derwowusste
Goto Top

Microsoft detailliert Patches und Leistungsschwund

https://www.heise.de/newsticker/meldung/Meltdown-Spectre-unter-Windows-M ...

Auf Servern muss man zum "Aktivieren" des Patches einen Registryeintrag setzen, auf Clients nicht. überlegt euch doch mal, warum wohl face-smile
Interessant ist, dass Microsoft derzeit immer noch benchmarkt und diese weiteren Ergebnisse veröffentlichen will. Es scheint also durchaus sehr komplex zu sein, zu bewerten, was wann wie stark verlangsamt wird.

Content-Key: 360554

Url: https://administrator.de/contentid/360554

Ausgedruckt am: 19.03.2024 um 07:03 Uhr

Mitglied: Meierjo
Meierjo 10.01.2018 aktualisiert um 09:41:49 Uhr
Goto Top
Hallo DWW

Bei unserem Server (SBS2011) wurde der Reg-Eintrag gesetzt.
AV-Lösung Sophos

Weiss allerdings noch nicht, welche Updates dadurch genau installiert werden, und wie sich das auf die Performance des Servers auswirkt??

Gruss
Mitglied: DerWoWusste
DerWoWusste 10.01.2018 aktualisiert um 09:42:35 Uhr
Goto Top
Moin.

Du missverstehst. Der Regeintrag, von dem ich rede, ist der, welcher die Patches aktiviert und muss von dir gesetzt werden. Wovon du sprichst, ist der Regeintrag bezüglich Virenscannerkompatibilität.
Mitglied: beidermachtvongreyscull
beidermachtvongreyscull 10.01.2018 um 09:57:29 Uhr
Goto Top
Moin Kollegen,

ich habe mich entschieden, vorerst keine Updates gegen diese Sicherheitslücken einzuspielen; weder Microcode auf Prozessorebene noch OS-Updates.

Mir kommt es einfach so vor, dass nun jeder Hersteller wie blöde diese Lücken schließen will, koste es was es wolle.
Dabei wird dann eins für mich wieder offensichtlich: Man verleidet einem die angeschaffte Hardware.

Je älter, desto langsamer?

Lieber briefe ich meine Nutzer (wir sind zum Glück nur ein KMU), denn aus meiner Sicht, sind diese Lücken nach wie vor hauptsächlich durch die Schwachstelle, die vor dem Rechner sitzt gefährlich.

Für Server, die ich im INet bereitstellen muss, habe ich meine Lösungen aus Firewalls und Reverse-Proxies und dergleichen.

Ich empfinde es mittlerweile mehr als frustierend, dass man unglaublich viel Geld für Hardware und Lizenzen hinblättert und dann nach wie vor meistens nur Dreck serviert bekommt.

Bitte entschuldigt meinen Ausbruch.
Ich musste mir gerade mal Luft machen.

face-sad
Mitglied: Meierjo
Meierjo 10.01.2018 um 10:08:49 Uhr
Goto Top
Hallo

Was missverstehe ich? Ich rede von diesem Schlüssel, der gesetzt wurde (wahrscheinlich mit einem Update des Viren-Programmes)

Key="HKEY_LOCAL_MACHINE"Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat"  
 Value Name="cadca5fe-87d3-4b96-b7fb-a231484277cc"  
 Type="REG_DWORD”  
Data="0x00000000”  

Von welchem Reg-Eintrag redest du??

Liebe Grüsse
Mitglied: DerWoWusste
DerWoWusste 10.01.2018 um 10:12:31 Uhr
Goto Top
Switch | Registry Settings

To enable the fix

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f  

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f  

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f  

Siehe https://support.microsoft.com/en-us/help/4072698/windows-server-guidance ...
Mitglied: wuurian
wuurian 10.01.2018 aktualisiert um 10:40:24 Uhr
Goto Top
Ich steh grad etwas auf dem Schlauch.
Auf meinem WSUS (2008R2) werden mir(ausgegraut) folgende Updates angezeigt:

2018-01 Security Only Update for .NET Framework 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1 on Windows 7 and Server 2008 R2 for x64 (KB4055269)

2018-01 Security and Quality Rollup for .NET Framework 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1 on Windows 7 and Server 2008 R2 for x64
(KB4055532)

Diese stehen allerdings nicht zur Genehmigung im WSUS, das heißt ich muss jetzt die Keys setzen, um diese Updates zu bekommen, bzw. genehmigen zu können?
Weiterhin wird mir auch das KB4011610(Microsoft Office) ca. 40mal angezeigt, das scheint aber nur ein Anzeigefehler zu sein, da wurde im Forum erst drüber berichtet.

Auf Servern muss man zum "Aktivieren" des Patches einen Registryeintrag setzen, auf Clients nicht.
Dann muss ich anscheinend auf dem WSUS den Key setzen, um die Updates für die Server zu bekommen?
Für die Clients sind aber auch keine Updates verfügbar im WSUS.

Welche Best-Practice ist nun anzuwenden?


Je älter, desto langsamer?

Geräte werden langsamer, da die Entwicklung stufig ist, Software hingegen entwicklet sich linear.

Stimme dir aber vollkommen zu!
Mitglied: DerWoWusste
DerWoWusste 10.01.2018 um 10:43:15 Uhr
Goto Top
Mach eine Frage auf, dies ist ein Infobeitrag.
Mitglied: wuurian
wuurian 10.01.2018 um 10:47:03 Uhr
Goto Top
Seit wann ist es unüblich bei Informationen Fragen zu stellen?
Wenn ich mir so die letzten anschaue..

Aber na gut!
Mitglied: DerWoWusste
DerWoWusste 10.01.2018 um 12:07:25 Uhr
Goto Top
Du kannst zur Info gerne eine Frage stellen. bei der geht es jedoch um Leistungsverluste, und weniger um Probleme bei der Patchverteilung. face-smile
Mitglied: wuurian
wuurian 10.01.2018 um 12:44:57 Uhr
Goto Top
Okay, entschuldige.

Verstehe nur deine Aussage:

Auf Servern muss man zum "Aktivieren" des Patches einen Registryeintrag setzen, auf Clients nicht

nicht ganz, da bei mir nirgends ein Patch ankommt.
Mitglied: DerWoWusste
DerWoWusste 10.01.2018 aktualisiert um 13:16:38 Uhr
Goto Top
Hab dir in deinem Thread geantwortet.
Wenn der Server selbst nichts detektiert, ist eine Sache, wenn der WSUS sie schon nicht sieht, eine andere und hat das damit nichts zu tun, dann ist das ein Problem der Synchronisation mit Microsoft - vermutlich.
Mitglied: Windows10Gegner
Windows10Gegner 10.01.2018 um 22:23:38 Uhr
Goto Top
Die Homeuser sind halt immer noch im Betastadium. Auf Servern werden Updates oft automatisch installiert (kann man das bei Server 2016 abstellen?) und dann kann sich MS keine Fehler leisten.
Mitglied: sabines
sabines 11.01.2018 um 08:47:36 Uhr
Goto Top
Zitat von @Windows10Gegner:

Auf Servern werden Updates oft automatisch installiert

Sorry, aber sowas macht kein vernünftiger Admin.
Mitglied: Windows10Gegner
Windows10Gegner 11.01.2018 um 08:50:22 Uhr
Goto Top
Manche leider schon, da die Updates ja Sicherheitslücken schließen sollen. Ich wart mit Patches immer einen halben Tag.
Mitglied: departure69
departure69 11.01.2018 um 09:08:32 Uhr
Goto Top
Zitat von @sabines:

Zitat von @Windows10Gegner:

Auf Servern werden Updates oft automatisch installiert

Sorry, aber sowas macht kein vernünftiger Admin.


Bis ich letzten Herbst mit den unsäglichen Delta-Updates für Server W2K16 so auf die Fresse gefallen bin, hab' ich das auch so gemacht, 15 Jahre lang weitestgehend ohne Probleme, doch seitdem automatischer Download (vom WSUS) Ja, doch Auslösen muß ich die Inst. dann von Hand.


Viele Grüße

von

departure69
Mitglied: Windows10Gegner
Windows10Gegner 11.01.2018 um 09:12:36 Uhr
Goto Top
Mache ich bei meinem Linux-Server auch. Downlaod und suche immer automatisch. Dann wird man ja beim Login noch benachrichtigt.
Mitglied: Penny.Cilin
Penny.Cilin 11.01.2018 um 11:14:34 Uhr
Goto Top
Zitat von @departure69:

Zitat von @sabines:

Zitat von @Windows10Gegner:

Auf Servern werden Updates oft automatisch installiert

Sorry, aber sowas macht kein vernünftiger Admin.


Bis ich letzten Herbst mit den unsäglichen Delta-Updates für Server W2K16 so auf die Fresse gefallen bin, hab' ich das auch so gemacht, 15 Jahre lang weitestgehend ohne Probleme, doch seitdem automatischer Download (vom WSUS) Ja, doch Auslösen muß ich die Inst. dann von Hand.
Jaein. - Es kommt zunächst mal auf die Größe der Umgebung und Unternehmens an. In einer kleineren Umgebung bei Handwerkern, kann man es so machen. - Muss man aber nicht.

Sinnvoller ist es, diese zwar automatisch herunterladen zu lassen, aber die Installation manuell zu machen. Und vor allen Dingen vorher eine Datensicherung (Backup), VOR dem Update. Dann kann man gefahrlos auf den vorherigen Stand zurückgehen.

Gerade im Hinblick auf große Umgebungen gibt dazu die Testserver, welche man aktualisiert, bevor man die produktiven Server aktualisiert. ich denke mal an Energieversorger, welche zum Teil 1.500 bis 2.000 oder gar mehr Anwendungsserver getreiben.

Viele Grüße
von
departure69

Gruss Penny
Mitglied: VGem-e
VGem-e 12.01.2018 um 09:11:27 Uhr
Goto Top
Moin,

automatischer Download auf Servern ja klar.

Aber bitte keine automatische Installation, so zumindest meine Vorgehensweise.

Der nachfolgende Neustart nach dem Patchday dauert halt bei mehreren Servern etwas und würde nur meine Kollegen verärgern.
Wie schon hingewiesen, sind ja MS-Patches grundsätzlich fehlerfrei (Vorsicht, Ironie) und ich kann so evtl. problematische Patches sperren.

Gruß
VGem-e
Mitglied: Deepsys
Deepsys 12.01.2018 um 11:40:49 Uhr
Goto Top
Danke für den Hinweis zum Aktivieren der Patche auf dem Server, das ist bei uns untergegangen face-sad

Ich frage mich wieviele wohl die Updates einspielen, das nicht sehen und denken alles ist gut ....