מה קורה בין הסריקה לבין ההתקנה — שמונה שלבים

השאלה שחוזרת בכל שיחה ראשונה היא "אז מה בדיוק אתם עושים שהסורק לא עושה". התשובה הכי טובה שמצאתי היא לא הגדרה אלא רצף. זה הרצף.

1 · הרשימה נכנסת

הקלט הוא ייצוא מהסורק או מצוות ה‑SOC: שורה לכל צירוף של חולשה ושרת מושפע. אותה CVE מופיעה שלושים פעם, פעם לכל מכונה.

הצורה הזאת נכונה לסריקה ולא נכונה לתכנון. אי אפשר לתזמן חולשה.

2 · קיבוץ לפי התיקון

היחידה שאפשר לתזמן היא התיקון: עדכון מצטבר, גרסה, חבילה. תיקון אחד סוגר בדרך כלל הרבה חולשות על הרבה שרתים בבת אחת.

ההיפוך הזה — משורה לכל חולשה לשורה לכל תיקון — הוא מה שהופך רשימה בת אלפי שורות לכמה עשרות פריטים שאפשר להחזיק בראש. הוא גם משנה את השיחה עם בעל המערכת: במקום "יש לך שבע עשרה חולשות" אומרים "יש עדכון אחד, והוא דורש הפעלה מחדש".

3 · דירוג מול השפעה עסקית

CVSS מודד את החומרה הטכנית של החולשה. הוא לא יודע דבר על המערכת שעליה היא יושבת, וזה בכוונה — הוא ציון של פגיעוּת, לא של סיכון.

הדירוג המעשי צריך לשקלל לפחות ארבעה דברים: החומרה, החשיפה החיצונית של השרת, הקריטיות העסקית של המערכת (BIA), וכמה זמן עבר מאז העדכון האחרון.

הדבר החשוב יותר מהנוסחה הוא שהיא גלויה. ציון סגור אף אחד לא סומך עליו. ציון שמראה את הרכיבים שלו — כל אחד וכמה נקודות הוא תרם — הוא שיחה, וזאת בדיוק השיחה שרוצים לנהל עם בעל מערכת שמתנגד לתאריך.

4 · הצעת חלון

עכשיו אפשר להציע תאריך. מה שנכנס לשיקול:

• תדירות — לכל שרת יש קצב שנגזר מהשכבה שלו. מערכות שפונות החוצה בקצב אחד, מערכות פנימיות בקצב אחר.
• מועד יעד — מתי החלון הבא אמור להיפתח, לפי העדכון האחרון והתדירות.
• תקופות אסורות — הקפאות שינויים, סופי רבעון, ימי עומס ידועים.

5 · אישור הבעלים, בכתב

בעל המערכת מקבל זימון יומן. לא מייל שמבקש לאשר — זימון שיש בו כפתור «אשר».

בפועל צריך שני עותקים של הזימון, ובזה נופלים הרבה מימושים: מארגן פגישה לא יכול לאשר את הפגישה שלו עצמו. אז עותק אחד יוצא בשם המתאם אל הבעלים ואל אנשי הקשר, ועותק שני יוצא אל המתאם בלבד מכתובת המערכת, כדי שגם היומן שלו יתמלא. לשניהם מזהי UID שונים, אחרת הם דורסים זה את זה.

6 · תזכורת לפני שנפתח החלון

ההודעה השימושית ביותר במערכת הזאת היא SMS שנשלח מספר שעות לפני ההשבתה, אל הטלפון של בעל המערכת. לא כדי לבקש אישור נוסף — כדי שאף אחד לא יגלה בבוקר שהמערכת הייתה למטה.

7 · הביצוע מול צ׳קליסט

בשלוש לפנות בוקר, בסוף משמרת, זיכרון הוא לא כלי עבודה. הצ׳קליסט הוא הטופס שהצוות ממלא תוך כדי: הופסק השירות, נלקח גיבוי, הותקן העדכון, אותחל, נבדק, הוחזר לשירות.

כשהצ׳קליסט נסגר, סיכום נשלח לכל מי שנגע — הבעלים, אנשי הקשר, המתאם. זה מה שסוגר את הלולאה בלי שאף אחד יצטרך לזכור לכתוב מייל.

8 · הראיות

בסוף התהליך קיימים, בלי מאמץ נוסף: מי אישר ומתי, מה בוצע ועל ידי מי, מה נכשל ומה נעשה בעקבותיו, ומה מצב העדכונים בכל מערכת. את זה אפשר לייצא ולהגיש.

מה לא נמצא ברצף הזה

Regulaxy לא סורק. הוא לא דוחף עדכונים. הוא לא CMDB. הוא מקבל את הרשימה מהסורק, מוסר את התאריך למי שמתקין, ואחראי על מה שביניהם.

הגבול הזה מכוון. הרוב המכריע של הכלים בקטגוריה מנסים להיות שני הקצוות ומדלגים על האמצע, וזה בדיוק המקום שבו לוחות הזמנים נשברים.