Aplicação de Patches em um Ambiente Pequeno

Em departamentos de TI de grandes corporações, a aplicação de patches em sistemas é um processo complexo que envolve um grande número de sistemas de teste que espelham os sistemas de produção, de modo que cada novo patch proveniente dos fornecedores de sistemas operacionais e softwares possa ser testado em um ambiente real para verificar como interage com as combinações de hardware e software disponíveis na organização. Em um mundo ideal, todo departamento teria um processo gerenciado de aplicação de patches que respondesse imediatamente aos patches recém-publicados, testando-os instantaneamente e aplicando-os assim que o patch fosse considerado seguro e aplicável. Mas o mundo não é ideal e, na vida real, temos que nos virar com recursos limitados: físicos, temporais e financeiros.

Os patches geralmente são lançados por alguns motivos principais: segurança, estabilidade, desempenho e, ocasionalmente, para fornecer novos recursos. Exceto pela adição de novos recursos, que normalmente é tratada por meio de um processo de lançamento diferente, os patches representam a correção de um problema conhecido. Não se trata de um cenário de “se não está quebrado, não conserte”, mas sim de um cenário de “está quebrado e ainda não falhou por completo”, que exige atenção – quanto antes, melhor. Adotar uma postura de “esperar para ver” em relação aos patches é imprudente, pois a existência de um novo patch significa que hackers mal-intencionados têm uma “correção” para analisar e, mesmo que um exploit não existisse antes, ele existirá em muito pouco tempo. O próprio lançamento do patch pode ser o gatilho para a necessidade imediata do referido patch.

Esse ecossistema de patches cria a necessidade de uma mentalidade de “aplicar patches rapidamente”. Os patches nunca devem ficar parados; precisam ser aplicados, muitas vezes, assim que são lançados e testados. Esperar para aplicar patches pode significar operar com falhas críticas de segurança ou manter os sistemas desnecessariamente pouco confiáveis.

Pequenos departamentos de TI raramente, ou nunca, dispõem de ambientes de teste, seja para servidores, equipamentos de rede ou mesmo desktops. Não é o ideal, mas, realisticamente, mesmo que esses ambientes estivessem disponíveis, poucos departamentos pequenos contam com o excedente de recursos humanos de TI necessário para executar esses testes em tempo hábil.

Isso não é tão desanimador quanto parece. O teste realizado para a maioria dos patches é redundante em relação ao teste de patches já realizado pelo fornecedor. Os fornecedores não têm como testar cada interação de hardware e software que poderia vir a ocorrer com seus produtos, mas, em geral, testam amplas gamas de permutações e analisam as áreas em que as interações são mais prováveis. É raro um grande fornecedor inutilizar o próprio software com patches defeituosos. Sim, isso acontece, e ter bons backups e planos de reversão é importante, mas, no dia a dia das operações, a aplicação de patches é um processo relativamente seguro que é muito mais importante fazer prontamente do que esperar por oportunidades que podem ou não ocorrer.

Como qualquer alteração de sistema, os patches são mais bem aplicados em doses frequentes e pequenas. Se os patches forem aplicados prontamente, normalmente apenas um ou alguns patches precisarão ser aplicados de uma só vez. Para sistemas operacionais, você ainda poderá ter que lidar com vários patches de uma vez, especialmente se a aplicação for apenas semanal, mas raramente será preciso aplicar dezenas ou centenas de arquivos de uma só vez quando feito dessa maneira. Feito assim, é imensamente mais fácil avaliar os patches quanto a efeitos adversos e revertê-los caso um processo de aplicação corra mal.

O pior cenário para uma pequena empresa que não dispõe de um fluxo de trabalho adequado para testar patches é esperar para aplicá-los. Esperar significa que os sistemas ficam sem os cuidados necessários por longos períodos e, quando os patches finalmente são aplicados, isso ocorre frequentemente em processos de aplicação em massa, em grandes lotes. Aplicar muitos patches de uma só vez aumenta as chances de que algo dê errado e, quando isso ocorre, identificar qual patch (ou quais patches) é o responsável e estabelecer um caminho para a correção pode ser muito mais difícil.

A aplicação tardia de patches é um processo que oferece pouca ou nenhuma vantagem, seja para a TI, seja para a empresa, mas que acarreta risco substancial para a segurança, a estabilidade e o desempenho. As melhores práticas para a aplicação de patches em um ambiente pequeno consistem em permitir que os sistemas se atualizem por conta própria o mais rápido possível ou em programar um processo regular de aplicação de patches, talvez semanal, durante um período em que a empresa esteja mais preparada para a possibilidade de a aplicação falhar e de a correção do patch ter que ser tratada. Quer você opte por aplicar patches automaticamente, quer simplesmente por fazê-lo de forma regular por meio de um processo manual, aplique patches com frequência e prontidão para obter os melhores resultados.