Installieren von Windows-Sicherheitsupdates auf nicht vernetzten Arbeitsstationen

Question

Ich habe eine Reihe ähnlicher Fragen gesehen, aber alle sind entweder veraltet oder setzen ein Offline-Netzwerk bzw. Offline-Server voraus.

Wir haben eine große Anzahl von Remote-Standorten, von denen die meisten keine eigenen IT-Abteilungen haben. Jeder dieser Standorte verfügt über mindestens zwei und möglicherweise viele Arbeitsstationen, die an keinerlei Netzwerk angeschlossen sind. Auf diesen Arbeitsstationen läuft Windows 10 Enterprise. Nichts davon ist verhandelbar.

Zwei- bis viermal im Jahr bereiten wir ein Update für unsere Anwendung vor. Die Remote-Standorte rufen dieses Update über unser sicheres Webportal ab, laden es auf einen USB-Stick und wenden es auf jeder Arbeitsstation an. Ich möchte dies als Gelegenheit nutzen, auch alle Sicherheits- oder kritischen Updates für Windows seit dem letzten Update zu installieren.

Die beste Option, die ich bisher gesehen habe, ist WSUS Offline, aber es macht inkrementelle Updates nicht einfach und ohne diese Option wird die Downloadgröße irgendwann unverhältnismäßig. Ich habe WSUS oder SCCM nicht verwendet, aber es sieht so aus, als ob sie keine Option zum Erstellen eines Offline-Installationsprogramms haben. Die Zielarbeitsstationen sind stark gesperrt, daher hätte ich in meiner idealen Welt gerne, dass die resultierende(n) ausführbare(n) Datei(en) entweder von Microsoft oder von uns signiert sind.

Gibt es noch andere Optionen, die ich mir ansehen sollte? Wir haben kein Problem damit, für eine Unternehmenslösung zu zahlen, sofern diese verfügbar ist. Im Moment überlege ich ernsthaft, die Quelle von WSUS Offline zu nehmen und sie an meine Bedürfnisse anzupassen, aber ich möchte meine Entwicklungsressourcen nicht binden.

Answer 1

Mit dem neueren Patch-Modell ist alles kumulativ geworden, und deshalb sind sie so groß. Sie sind im Wesentlichen zu einem monatlichen Service Pack pro Produkt geworden. Je nachdem, welche Produkte Sie auf diesen Maschinen geladen haben, benötigen Sie also nur das neueste Update für: (#1) das Betriebssystem und dann die Version von (#2) IE, (#3) .NET Framework und möglicherweise (#4) Office, die installiert ist.

Beispiel: Wenn Sie zweimal jährlich Patches installieren, also beispielsweise im Januar und Juni, müssen Sie die Inhalte der anderen 10 Monate des Jahres nicht anwenden, da der Januar 2018 alles aus dem Jahr 2017 ersetzt und der Juni 2018 den Februar bis Mai 2018 ersetzt.

Answer 2

http://catalog.update.microsoft.com (Stellen Sie sicher, dass Sie das richtige Betriebssystem und x86 oder x64 verwenden.) Geben Sie die KB####### einzeln ein und legen Sie sie in den Warenkorb. Wenn Sie nach einem Ordner gefragt werden, navigieren Sie zu c:\updates

Die Datei Wusa.exe befindet sich im Ordner %windir%\System32. Das eigenständige Windows Update-Installationsprogramm verwendet die Windows Update-Agent-API, um Updatepakete zu installieren.

for /R "C:\Updates\" %i in (*.msu) do wusa "%i" /quiet /norestart

Ich würde vorschlagen, die Patches umzubenennen, indem Sie am Anfang des Dateinamens eine 1, 2, 3 usw. hinzufügen, damit sie in der richtigen Reihenfolge installiert werden. Entweder das oder Sie verwenden einfach eine Reihe von WSU in der Batchdatei.

wusa "package1.msu" /quiet /norestart
wusa "package2.msu" /quiet /norestart
wusa "package3.msu" /quiet /norestart
...

Sie könnten natürlich ein intelligenteres Skript erstellen, das prüft, ob Updates vorhanden sind, und nur die benötigten anwendet.

Das einzige potenzielle Problem besteht darin, dass Updates möglicherweise einen Neustart erfordern. Ihr Skript muss diese Bedingung verarbeiten. Außerdem können Updates möglicherweise nicht installiert werden, was eine genauere Fehlerprüfung erforderlich machen würde.

---

Eine weitere mögliche Antwort ist die vollständige Imageerstellung. Sie können ImageX von Microsoft verwenden, um Windows in eine WIM-Datei zu erfassen. Erstellen Sie dann eine Windows PE-Umgebung mit der WIM-Datei auf dem USB-Stick. Stellen Sie die WIM-Datei bereit, starten Sie neu und fertig.

Der Vorteil hierbei besteht darin, dass Sie wissen, dass alle Patches ordnungsgemäß bereitgestellt wurden. Der Computer verfügt über eine einheitliche Konfiguration.

Wenn der Endbenutzer Dateien speichern muss, würde ich vorschlagen, die Festplatte in C: und D: zu partitionieren und dann alle Benutzerdateien auf D: zu speichern, sodass Sie bei Bedarf ein neues Image des Laufwerks C: erstellen können.

Der größte Nachteil ist die Größe. Selbst wenn Sie das Image gründlich bereinigen, wird es viel größer sein. Vielleicht 16 oder 32 GB, je nachdem, wie groß Ihr Programm ist und wie gründlich Sie die Festplatte von unerwünschten Dateien befreien.

Answer 3

1. Laden Sie das neueste Update-CAB wsusscn2.cabhier herunter:http://go.microsoft.com/fwlink/?linkid=74689
2. Holen Sie sich das PowerShell-Modul zur Verwaltung von Updates, laden Sie die.nupkg https://www.powershellgallery.com/packages/PSWindowsUpdate/2.2.0.2
3. Kopieren Sie diese beiden Dateien auf den USB-Stick, den Sie zum Verschieben Ihrer Updates auf den Computer verwenden.
4. Entpacken Sie es .nupkgin den Ordner „Module“, C:\Program Files\WindowsPowerShell\Modulessodass der endgültige Pfad wie folgt aussieht: C:\Program Files\WindowsPowerShell\Modules\PSWindowsUpdatemit dem Inhalt des NUPKG in diesem Ordner.
5. Importieren Sie das Modul:Import-Module PSWindowsUpdate
6. Fügen Sie die CAB-Datei aus Schritt 1 als Aktualisierungsquelle hinzu: Add-WUOfflineSync -Path C:\wsusscan.cabVerwenden Sie dazu den Pfad, in dem Sie die CAB-Datei abgelegt haben.
7. Holen Sie sich die ServiceIDin Schritt 6 erstellte Option mit: Get-WUServiceManager. Dieser Befehl listet alle Optionen und ihre GUIDs auf. Die gesuchte Option hat den NamenOffline Sync Service
8. Installieren Sie Updates aus dieser neuen Quelle, indem Sie ServiceIDaus Schritt 7 zitieren, wo ich Folgendes eingebe <GUID>:

Install-WindowsUpdate -ServiceID <GUID> -AcceptAll -AutoReboot