Flujo de trabajo de administración completo de gestión de parches y detección de amenazas de ManageEngine
Una consola le muestra todos los agujeros de cada PC, y una implementación automática descuidada puede arruinar toda la oficina a la hora del almuerzo. Este es el flujo de trabajo de administración completo en el orden correcto: encontrar amenazas, juzgarlas honestamente, probar parches, implementar en anillos y luego demostrar que funcionó.
By Technical AnshuManageEngine Endpoint CentralFor IT Admins
Mire el vídeo completo: detección y aplicación de parches de amenazas de ManageEngine, mostrado en vivo en la consola
ManageEngine Endpoint Central tiene dos mitades que solo funcionan juntas. El lado de las amenazas escanea sus máquinas y enumera las vulnerabilidades, los parches faltantes, los días cero y el software riesgoso. La parte de parches descarga, prueba, aprueba e implementa las correcciones. Los administradores que sólo escanean se ahogan en listas rojas; Los administradores que solo realizan implementaciones automáticas rompen cosas. El flujo de trabajo a continuación utiliza el módulo Amenazas y parches en el orden en que lo ejecutan los equipos de TI reales, y el video de arriba muestra la consola en vivo.
Endpoint Central — Threats and Patches Dashboard (example values)
Managed systems262
Healthy systems212
Vulnerable systems41
Highly vulnerable systems9
Missing patches1,284
Zero-day vulnerabilities found2
Figuras de panel de ejemplo para ilustración. Su consola mostrará los números reales de su propia flota después del primer escaneo completo.
1
Paso 1: Escanee todo, según un cronograma, no una sola vez
Nada en este flujo de trabajo significa nada hasta que los datos estén actualizados. La base de datos de vulnerabilidades y los análisis del agente alimentan todas las pantallas siguientes.
Abra Amenazas y parches y deje que la base de datos de vulnerabilidades se sincronice; existe una sincronización bajo demanda, pero programe la sincronización regular para que aparezcan nuevos CVE sin que usted lo recuerde.
Confirmar que los agentes de todos los sistemas administrados hayan completado un análisis; una máquina que no ha informado en días es un punto ciego, no una máquina sana
Consulte la vista Sistemas para ver las entradas de Atención requerida: aquí es donde aparecen por primera vez las máquinas de día cero y altamente vulnerables.
Establezca sus umbrales de Política de salud del sistema ahora (cuántos parches faltantes hacen que un sistema sea vulnerable o altamente vulnerable) para que los colores signifiquen lo mismo cada semana
Realice análisis al menos semanalmente. El escaneo diario de los servidores conectados a Internet es lo que esperan los marcos maduros: adaptar el ritmo al riesgo, no a la conveniencia.
2
Paso 2: Lea las amenazas por riesgo real, no por recuento bruto
Una lista de 1.284 parches faltantes no son 1.284 emergencias. Endpoint Central ya clasifica las vulnerabilidades según las señales importantes: puntuación CVSS, impacto CVE, divulgación de exploits, antigüedad y si existe un parche.
Filtre primero las vulnerabilidades con un exploit conocido: estos son los que los atacantes utilizan hoy en día.
A continuación, las puntuaciones CVSS críticas en las máquinas que los usuarios realmente tocan, especialmente en cualquier cosa que tenga acceso a Internet.
Utilice la vista Vulnerabilidades de día cero por separado: si existe una solución, salta la cola; De lo contrario, ManageEngine ofrece scripts de mitigación probados.
Tenga en cuenta también los hallazgos sobre el software de alto riesgo: el software sin soporte y al final de su vida útil es una amenaza que ningún parche solucionará jamás.
La regla honesta: una vulnerabilidad explotada en una máquina real supera a cincuenta vulnerabilidades teóricas. Priorice como un atacante, no como una hoja de cálculo.
3
Paso 3: Pruebe y apruebe antes de implementar cualquier cosa
De forma predeterminada, los parches se pueden aprobar automáticamente sin realizar pruebas. Para cualquier oficina donde una PC averiada cueste dinero, cambie eso. La función Probar y aprobar existe exactamente para esto.
Vaya a Amenazas y parches → Implementación → Probar y aprobar y cambie la aprobación a Probar y aprobar.
Cree un grupo de prueba de algunas máquinas que reflejen su flota real, incluida la PC más antigua y la que ejecuta el malhumorado software de oficina.
Deje que los parches se instalen primero en el grupo de prueba; aprobar manualmente después de verificar o aprobar automáticamente después de una cantidad determinada de días limpios
Utilice Rechazar en cualquier parche que no supere las pruebas: los parches rechazados permanecen fuera de las implementaciones en lugar de fallar todos los meses.
Nota: la configuración de aprobación es global para la consola. No puede ejecutar prueba y aprobación para una oficina y completamente automático para otra en la misma configuración; planifique sus grupos con eso en mente.
4
Paso 4: Automatizar la implementación en anillos, con reglas de reinicio
Una vez aprobados los parches probados, Automatizar la implementación de parches (APD) hace el trabajo pesado: escanear, descargar, implementar, generar informes, según su cronograma, no la paciencia de los usuarios.
Cree tareas de APD en Amenazas y parches → Implementación → Automatizar la implementación de parches: las tareas separadas para parches de seguridad, aplicaciones de terceros y definiciones de antivirus mantienen las fallas fáciles de leer.
Implementación en anillos: TI y máquinas de prueba primero, luego un departamento y todos los demás al final; un fin de semana de diferencia es un seguro barato
Establezca la política de implementación: instale fuera del horario de oficina, permita que los usuarios pospongan un reinicio un número limitado de veces y luego aplíquelo; un parche no reiniciado suele ser un parche no aplicado
Active las notificaciones por correo electrónico para el estado de las tareas, de modo que los errores le lleguen antes de que lo hagan los usuarios.
Incluir aplicaciones de terceros en la automatización. Los navegadores, los lectores de PDF y las aplicaciones para reuniones son los lugares donde aterrizan la mayoría de los exploits del mundo real.
5
Paso 5: verificar, volver a escanear e informar la verdad
El despliegue es un reclamo; el nuevo escaneo es la prueba. Cierra el ciclo en cada ciclo o tu tablero lentamente se convertirá en ficción.
Después de cada ventana de implementación, verifique el estado de la tarea y persiga las fallas individualmente: las mismas cinco máquinas que fallan cada mes son un hallazgo, no mala suerte.
Vuelva a escanear y observe el recuento de altamente vulnerables: ese único número con tendencia a la baja es su informe de progreso real.
Revise los Incidentes marcados por los motores de detección y márquelos honestamente como Verdadero Positivo o Falso Positivo: marcar cosas como falsas para acortar la lista solo entrena al sistema para que no detecte amenazas reales.
Exporte o programe el resumen de cumplimiento mientras los números estén actualizados
Guarde los informes. Cuando algo sale mal, el historial de parches es lo primero que solicitará la administración (y a veces un auditor).
Límite honesto: una flota completamente parcheada es una flota más segura, no una flota segura. Parchar cierra agujeros conocidos; no soluciona contraseñas débiles, phishing ni usuarios que ejecutan instaladores desconocidos. Además, las pantallas exactas y las funciones de amenazas incluidas dependen de su edición y complementos de Endpoint Central; verifique su licencia si falta un menú en esta guía.
Mira el proceso completo en el vídeo
Detección de amenazas, escaneo de vulnerabilidades e implementación de parches en ManageEngine: cada paso se muestra en vivo en el video vinculado a continuación.
¿Se incluye la gestión de vulnerabilidades en todas las ediciones de Endpoint Central?
No. La administración de parches es fundamental, pero las características más profundas de amenazas y vulnerabilidades se encuentran en las ediciones y complementos centrados en la seguridad. Verifique su licencia en la consola; si faltan las vistas de Amenazas, es una cuestión de edición, no un error de configuración.
¿Con qué frecuencia debo escanear y parchear?
Escanee al menos semanalmente y ejecute el ciclo principal de parches mensualmente alrededor del martes de parches, con las máquinas piloto primero. Las vulnerabilidades críticas con un exploit conocido no deben esperar al ciclo mensual; impleméntelas tan pronto como se prueben.
¿Puedo automatizar completamente la aplicación de parches y olvidarme de ellos?
Puede automatizar la mecánica (escanear, descargar, implementar, informar) y debería hacerlo. Pero alguien todavía tiene que leer las fallas, aprobar las actualizaciones de funciones por separado y manejar los parches que rompen las cosas. La automatización elimina el trabajo, no el juicio.
Esta guía se basa en el vídeo de detección y parcheo de amenazas de ManageEngine realizado por Technical Anshu • ¿Atascado en un paso? Pregunte en los comentarios del vídeo: las respuestas se encuentran allí.