Kategorie C: Automatisierung des Software-Releasemanagements

Jeder Einsatz von Software bringt auch deren regelmäßige Aktualisierung mit sich. Schon aus Sicherheitsüberlegungen ist ein zeitnahes Update nach der Veröffentlichung einer neuen Release angeraten. Die nötigen Informationen jedes Softwareherstellers müssen daher strukturiert ins Unternehmen gelangen – unter Vermeidung persönlicher Mailboxen, redundanter Information und nicht zuletzt: Nachvollziehbar dokumentiert.

Die IT-Abteilung der Stadtverwaltung Neuwied ist zuständig für die Software an 500 Arbeitsplätzen. Zusätzlich zu den üblichen Standardprogrammen wird dabei eine hohe Anzahl an Spezialanwendungen betrieben, die nur in der öffentlichen Verwaltung verwendet werden- entsprechend aufwendig gestaltet sich das Release-Management. Es wurde ein Projekt ins Leben gerufen, um diese Themen nachhaltig zu lösen. Als Software für die Überwachung dient das Open Source Monitoringsystem Nagios, zur Dokumentation i-doit.

Das Projekt bestand aus zwei Phasen: In der ersten wurden Nagios-Checks geschrieben, im Rahmen derer der in i-doit dokumentierte Software-Releasestand mit den Informationen auf der Homepage des jeweiligen Softwareherstellers abgeglichen wurde. Bei Abweichungen gibt Nagios eine Warnung aus und mahnt ein zeitnahes Update ein. Aktualisiert der zuständige Administrator anschließend die Software, trägt er die neue Versionsnummer auch in i-doit ein. Das Monitoring meldet im Anschluss: “alles auf dem aktuellen Stand und im grünen Bereich”. Alle durchgeführten Änderungen sind inklusive Zeitstempel in i-doit nachvollziehbar. Allerdings musste der Nagios-Administrator noch jede Software und alle Änderungen selbst administrieren. Daher sollte die Erstellung und Anpassung bestehender Nagios-Checks in einem zweiten Schritt weitgehend automatisiert werden.

In der zweiten Projektphase wurde die Verantwortung für die Erstellung der, je nach Softwaretitel unterschiedlichen, Nagios-Checks dezentralisiert. Der jeweils zuständige Administrator dokumentiert die Homepage des Herstellers und die Methode zur Abfrage der aktuellen Release in i-doit. Die Erstellung des Nagios-Checks erfolgt danach automatisch, auch dieser Schritt ist nachvollziehbar. Ein weiterer Vorteil: Der Nagios-Admin kann sich wieder seinen anderen Aufgaben widmen.

Wir von i-doit meinen: Dieses Beispiel zeigt wie wichtig und für die IT-Sicherheit elementar die IT-Dokumentation ist- und als weiterer Schritt das möglichst weitgehende Automatisieren der IT-Prozesse. Nur dadurch ist gewährleistet, dass Sicherheitskonzepte nicht nur am Papier bestehen bleiben.

Newsletter

You did IT!