UEKAE

9 YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Sisteme üye bileşenler sadece ihtiyacı olan ve kurulması onaylanmış yamaları indirecektir. Bu nedenle ajan tabanlı bir yama yönetim altyapısı kurarak ağ bant genişliğinin aşırı kullanımın önüne geçilebilir. Bu tür bir yapının dezavantajı tüm bileşenlere birer ajan yazılım kurulmasıdır. Kurulan ajanların yönetici hakkıyla çalıştığı ve çalışması sırasında az da olsa hafıza ve işlemci tükettiği unutulmamalıdır. Ajansız yama yönetimi Ajansız yama yönetimi çözümleri çalışma yapısı itibari ile ağ tabanlı açıklık tarayıcılarına benzemektedir. Yama yönetimi yapılacak ağa kurulu bir bilgisayar ağ üzerindeki sistemleri taramakta ve yama eksiklerini tespit etmektedir. Birçok açıklık tarayıcısının aksine yönetici hakkı ile tarama yapmak zorundadır. Bu sayede basit ağ taramasından daha detaylı bilgiler edinebilmektedir. Yama yönetimi yazılımı, görevini yönetici haklarına sahip bir kullanıcı ile gerçekleştirdiğinden gerektiğinde yama kurma işini de yapabilmektedir. Çalışma biçiminin açıklık tarayıcılarına benzemesi nedeni ile yama eksikliklerine ek olarak açıklık tespitinde bulunan ticari yama yönetim yazılımları da bulunmaktadır. Ajansız yama yönetim sistemlerinin en büyük dezavantajı yama eksikliklerini tespit etmek için ağ üzerinden tarama yapmak zorunda olmasıdır. Bu çalışma biçimi hem yüksek miktarda bantgenişliği tüketimine sebep olmaktadır hem de tarama sırasında kapalı olan veya herhangi bir nedenle ulaşılamayan sistemlerin yama eksikliğinin tespit edilememesi ile sonuçlanmaktadır. Bu yapı ile ilgili bir diğer problem kişisel güvenlik duvarlarıdır. Özel olarak izin verilmediği sürece kişisel güvenlik duvarları bu tür taramaları engellemektedir. Tablo 2.1 de ajan tabanlı ve ajansız yama yönetim sistemlerinin karşılaştırması verilmiştir. Ajan Tabanlı Yama Yönetim Avantajları Çok sayıda bileşen içeren ağları çok hızlı tarayabilmektedir. Bilgisayarların taranması sırasında kullanılan bant genişliği çok azdır (ajan yazılım tarama yapar ve merkezi sunucuya sadece sonuç gönderilir.) Ajansız Yama Yönetim Yama yönetim altyapısına katılan tüm bileşenlere yazılım kurma zorunluluğu yoktur. TÜBİTAK UEKAE 9

10 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU YAMA YÖNETİMİ Dezavantajları Yama yönetim altyapısına üye olan tüm bileşenlere ajan yazılım kurma zorunluluğu vardır. Ajan yazılımın çalışıp çalışmadığı sürekli kontrol edilmelidir. Ajan yazılım çalışmadığında ilgili bileşen güncellemeleri alamayacaktır. Ajanlar yönetici hakkına sahip bir kullanıcı ile çalışmak zorundadır. Ajan yazılımda ortaya çıkabilecek bir açıklık sisteme yönetici hakkına sahip bir saldırganın girmesine sebep olabilecektir. Yüksek miktarda bant genişliği tüketir Bazı port ve servislerin çalışmasını zorunlu kılar (RPC,NetBIOS vb) Çok sayıda bileşen içeren ağların taraması uzun sürer. Kişisel güvenlik duvarı kullanan bileşenler için sonuç üretemeyebilir. Yama yönetim altyapısına üye tüm bileşenlerde yönetici hakkına sahip olan bir kullanıcı kullanılmak zorundadır. Tablo 2.1 Ajan tabanlı ve ajansız yama yönetim sistemlerinin karşılaştırılması 2.2 Yama Yönetim Süreci BT altyapısını oluşturan bileşenlerin kurulması sonrasında güvenlik sıkılaştırması yapılmaktadır. Bileşenlerin güvenlik sıkılaştırması sonrasında sürekli olarak belirli bir güvenlik seviyesinde tutulması çok önemlidir. Zaman içinde sistem üzerinde koşan uygulamalarda ve sistem programlarında güvenlik açıkları tespit edilebilir. Bu açıkların mümkün olduğu kadar kısa bir sürede giderilmesi sistem güvenliğinin sağlanması için büyük önem taşımaktadır. Microsoft firması güncellemelerin yönetimi için dört aşamadan oluşan ve sürekli tekrarlanan bir süreç önermektedir. Microsoft tarafından önerilen süreç değerlendirme, tanımlama, test ve planlama ile yükleme aşamalarından oluşmaktadır. Aşağıda yama yönetim sürecinin her bir adımı ve bu adımının WSUS kullanılarak nasıl gerçekleştirildiği anlatılmıştır Bu süreç Şekil 2-1 de görünmektedir. 10 TÜBİTAK UEKAE

11 YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Değerlendirme Tanımlama Yükleme Test ve Planlama Şekil 2-1 Microsoft yama yönetim süreci Değerlendirme Yama yönetim sürecinin ilk adımı olmasına rağmen sürekli gerçekleştirilmesi gereken iş adımlarından oluşmaktadır. Örneğin yöneticinin kaç tane sunucunun ve istemci bilgisayarının güncellenme ihtiyacı olduğunu, depolama ve ağ bant genişliği ihtiyacının ne olduğunu, günün hangi saatlerinin yükleme için uygun olduğunu takip etmesi gereklidir. Yönetici ayrıca hangi işletim sistemlerinin, hangi uygulama yazılımlarının ve bunların hangi dillerinin güncellenmesi gerektiğini tespit etmelidir. Tüm bu işlemler yöneticiye en etkin yama yönetim topolojisine karar verme konusunda yardımcı olacaktır. Microsoft firması yama yönetimi amacı ile kısa ismi WSUS olan Windows Server Update Services yazılımını geliştirmiştir. WSUS yazılımı yama yönetim bileşenleri için farklı alternatifler sunmaktadır. Bunlardan birisi güncellemeleri yerel olarak tutmak veya microsoft update sitesinden indirmektir. Yönetici aynı zamanda eksik güncellemeleri otomatik olarak indirmek üzere ayar yapabilmektedir. WSUS ayrıca etki alanı olan ve olmayan ortamlarda istemci yönetimi için seçenekler sunmaktadır. WSUS yazılımı, yöneticinin istemciler, güncellemeler ve güncellemelerin kurulum durumu ile ilgili sürekli bilgi almasını sağlayan raporlar sunmaktadır. Bu raporlar WSUS yama yönetim altyapısında gerçekleşen her türlü olaya ait detaylı bilgiler içermektedir. Değerlendirme sürecindeki iş adımları aşağıdaki gibi özetlenmektedir; Mevcut varlıkların envanterinin çıkarılması. Yeni yazılım güncelleştirmeleri için kaynakların belirlenmesi Mevcut yazılım dağıtım altyapısının değerlendirilmesi Yama yönetimi etkinliğinin değerlendirilmesi. TÜBİTAK UEKAE 11

12 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU YAMA YÖNETİMİ Tanımlama Yöneticinin tanımlama süreci içerindeki amacı yeni güncellemeleri tespit etmek ve bu güncellemelerin çalışan ortam için uygun olup olmadığına karar vermektir. WSUS yazılımı ile hangi tür güncellemelerin Microsoft Update sitesinden indirileceği seçilebilmektedir. Güncellemelerin indirilmesi sonrasında yönetici güncelleme ihtiyacı olan istemci ve sunucuların listesini görebilmektedir. Tanımlama sürecindeki iş adımları aşağıdaki gibi özetlenmektedir; Yeni güncelleştirmelerin bulunması Güvenilir bir kaynaktan güncelleştirmelerin elde edilmesi Güncelleştirmenin normal veya acil bir değiştirme olduğunun belirlenmesi Test ve Planlama Yöneticinin bu süreçteki amaçlarından birisi güncellemeleri çalışan ortamdan farklı ama çalışan ortama benzer bir ortamda test etmektir. Diğer bir amacı güncelleme sürümlerini planlamak, bunları oluşturmak ve güncellemeleri kabul testinden geçirmektir. Bu süreçteki iş adımları aşağıdaki gibi özetlenmektedir; Güncelleme dağıtımının gerçekten gerekli olup olmadığını belirlenmesi Güncellemenin nasıl çıkarılacağının planlanması ve güncelleme paketinin oluşturulması Güncelleştirmenin üretim ortamına benzer bir test ortamında test edilmesi Yükleme Yöneticinin yükleme sürecindeki görevi güncellemeleri onaylamak ve kurulum takvimini belirleyerek güncelleştirmelerin kurulmasını sağlamaktır. WSUS yöneticilere hangi güncelleştirmelerin hangi gruba yapılacağını seçme imkanı tanımaktadır. Ayrıca WSUS ile güncelleştirmelerin en geç hangi tarihe kadar kurulması gerektiği de belirlenebilmektedir. Bu süreç içindeki iş adımları aşağıdaki gibi özetlenmektedir; Dağıtım için hazırlık yapılması Hedef bilgisayarlara güncelleştirmenin yüklenmesi Dağıtımın ve dağıtım sonrası bilgisayarların durumun kontrol edilmesi 12 TÜBİTAK UEKAE

13 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU 3. WSUS 3.0 İLE YAMA YÖNETİMİ WSUS yazılımı, sistem yöneticilerine Microsoft ürünlerinin en güncel yamalarını dağıtmaları amacı ile geliştirilmiş ajan tabanlı bir yama yönetimi yazılımıdır. WSUS yama yönetim altyapısı Microsoft update, Windows Server Update Services Server ve Automatic Updates olmak üzere üç ana bileşenden oluşmaktadır. Microsoft Update: Microsoft firması tarafından geliştirilmiş ürünlerin yamalarının yayınlandığı adresli web sitesidir. Windows Server Update Services Server: WSUS yama yönetim altyapısının yönetim yazılımıdır. Yazılımın bir yönetici arayüzü vardır ve bu arayüz kullanılarak yama yönetimi ile gerçekleştirilmesi planlanan tüm işlemler gerçekleştirilebilmektedir. Yönetim yazılımı yayınlanmış yamaları başka bir WSUS sunucusundan veya Microsoft update ten indirebilmektedir. Automatic Updates: İstemci bilgisayarların işletim sistemine gömülmüş bir ajan yazılımdır. İstemcinin bir WSUS sunucusundan veya Microsoft Update sitesinden yamaları temin etmesini sağlamaktadır. 3.1 WSUS Yama Yönetimi Mimarisi Kurumdan kuruma BT altyapısı ve kurumun yama yönetimi ihtiyaçları değişmektedir. WSUS, farklı ortamlar için gereken esnekliğe sahip bir yama yönetimi yazılımı olarak öne çıkmaktadır. Aşağıda farklı senaryolar için mimariler verilmiştir Küçük Ölçekli Kurumlar İçin WSUS Mimarisi Küçük ölçekli kurumlar için tavsiye edilen WSUS yama yönetim mimarisi Şekil 3-1 de görünmektedir. Küçük ölçekli kurumlar için tek bir WSUS yama yönetim sunucusu yeterlidir. WSUS sunucusu güvenlik duvarının arkasına ve istemci bilgisayarlar ile aynı ağa konumlandırılmıştır. WSUS sunucusu ihtiyaç duyulan yamaları Microsoft Update web sitesinden edinmektedir. TÜBİTAK UEKAE 13

14 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-1 Küçük ölçekli kurumlar için yama yönetimi tasarımı Orta-Büyük Ölçekli Kurumlar İçin WSUS Mimarisi Orta veya daha büyük ölçekli kurumlarda genellikle Şekil 3-2 veya Şekil 3-3 te verilen mimariler kullanılmaktadır. Bu tür ağlarda birden fazla WSUS sunucu kullanılmaktadır. Her iki mimaride de WSUS sunucuları güvelik duvarının arkasındadır. İlk mimaride birbirinden bağımsız iki WSUS sunucusu bulunmaktadır ve sunucular ayrı ayrı yönetilmektedir. Bu tür bir senaryo farklı birimler tarafından yönetilen birden fazla ağ olduğunda veya iki ağın birbirinden farklı yamalara ihtiyacı olduğunda kullanılmaktadır. Örneğin bir ağ sadece Windows 2000 ve Office 2000, diğer ağ ise sadece Windows XP ve Office 2003 yamalarına ihtiyaç duyuyorsa farklı ağlar için birbirinden bağımsız WSUS sunucular kurmak mümkündür. 14 TÜBİTAK UEKAE

15 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Şekil 3-2 Orta-büyük ölçekli kurumlar için yama yönetimi tasarım Orta-büyük ölçekli kurumlarda yük paylaşımı amacıyla birden fazla WSUS sunucu kurmak mümkündür. Bu tür ortamlarda her WSUS sunucusunun ayrı ayrı internete bağlanıp yamaları indirmesine gerek yoktur. WSUS sunuculardan bir tanesi Microsoft Update sitesine bağlanarak yamaları almakta ve diğer WSUS sunucular yamaları temin eden sunucu üzerinden senkronize olmaktadır (Şekil 3-3). Şekil 3-3 Orta-büyük ölçekli kurumlar için yama yönetimi tasarımı -2 TÜBİTAK UEKAE 15

16 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Birden çok WSUS sunucunun kullanıldığı ortamlarda sunucular merkezi veya dağıtık olarak yönetilebilmektedir. Merkezi yönetimde sunucular birbirinin kopyasıdır (replika) ve yapılan değişiklikler tümünde etkin olur. Onaylar ve hedef bilgisayar grupları aynıdır. Farklı yama yönetimi ihtiyacı olmayan ortamlarda ve tek yöneticinin tüm görevleri merkezi olarak yapması istenen durumlarda kullanılan yönetim türüdür. Merkezi yönetim yapısı Şekil 3-4 te görünmektedir. Bir WSUS sunucu yama bilgilerini Microsoft Update sitesinden indirmekte ve diğer WSUS sunucuları yamaları indiren sunucu üzerinden güncellenmektedir. WSUS sunucuları yamalara ek olarak yapılandırma bilgilerini de aynı sunucudan almaktadır. Microsoft Update WSUS Sunucuları Sunucular Sunucular Yönetici Kullanıcılar Kullanıcılar Sunucular grubu Şekil 3-4 WSUS merkezi yönetim yapısı Diğer yönetim türü olan dağıtık yönetimde ise her sunucu ayrı ayrı yönetilmektedir. Farklı onayların ve hedef bilgisayar gruplarının gerekli olduğu durumlarda kullanılan yönetim biçimidir. Yama bilgilerine ait güncelleme merkezi yönetimdeki gibidir fakat yapılandırma her bir sunucu için ayrı ayrı gerçekleştirilir. Dağıtık yönetim yapısı Şekil 3-5 te görünmektedir. 16 TÜBİTAK UEKAE

17 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Microsoft Update WSUS Sunucuları Merkez Sunucular grubu Yönetici Yönetici Yönetici Şube 2 Kullanıcıları grubu Merkez Kullanıcıları grubu Şube 1 Sunucuları grubu Şube 1 Kullanıcıları grubu Şekil 3-5 WSUS dağıtık yönetim yapısı Internet Bağlantısı Olmayan Ağlar İçin WSUS Mimarisi WSUS ile kurulacak yama yönetim altyapısı daha önce belirtildiği üzere güncellemeleri Microsoft Update web sitesinden almaktadır. Kurum politikası veya diğer bazı kısıtlamalar nedeni ile bazı ağlarda internet erişimi bulunmamaktadır. Güncellemelerin bu tür ortamlarda da gerçekleştirilebilmesi için Şekil 3-6 da resmedilmiş mimari kullanılmaktadır. Bu yapıda internet bağlantısı olmayan ağa bir WSUS sunucusu kurulmaktadır. Bu WSUS sunucunun güncellemesi internete bağlı bir WSUS sunucudan alınacak güncellemeler ile yapılmaktadır. Güncelleme bilgilerinin taşınabilir veri depolama ortamları (Flash bellek, CDROM, DVDROM) kullanılarak internet bağlantısı olmayan WSUS sunucuya taşınması mümkündür. TÜBİTAK UEKAE 17

18 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-6 İnternet bağlantısı olmayan ağlar için yama yönetimi tasarımı 3.2 WSUS Tarafından Kullanılan Güncelleme Sınıfları Bu bölümde Microsoft'un yazılım güncelleştirmelerini açıklamak için kullandığı standart terminoloji verilmektedir [1]. Kritik Güncelleştirmeler (Critical Updates) Kritik güncelleştirme, güvenlikle ilgili olmayan kritik bir hatayı gidermeye yönelik olarak yayımlanan bir düzeltmedir. Geliştirme Setleri (Development kits) Geliştirme seti, uygulama geliştiricilerin yeni programlar yazmasına yardımcı olmak amacıyla tasarlanmış yazılımdır. Geliştirme setleri genel olarak bir görsel oluşturucu, bir düzenleyici ve bir derleyici içerir. Sürücüler (Drivers) Sürücü, yeni bir donanımı desteklemek amacıyla tasarlanmış bir yazılım bileşenidir. 18 TÜBİTAK UEKAE

19 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Özellik Paketleri (Feature packs) Özellik paketi, ilk olarak bir ürün sürümü haricinde dağıtılan ve tipik olarak bir sonraki tam ürün sürümüne dahil edilen yeni ürün işlevleridir. Düzeltmeler (Hotfix) Düzeltme, bir üründeki bir sorunu gidermek için kullanılan bir veya daha fazla dosyayı içeren tek bir birikimli pakettir. Düzeltmeler, özel bir müşteri sorununu gidermeye yöneliktir ve müşteri kuruluşunun dışına dağıtılamaz. Düzeltmeler, Microsoft Ürün Destek Hizmetleri tarafından dağıtılır. Müşteriler, Microsoft'un yazılı yasal izni olmadan düzeltmeleri yeniden dağıtamaz. Güvenlik Güncelleştirmesi (Security updates) Güvenlik güncelleştirmesi, ürüne özgü ve güvenlikle ilgili bir açık nedeniyle yayımlanan bir düzeltmedir. Güvenlik açıkları, tehlike düzeylerine göre derecelendirilir. Tehlike düzeyi, Microsoft güvenlik bülteninde kritik, önemli, orta veya düşük olarak belirtilir. Kritik (Critical): Açıklığın gerçekleştirilmesi, kullanıcı hatası olmadan bir İnternet solucanının (worm) yayılmasına neden olabilir. Önemli (important): Açıklığın gerçekleştirilmesi kullanıcı verilerinin ele geçirilmesine ve kaynaklarının erişilemez hale gelmesine neden olabilir. Orta (Moderate): Açıklığın gerçekleştirilmesi ciddi zarar verebilir fakat, varsayılan yapılandırmalar veya denetimler bunu engeller veya açıklığın gerçekleştirilmesi zordur. Düşük (Low): Açıklığın gerçekleştirilmesi çok zordur veya etkisi çok düşüktür. Hizmet Paketi (Service pack) Hizmet paketi, tüm düzeltmelerin, güvenlik güncelleştirmelerinin, kritik güncelleştirmelerin ve güncelleştirmelerin sınanmış ve birikimli olarak paketlenmiş halidir. Hizmet paketleri ayrıca, ürünün yayınlanmasından sonra iç sınamalarda bulunan sorunlara yönelik düzeltmelerin yanı sıra müşterilerin istediği bazı tasarım değişikliklerini veya özellikleri içerebilir. Güncelleştirme (Update) Güncelleştirme, belirli bir soruna yönelik yayımlanan bir düzeltmedir. Güncelleştirme, kritik olmayan ve güvenlikle ilgili olmayan bir hatayı giderir. Güncelleştirme Toplaması (Update Rollup) TÜBİTAK UEKAE 19

20 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Güncelleştirme toplaması, sınanmış ve birikimli bir dizi düzeltme, güvenlik güncelleştirmesi, kritik güncelleştirme ve güncelleştirmenin kolay dağıtım için paketlenmiş halidir. Toplama genellikle güvenlik gibi özel bir alanı veya Internet Information Services (IIS) gibi bir ürünün bir bileşenini hedefler. Yükseltme (Upgrade) Yükseltme, bir ürünün yüklü sürümünü aynı ürünün daha yeni bir sürümüyle değiştiren bir yazılım paketidir. Yükseltme işlemi, var olan müşteri verilerini ve tercihlerini olduğu gibi bırakarak var olan yazılımı yeni sürümüyle değiştirir. 3.3 WSUS Konfigürasyonu WSUS Yönetim Ara Yüzünün Açılması WSUS yönetim ara yüzünü açmak için sunucuda Start butonuna tıklanır. All Programs kısmından Administrative Tools seçilir. Administrative Tools altında bulunan Microsoft Windows Server Update Services kısayolu seçilerek yönetim ara yüzüne ulaşılır Güncellemelerin Temin Edilmesi Güncellemeleri Microsoft Update sitesinden indirmeden önce hangi güncellemelerin indirileceği tespit edilmelidir. Bu işlem için iş adımları aşağıdaki gibidir; Güncellemelerin indirileceği sunucunun seçimi İndirilecek güncellemelere ait dil seçimi Hangi ürünler ile ilgili güncelleme indirileceği Hangi sınıfa ait güncellemelerin indirileceği Güncelleme sıklığının belirlenmesi Güncellemelerin temini için yapılacak yapılandırma WSUS yönetim aracı ile gerçekleştirilmektedir. Yönetim aracının Options bölümü altında bulunan WSUS Server Configuration Wizard kullanılarak bu işlemlerin nasıl gerçekleştirildiği aşağıda açıklanmaktadır. İlk olarak güncellemelerin indirileceği sunucu seçilmelidir. Sunucu seçiminde iki seçenek vardır. İlki güncellemelerin Microsoft Update sitesinden indirilmesini, diğeri var olan başka bir WSUS sunucudan indirilmesini sağlamaktadır. WSUS sunucunun güncellemeleri başka bir sunucudan indirmesi işaretlendiğinde güncellemelerin indirileceği sunucunun adı ve port 20 TÜBİTAK UEKAE

21 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU numarası verilmelidir. Bu bilgilere ek olarak güncellemenin SSL ile şifreli biçimde gerçekleştirilip gerçekleştirmeyeceği ve sunucunun üst sunucunun (upstream server) eşi olup olmadığına karar verilmelidir. SSL kullanımı ancak her iki tarafta da SSL kullanımı ile ilgili ayarlar yapıldığında işaretlenmelidir. Üst sunucunun kopyası seçeneği merkezi yama yönetim altyapısı kurulmak istendiğinde işaretlenmelidir. Şekil 3-7 Güncellemelerin indirileceği sunucunun seçimi WSUS sunucu ve güncellemelerin indirileceği sunucu arasında doğrudan erişim bulunmuyorsa vekil sunucu ile yamaları indirmek mümkündür. Şekil 3-8 de vekil sunucu ile ilgili ayarlar görünmektedir. Vekil sunucu kullanılmak istendiğinde en az vekil sunucu adı ve port numarası verilmelidir. Eğer vekil sunucuyu kullanmak için bir doğrulama gerekiyorsa Use User Credentials to connect to the Proxy server seçeneği işaretlenmeli ve kullanıcı bilgileri ilgili alanlara girilmelidir. TÜBİTAK UEKAE 21

22 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-8 Güncelleme sunucusuna bağlantı için kullanılacak vekil sunucu ayarları Sunucunun seçimi ve vekil sunucuya ait ayarların gerçekleştirilmesinin ardından güncellemenin indirileceği sunucuya bağlantı test edilmelidir. Şekil 3-9 da görünen Start Connecting butonuna tıklayarak bu testi gerçekleştirmek mümkündür. Testin başarılı olması durumunda Next butonu etkinleşmektedir. Şekil 3-9 Güncelleme sunucusuna bağlantının test edilmesi 22 TÜBİTAK UEKAE

23 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Microsoft tarafından üretilen pek çok yazılım için faklı dil seçenekleri bulunmaktadır. Farklı dillere sahip olan yazılımların güncellemeleri birbirinden farklıdır. Mevcut ortamda kullanılmayan dillere ait güncellemelerin indirilmesinin önüne geçmek için kullanılan diller seçilmelidir. Örneğin sadece İngilizce ve Türkçe yazılımların bulunduğu ortamlarda Turkish ve English kutuları işaretlenmelidir. Bu sayede gereksiz güncellemeler indirilmediği için hem bant genişliği hem disk alanı tasarrufu sağlanacaktır. Şekil İndirilecek güncellemelere ait dil seçimi Dil seçiminde olduğu gibi sadece ortamda kullanılan Microsoft ürünlerin seçilmesi ile bantgenişliği ve disk alanı tasarrufu sağlamak mümkündür. Şekil 3-11 de görüldüğü üzere güncelleme yapılabilecek ürünlere ait bir liste bulunmaktadır. Listeden güncelleme yapılacak ürünler seçilmelidir. TÜBİTAK UEKAE 23

24 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil Hangi ürünler ile ilgili güncelleme indirileceği Bir sonraki yapılandırma, indirilmesi istenen güncelleme sınıflarına aittir. WSUS tarafından kullanılan güncelleme sınıfları bir önceki bölümde verilmiştir. Bu sınıflardan ihtiyaç duyulanlar seçilmelidir. 24 TÜBİTAK UEKAE

25 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Şekil Hangi sınıfa ait güncellemelerin indirileceği Bu noktaya kadar güncellemelerin hangi sunucudan alınacağı, güncellemelerin dili, hangi yazılımlar için güncelleme yapılacağı ve güncelleme sınıflarına ait seçimler yapılmıştır. Son olarak yeni güncelleme olup olmadığının hangi sıklıkla kontrol edileceği ayarlanmalıdır. Yeni güncellemelerin bir an önce edinilmesi için yeni güncelleme olup olmadığı otomatik olarak kontrol edilmeli ve bu işlem en az günde bir defa gerçekleştirilmelidir. Bu işlem için Synchronize automatically seçeneği işaretlenmeli ve Synchronizations per day seçeneği en az bir olmalıdır. Şekil Güncelleme sıklığının belirlenmesi TÜBİTAK UEKAE 25

26 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ İnternet Bağlantısı Olmayan Ağlarda Güncelleme İnternet bağlantısı olmayan ağlarda güncelleme yapabilmek için Microsoft Update sitesine bağlantı kurabilecek ayrı bir WSUS sunucuya ihtiyaç vardır. Bu sunucu üzerinde yapılacak yapılandırma ile İnternete bağlı olmayan ağda kullanılan WSUS sunucusunun yapılandırması aynı olmalıdır. İnternete bağlı sunucudan alınan güncellemeler taşınabilir ortamlar (örneğin USB disk) aracılığı ile internet bağlantısı olmayan WSUS sunucuya taşınmalıdır. İnternete bağlı olan sunucudan indirilen güncellemelerin internete bağlı olmayan WSUS sunucusuna aktarılması için şu işlemler yapılmalıdır. İnternet WSUS sunucusunda gerçekleştirilecek işlemler; 1. İnternet sunumcusu üzerinde Start menüsünden Run seçilir. 2. Gelen kutuya cmd yazılır ve OK seçilir. 3. Açılan Command prompt penceresinde cd \Program Files\Update Services\Tools yazılarak ilgili dizine geçilir. 4. Bu dizinde wsusutil.exe export paket.cab kayıt.log komutu çalıştırılır. Burada paket.cab ve kayıt.log dosyalarının isimleri uygun şekilde değiştirilebilir (örneğin paket_%tarih%.cab ve kayıt_%tarih%.log gibi) (Şekil 3-14). 5. Güncellemelerin bulunduğu WsusContent dizini (örneğin D:\WSUS\WsusContent) ve bir önceki adımda oluşturulan paket.cab dosyası harici bir ortama alınır ve internete bağlı olmayan WSUS sunucusuna aktarılır. Şekil 3-14 Güncellemelerin internete bağlı olmayan WSUS sunucusuna aktarımı 26 TÜBİTAK UEKAE

27 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU İnternete bağlı olmayan WSUS sunucusunda gerçekleştirilecek işlemler; 1. Harici ortamdaki WsusContent dizini WsusContent dizinine (örneğin E:\WSUS\WsusContent) kopyalanır. Kopyalama sırasında var olan dosyalar yenileriyle değiştirilir. 2. Harici ortamdaki paket.cab dosyası C:\Program Files\Update Services\Tools altına kopyalanır. 3. Start menüsünden Run seçilir. 4. Gelen kutuya cmd yazılır ve OK seçilir. 5. Açılan Command prompt penceresinde cd \Program Files\Update Services\Tools yazılarak ilgili dizine geçilir. 6. Burada wsusutil.exe import paket.cab kayıt.log komutu çalıştırılarak güncelleştirmeler veritabanına yazılır. 7. Son olarak WSUS yönetim arayüzü açılarak yeni eklenen güncelleştirmeler yükleme için onaylanır İstemcilerin Yapılandırılması İstemciler aktif dizin kullanılan ortamlarda grup politikaları ile yapılandırılabilmektedir. Aktif dizin kullanılmayan ortamlarda yerel güvenlik politikaları (local security policy) ile veya kütük (registry) değerlerin değiştirilmesi ile istemciler yapılandırılabilmektedir. Grup politikasında yönetim şablonları (administrative templates) altında bulunan Windows bileşenleri kısmı açılır. Bu dizinin altında bulunan Windows Update bölümü istemcilerin otomatik güncelleme ayarlarının yapıldığı yerdir (Şekil 3-15). TÜBİTAK UEKAE 27

28 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-15 İstemciler için grup politikası ayarları Windows Update altında bulunan ayarların açıklamaları aşağıda listelenmiştir. Allow Automatic Update Immediate Installation Otomatik güncelleştirmelerin hemen yüklenmesine izin ver seçeneği Windows servislerini etkilemeyen veya bilgisayarın yeniden başlatılmasını gerektirmeyen güncellemelerin hemen yüklenmesini sağlar. Allow Non-administrators to Receive Update Notifications Oturum açmış ve yönetici olmayan kullanıcıların güncelleme uyarılarını alıp almayacağını belirler. Otomatik güncelleme açık ise çalışır. Automatic Update Detection Frequency Otomatik güncelleştirme algılama sıklığı seçeneği Windows un yeni güncellemeleri sorgulamadan önce ne kadar bekleyeceğini belirler. Tam süre burada belirlenen süreden yüzde 0-20 arası azdır. Bu tüm istemcilerin aynı anda sorgulama yapmasını engeller. Configure Automatic Updates Otomatik güncelleştirmeleri yapılandır seçeneği otomatik güncellemenin nasıl çalışacağını belirler. Mevcut seçenekler şunlardır: 28 TÜBİTAK UEKAE

29 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Notify for download and notify for install: Bu ayarla kullanıcı hem güncelleştirmelerin indirilmesinden hem de kurulmasından önce uyarılır. Auto download and notify for install: Günceleştirmeler otomatik olarak indirilir fakat yüklenmeden önce kullanıcı uyarılır. Auto download and schedule the install: Güncelleştirmeler otomatik olarak indirilir ve belirlenen saatte yüklenir. Allow local admin to choose setting: Yerel yöneticilerin istedikleri ayarı seçmelerini sağlar. Yöneticiler Denetim Masasını kullanarak yukarıdaki seçeneklerden birini seçebilirler. Delay Restart for Scheduled Installations Zamanlanmış yüklemeler için yeniden başlatmayı geciktir seçeneği yeniden başlatma için belirlenen saatten sonra ne kadar bekleneceğini belirler. Do not adjust default option to 'Install Updates and Shut Down' in Shut Down Windows dialog box Varsayılan seçeneği, Windows u kapat iletişim kurusunda Güncelleştirmeleri Yükle ve Kapat seçeneğini görüntüleme ayarı Windows XP SP2 işletim sistemiyle gelen bir seçenektir. Yeni güncellemeler indirildiğinde bilgisayarı kapatırken varsayılan değer olarak Güncellemeleri yükle ve bilgisayarı kapa seçeneği gösterilir. Bu ayar etkinleştirilerek bu engellenebilir. Do not display 'Install Updates and Shut Down' option in Shut Down Windows dialog box Windows u kapat iletişim kutusunda Güncelleştirmeleri Yükle ve Kapat seçeneğini görüntüleme ayarı Windows XP SP2 işletim sistemiyle gelen bir seçenektir. Yeni güncellemeler indirildiğinde bilgisayarı kapatırken varsayılan değer olarak Güncellemeleri yükle ve bilgisayarı kapa seçeneğinin gösterilmesini engeller. Enable client-side targeting İstemci tarafı hedef belirlemeyi etkinleştir seçeneği istemci bilgisayarlarının WSUS sunucudaki bilgisayar gruplarına otomatik olarak dahil edilmesini sağlar. No auto-restart for scheduled Automatic Updates installations TÜBİTAK UEKAE 29

30 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Zamanlanan otomatik güncelleştirme yüklemeleri için otomatik yeniden başlatma yok seçeneği güncelleştirmeler yüklendikten sonra bilgisayarın otomatik olarak yeniden başlatılmasını engeller ve yeniden başlatma işlemi kullanıcı istediği zaman yapılır. Re-prompt for restart with scheduled installations Zamanlanmış yüklemelerde yeniden başlatma için yeniden sor seçeneği bilgisayarın yeniden başlatılması gerektiği uyarısının kullanıcıya tekrar gösterilmesi için kaç dakika beklenmesi gerektiğini belirler. Reschedule Automatic Updates scheduled installations Zamanı belirlenmiş otomatik güncelleştirmeleri yeniden zamanla seçeneği etkinleştirildiğinde istemci belirlenen saatte güncellemeleri yükleyememişse bir sonraki açılışta yükler. Bu ayar bilgisayar açıldıktan kaç dakika sonra yüklemesi gerektiğini gösterir. Specify intranet Microsoft update service location İntranet güncelleştirme hizmet yerini belirt seçeneği ile istemcilere WSUS sunucusunun adresi bildirilir. İstemciler bu adresi kullanarak WSUS sunucusundan güncelleştirmeleri indirir Bilgisayar Gruplarının Yönetimi Bilgisayarlarda yapılan otomatik güncelleştirme ayarlarından sonra bilgisayar WSUS sunucu ile iletişime geçmektedir. WSUS sunucusu ile iletişime geçen bilgisayarlar unassigned computers grubu altında bir kayıt oluşturmaktadır. Bilgisayarları işlevlerine göre veya fiziksek yerlerine göre gruplandırmak ve yamaların dağıtımını grup bazında gerçekleştirmek mümkündür. Yamaların gerçek ortama kurulması öncesinde test ortamında denemesi yapılmalıdır. Test isminde bir bilgisayar grubu oluşturarak yamaların önce bu gruba üye bilgisayarlarda test edilmesi gerçekleştirilebilmektedir. WSUS sunucusunda bilgisayar grubu oluşturmak için öncelikle WSUS yönetim sayfası açılır. Daha sonra sol bölümde bulunan Computers bölümü altındaki All Computers seçilir. Bu anda sağ sütunun Actions bölümünde bulunan All Computers altındaki Add Computer Group seçilir (Şekil 3-18). Gelen pencerede oluşturulacak bilgisayar grubunun adı girilir ve OK seçilir. 30 TÜBİTAK UEKAE

31 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Şekil 3-16 WSUS yönetim sayfasında bilgisayarlar seçeneği Bilgisayarların oluşturulan bilgisayar grubuna taşınması için. Yönetim ekranının sol bölümde bulunan Computers bölümü altındaki All Computers seçilir. Listelenen bilgisayarlar içerisinden taşınmak istenen bilgisayar(lar) seçilir. Daha sonra sağ sütunda Actions bölümünde bulunan Computers altındaki Change membership seçeneği tıklanır. Gelen pencereden bilgisayarın hangi gruba taşınacağı seçilir Güncellemelerin Yönetimi Güncellemelerin yönetimi, güncellemelerin listelenmesi ve onaylanması/reddedilmesi işlemlerinden oluşmaktadır. Veritabanında kaydı olan güncelleştirmelerin görüntülenmesi için WSUS yönetim ara yüzü açılır. Daha sonra sol tarafta bulunan ağaç yapısında sunucunun altındaki Updates bölümü açılır ve All Updates bölümü seçilir (Şekil 3-17). Gelen sayfanın üst tarafında bulunan Approval ve Status seçeneklerinden görüntülenmek istenen güncelleştirmelere uygun değerler seçilerek Refresh butonuna basılır. Approval ve Status seçeneklerinin alabileceği değerler Şekil 3-18 te verilmiştir. TÜBİTAK UEKAE 31

32 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-17 WSUS yönetim sayfasında güncelleştirmeler seçeneği Şekil 3-18 Görüntülenecek güncelleştirmeler için seçenekler Güncelleştirmelerin onaylanması için onayı değiştirilecek güncelleştirmeler listeden seçilir Güncelleştirmelerin üzerine sağ tıklanarak Approve seçilir veya sol taraftaki Actions menüsünde Update altında bulunan Approve seçilir (Şekil 3-19). 32 TÜBİTAK UEKAE

33 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Şekil 3-19 Güncelleştirmelerin seçilip onaylanması Gelen pencerede güncelleştirmelerin hangi bilgisayar grupları için onaylanacağı seçilir. Bilgisayar grubunun yanında çıkan menü açıldığında gelen seçeneklerden Approved for Install yükleme için onayla seçilir (Şekil 3-20). İstenildiğinde Approved for Removal seçilerek kurulu güncelleştirmelerin kaldırılması sağlanabilir. Şekil 3-20 Güncelleştirmelerin yükleme için onaylanması TÜBİTAK UEKAE 33

34 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Son olarak onaylama sürecini gösteren pencere görünür. Tüm işlemler tamamlandığında bu pencere Close düğmesine tıklanarak kapatılır (Şekil 3-21). Şekil 3-21 Onaylama sürecini gösteren pencere Güncelleştirmelerin reddedilmesi için onayı değiştirilecek güncelleştirmeler listeden seçilir. Güncelleştirmelerin üzerine sağ tıklanarak Decline seçilir veya sol taraftaki Actions menüsünde Update altında bulunan Decline seçilir (Şekil 3-22). Gelen uyarı mesajında evet seçeneğine tıklanarak reddetme işlemi onaylanır. 34 TÜBİTAK UEKAE

35 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Şekil 3-22 Güncelleştirmelerin seçilip reddedilmesi 3.4 Güncelleme Bilgilerinin Raporlanması Güncelleştirmelerin durumu ile ilgili rapor üretmek için WSUS yönetim ara yüzünün sol tarafındaki menüden Reports bölümü seçilir (Şekil 3-23 de kırmızı daire içerisinde). Ortada bulunan Update Reports bölümünden istenen rapor tipi seçilir. Burada 3 rapor seçeneği bulunmaktadır. Update Status Summary: Bu raporda her bir güncelleştirme için bir sayfalık özet rapor oluşturulur. Update Detailed Status: Bu raporda her bir güncelleştirme için tüm bilgisayarların durumunu gösteren bir rapor oluşturulur Update Tabular Report: Bu raporda her bir güncelleştirme için bir satır içeren özet rapor oluşturulur. Bu rapor tipi bilgileri başka formatlara aktarmak için uygundur. Rapor türünün seçilmesi sonrasında Run reports seçeneğine tıklanarak rapor oluşturulur. Şekil 3-24 de örnek bir rapor görünmektedir. TÜBİTAK UEKAE 35

36 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU WSUS 3.0 İLE YAMA YÖNETİMİ Şekil 3-23 WSUS yönetim sayfasında raporlar seçeneği Şekil 3-24 Güncelleştirmeler için örnek rapor 36 TÜBİTAK UEKAE

37 WSUS 3.0 İLE YAMA YÖNETİMİ WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU Bilgisayarların güncellenme durumu ile ilgili rapor üretmek için WSUS yönetim ara yüzünün sol tarafındaki menüden Reports bölümü seçilir (Şekil 3-23 de kırmızı daire içerisinde). Ortada bulunan Cumputer Reports bölümünden istenen rapor tipi seçilir. Burada 3 rapor seçeneği bulunmaktadır. Cumputer Status Summary: Bu raporda her bir bilgisayar için bir sayfalık özet rapor oluşturulur. Computer Detailed Status: Bu raporda her bir bilgisayar için tüm bilgisayarların durumunu gösteren bir rapor oluşturulur Computer Tabular Report: Bu raporda her bir bilgisayar için bir satır içeren özet rapor oluşturulur. Bu rapor tipi bilgileri başka formatlara aktarmak için uygundur. Rapor türünün seçilmesi sonrasında Run reports seçeneğine tıklanarak rapor oluşturulur. Şekil 3-25 te örnek bir rapor görünmektedir. Şekil 3-25 Bilgisayarlar için örnek rapor TÜBİTAK UEKAE 37

38 WSUS İLE YAMA YÖNETİMİ GÜVENLİK KILAVUZU KAYNAKÇA KAYNAKÇA [1 ] Microsoft Tarafından Kullanılan Yazılım Güncelleme Terminolojisi, Revizyon 11.3, Şubat 2007 [2 ] Peter Mell, Tiffany Bergeron, David Henning, Creating a Patch and Vulnerability Management Program, National Institute of Standards and Technology (NIST), Kasım 2005 [3 ] Susan Norwood, Microsoft Windows Server Update Services 3.0 Operations Guide, Microsoft, Nisan 2007 [4 ] Susan Norwood, Deploying Microsoft Windows Server Update Services, Microsoft, TÜBİTAK UEKAE