Atualizações do Windows no servidor Web de produção única

Question

Qual é a prática recomendada para instalar atualizações do Windows em um único servidor da Web de produção. O servidor é bastante carregado com cerca de 500 mil visualizações de página por dia e não há máquina de teste para pré-teste de atualizações atualmente.

Eu já vi muitas pessoas recomendando a instalação manual apenas de atualizações críticas.

Qual é a sua prática recomendada de atualização?

• Manualmente ou automaticamente?

• Pré-teste ou não?

• Algumas atualizações ou todas?

• Com que frequência?

• Qualquer fluxo de trabalho importante que eu deva considerar aqui?

Pergunta de bônus

• Alguém teve alguma falha por não pré-testar as atualizações?

  (Eu acho que já sei a resposta para esta)

Obrigado

    

Answer 1

Nesta situação, só instale os patches de segurança críticos e faça-o manualmente.

Revise todos os patches assim que eles saírem e determine o nível de risco para a vulnerabilidade do seu sistema em particular.
Muitos dos patches da Microsoft são bastante irrelevantes, desde que você siga as práticas recomendadas de segurança (por exemplo, desabilitar serviços não utilizados, bloquear portas não usadas, não navegar na Internet enquanto estiver conectado à máquina, etc.)

Isso deixa apenas um número mínimo de vulnerabilidades de execução remota de código que você deve corrigir o mais rápido possível - uma por vez, após fazer o backup de tudo, e estar preparado para testar e reverter o patch se quebrar alguma coisa. p> No entanto, este não é um ótimo lugar para estar, e você deve procurar criar um ambiente adequado para testar patches a médio prazo, de preferência com um segundo servidor de produção para poder corrigir e testar com segurança sem paralisações.

    

Answer 2

O automático está definitivamente fora. Se você não tiver um ambiente de desenvolvimento, a melhor aposta é aguardar atualizações até que você possa pesquisá-las e descobrir se outras pessoas têm problemas, especialmente com service packs e rollups. Eu sempre pré-testei atualizações maiores em minhas caixas de dev primeiro.

Certificar-se de que você tem bons backups é sempre uma boa ideia no caso de uma atualização manejar completamente seu ambiente.

Alguns comentários mencionaram as restaurações do sistema. Pessoalmente, eu não os usaria em um servidor de produção, pois tenho máquinas disponíveis para quebrar primeiro.

    

Answer 3

Se for uma máquina de produção, tenha sempre à mão uma máquina de teste para testar as águas. Você vai, é claro, usá-lo mais tarde, então não há perda. E aparentemente pequeno & Atualizações / patches inocentes são conhecidos causam estragos nas máquinas mais robustas. Sempre invista em uma ferramenta de backup sólida. IMO, Symantec Ghost e Backup Exec são bons. Acronis, AFAIK, é outra boa ferramenta. Então, como este é apenas um servidor, selecione os patches relevantes (muitos dos lançados podem não ser relevantes para sua máquina) e baixe-os para a máquina e instale-os manualmente. Eu sugiro que você pegue as correções classificadas como "críticas" ou superiores como Prioridade, outras correções podem às vezes ser atrasadas (digamos por um mês ou mais) - mas não as ignore completamente.