Mélyvíz Software Update Services SUS 1.0 SP1

1. MélyvízSoftware Update ServicesSUS 1.0 SP1 Fischer Péterterméktámogatási tanácsadóMicrosoft Magyarország

2. Napirend • Mi is a SUS • Működési finomságok • Tervezési finomságok • Hibakeresési finomságok

3. Mi is a SUS • Automatikus telepítési rendszer • Biztonsági javítások operációs rendszerhez • W2K SP4 és WinXP SP1 telepítés • MSDE (W2K3-hoz!) biztonsági javítás telepítés • NEM … • telepít fel más javításokat • segít Windows 9X-nél • szabad felügyelet nélkül hagyni • Ellenőrzés • Pl. Microsoft Baseline Security Analyzer • old meg mindent

4. Irány a mélyvíz

5. Működési finomságok • Microsoft • Központilag karbantartott adatbázis (XML) • SUS Kiszolgáló • Katalógus letöltése • Fájlok letöltése a SUS-ra • Jóváhagyás • SUS Kliens • Kliensek letöltik a katalógust • Fájlok letöltése kliensre • Fixek telepítése • Naplózás (minden ponton)

6. Registry a kliensgépen • WUAUSERV szolgáltatás a „tulajdonosa” • HKLM\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update • AUState • 0 - Az Internet kapcsolat utáni legelső 24 órában nem fut (WU) • 1 - Felhasználóra vár, az AU varázsló futtatására (WU) • 2 - Analizálásra várunk • 3 - Letöltésre várunk(Felhasználónak a letöltést el kell fogadni)  • 4 - Letöltés folyamatban • 5 - Településre várunk • 6 - Telepítés kész • 7 - Letiltva (WU)  • 8 - Újraindításra várunk (szükséges az újraindítás, de megszakítottuk). Az újraindításig az AU nem fog csinálni semmit, amikor is ez az érték törlődik.

7. Fixek letöltési technikája (BITS)

8. BITSADMIN.EXE • Windows 2003 Support Tools része (1.5) • Windows 2000-hez és Windows XP-hez is használható • Használata • BITSADMIN /CREATE /DOWNLOAD letolt1 • BITSADMIN /ADDFILE letolt1 http://www.website.hu/file.exe c:\temp\ezlesz.exe • BITSADMIN /RESUME letolt1 • BITSADMIN /COMPLETE letolt1 • Monitorozás • BITSADMIN /MONITOR/ALLUSERS /REFRESH 5 • BITSADMIN /GETERROR letolt1 • BITSADMIN /GETBYTESTRANSFERRED • HEAD utasítást használ (URLSCAN!!!!)

9. Internet Intranet Internet Intranet SUS / Distribution SUS / Distribution Server Server Proxy Sync Sync Sync Sync Windows Update Windows Update Content & Content & Content Content List of List of Firewall Firewall Approved Approved Updates Updates Proxy Client can be directed Client can be directed to auto download and to auto download and Client can be directed to Client can be directed to SUS SUS SUS SUS install updates install updates pull approved updates pull approved updates from Microsoft.com from Microsoft.com HTTP HTTP AutoUpdate clients AutoUpdate clients AutoUpdate clients AutoUpdate clients Win2k & WinXP Win2k & WinXP Win2k & WinXP Win2k & WinXP Site in City A Site in City A Site in City B Site in City B Tervezési finomságok

10. Tervezési finomságok • Ügyfélgépeknél automatikusan telepítsünk • Az ok: Local System nevében fog települni • Kiszolgálóknál kézzel telepítsünk • Az ok: ne induljon újra • Csoportos házirenddel választhatjuk szét

11. Tervezési finomságok • Hordozhatóság (Internettől elzárt helyre) • WLBS farmok • MEGOLDÁS: Disztribúciós szerver • IIS kiszolgáló (akár Windows XP) • CD/DVD adathordozón vihető fájlok • Erről veszi a helyi SUS kiszolgáló a fixeket

12. Hogyan érjünk el azonnali frissülést SUS kiszolgálóval? • Szerveren letöltés kézi szinkronizálás • Kliensen XML letöltése • net stop wuauserv • REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" /v LastWaitTimeout /f • REG ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" /v  AUState /t REG_DWORD /d 2 /f • net start wuauserv • Hatására kb. 5-10 perc múlva elindul a letöltés • Fájlletöltés BITS-szel, nem befolyásolható • Telepítés • Local Admin joggal bejelentkezni • Órát átállítani közvetlenül a programozott idő elé

13. Hibakeresési finomságok • Szerveren vannak gondjaink? • A szerver működésének naplózása növelhető • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\FastDO\LogLevel (REGDWORD). • 0 – nincs naplózás • 1 – csak hibák • 2 – hibák és figyelmeztetések • 3 – minden • Az eseménynaplóba kerül

14. Hibakeresési finomságok • Ha egy kliens „gyanús” • Mintha nem lenne fenn egy patch • Már rég nem jött buborék • AUState –nek mi az értéke? • Ha 6 vagy 8, indítsuk újra a gépet • Ha 5, akkor telepítésre vár • Local Admin vagyunk? Eljött már az „idő”? • Ha 4, letöltés folyik • Monitorozhatjuk BITSADMIN.EXE-vel • Ha 3, a letöltés engedélyezésére vár • Local Admin vagyunk? • Ha 2, akkor alaphelyzetben vagyunk • Nézzük meg a „Windows Update.log” –ot • minden jó, akkor telepítési logot megnézni

15. Hibakeresési finomságok • Összességében együtt kéne látni a logot • IIS logba kerül be • „dummy” wutrack.bin • Egy statisztikai szerver több SUS esetén is • Javasolt feldolgozás: SQL • SQL-be importálni a logot • Sztring manipuláció • Ellenőrzés • Microsoft Baseline Security Analyzer

16. Linkek • Jegyzetek:Patchek kezelési stratégiájahttp://www.microsoft.com/security/whitepapers/patch_management.asp • Biztonsági stratégiák a Microsoft szemszögébőlhttp://www.microsoft.com/security/whitepapers/secure_platform.asp • A patchek mérnöki szemszögbőlhttp://www.microsoft.com/technet/security/topics/patch/STDPATEX.asp • Iránymutatások a patchek kezeléséhez • A legfrissebb Microsoft Guide a biztonsági fixek kezeléséhez • http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/topics/patch/secpatch/Default.asp • Microsoft Solutions for Management (Nagyvállat-központú segédlet és szolgáltatás)http://www.microsoft.com/technet/itsolutions/msm • Patch-kezelés SMS segítségévelhttp://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/msm/swdist/pmsms/pmsmsog.asp

17. Linkek • Patch-kezelés SUS segítségévelhttp://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/msm/swdist/pmsus/pmsusog.asp • Az összes MSM segédlethttp://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/msm/Default.asp • Itt tölthetők le a SUS és SMS alapú rendszerek telepítéséhez, üzemeltetéshez kapcsolódó segédletek:http://www.microsoft.com/downloads/details.aspx?FamilyId=7D8999AF-7E88-416C-8404-56912F886E8D&displaylang=en • A SUS és az SMS viszonya: • Melyik biztonsági menedzsment modellt válasszuk:http://www.microsoft.com/windows2000/windowsupdate/sus/suschoosing.asp

18. Linkek • Patch kezelő szoftverek, eszközök, egyéb források • SMShttp://microsoft.com/smserver/evaluation/overview/featurepacks/default.asp • SUShttp://microsoft.com/windows2000/windowsupdate/sus/default.asp • MBSAhttp://www.microsoft.com/technet/security/tools/Tools/MBSAhome.asp • WUhttp://windowsupdate.microsoft.com • Office Updatehttp://office.microsoft.com/productupdates/default.aspx • Email Notifications for Security BulletinsSzakmabelieknek • http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/notify.aspNem szakmabelieknekhttp://www.microsoft.com/security/security_bulletins/decision.asp • A fontossági kategóriákrólhttp://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/policy/rating.asp • Patch Skill Assessment http://www.microsoft.com/traincert/assessment/ • CNF esettanulmányhttp://www.microsoft.com/resources/casestudies/CaseStudy.asp?CaseStudyID=13580

19. Linkek • BITS jegyzet, programozási segédlet • http://www.microsoft.com/windowsserver2003/techinfo/overview/bits.mspx • http://msdn.microsoft.com/library/default.asp?url=/library/en-us/bits/bits/bitsadmin_examples.asp?frame=true • SUS dokumentáció • http://www.microsoft.com/windows2000/windowsupdate/sus/default.asp • http://www.microsoft.com/windows2000/windowsupdate/sus/susoverview.asp • http://www.microsoft.com/windows2000/windowsupdate/sus/susdeployment.asp

20. Linkek • http://www.microsoft.com/windows2000/windowsupdate/sus/default.asp • http://www.microsoft.com/windows2000/windowsupdate/sus/susoverview.asp • http://www.microsoft.com/windows2000/windowsupdate/sus/susdeployment.asp • http://support.microsoft.com/?id=326596 • http://support.microsoft.com/?id=326693 • http://www.microsoft.com/windows2000/windowsupdate/sus/redir-sp1.asp • http://msdn.microsoft.com/library/default.asp?url=/library/en-us/bits/bits/bitsadmin_examples.asp?frame=true

21. Linkek • http://www.microsoft.com/downloads/details.aspx?FamilyId=A7AA96E4-6E41-4F54-972C-AE66A4E4BF6C&displaylang=en • http://www.microsoft.com/windows2000/downloads/recommended/susclient/default.asp • http://www.microsoft.com/downloads/details.aspx?FamilyId=D26A0AEA-D274-42E6-8025-8C667B4C94E9&displaylang=en

22. DEMO