Ｗｉｎｄｏｗｓ平臺下補丁管理系統(tǒng)的設(shè)計與實現(xiàn)

摘要：計算機系統(tǒng)的補丁管理已經(jīng)成為計算機系統(tǒng)安全的一個重要組成部分。在現(xiàn)有技術(shù)下，如何完整、規(guī)范地為需要嚴(yán)格與Internet隔離的內(nèi)聯(lián)網(wǎng)計算機用戶分發(fā)和安裝補丁是一個較為突出的問題。文章在微軟免費的WSUS(Windows Server Update Services)服務(wù)基礎(chǔ)上，開發(fā)出一套基于Windows平臺的內(nèi)聯(lián)網(wǎng)補丁管理系統(tǒng)，彌補了WSUS系統(tǒng)的不足，提出了一種解決該問題的方案，并已經(jīng)在中國人民銀行浙江省范圍內(nèi)的分支機構(gòu)中使用，具有很好的效果。

關(guān)鍵詞：補丁管理；WSUS；計算機安全；系統(tǒng)漏洞

0 引言

目前，保護計算機安全的方法有很多，但是，最重要的還是及時為操作系統(tǒng)安裝系統(tǒng)補丁，否則抵御病毒、防范黑客無從談起。然而，對于中國人民銀行內(nèi)網(wǎng)、公安部內(nèi)網(wǎng)、大學(xué)內(nèi)網(wǎng)等安全要求很高、需要嚴(yán)格和Internet隔離的計算機用戶，及時安裝系統(tǒng)補丁就顯得十分不便。雖然Landesk、VRV等國內(nèi)外軟件可以完成內(nèi)聯(lián)網(wǎng)發(fā)布補丁的功能，但都價格昂貴。微軟的WSUS為計算機用戶提供了補丁分發(fā)的服務(wù)，但是，WSUS提供的管理功能十分薄弱，給系統(tǒng)管理帶來一些不便。我們在WSUS和MBSA(Microsoft Baseline Security Analyzer)的基礎(chǔ)上，設(shè)計開發(fā)了與之配套的Windows平臺補丁管理系統(tǒng)，彌補了WSUS管理功能的不足，為內(nèi)聯(lián)網(wǎng)補丁分發(fā)提供了一個經(jīng)濟、實用、高效的解決方案。該方案目前已在中國人民銀行浙江省范圍內(nèi)分支機構(gòu)實施，收到了良好的效果。

1 WSUS可以解決的問題

WSUS是一個免費的軟件，可以在微軟網(wǎng)站上下載，適用于Windows 2000和Windows Server 2003服務(wù)器以及運行Windows 2000 Professional和Windows XP Professional的桌面計算機。WSUS能夠自動地在局域網(wǎng)內(nèi)分發(fā)使計算機得到最新的重要更新、安全更新和服務(wù)包。微軟推薦的WSUS的網(wǎng)絡(luò)

借助預(yù)先配置的同步計劃，WSUS父服務(wù)器可以每天從公共的微軟補丁服務(wù)器下載關(guān)鍵更新和安全更新，新獲得的更新必須由WSUS管理員批準(zhǔn)才能夠發(fā)布。WSUS子服務(wù)器將被配置為每天與父服務(wù)器自動同步，同步完成后，WSUS父服務(wù)器上的所有已批準(zhǔn)的更新都將鏡像到WSUS子服務(wù)器上，并且立即可用于WSUS客戶端。WSUS客戶端會每隔一段時間自動向WSUS服務(wù)器查詢是否有更新，如果有補丁更新，則按照預(yù)先設(shè)定的規(guī)則進行安裝，WSUS客戶端會在任務(wù)欄圖標(biāo)顯示獲取有關(guān)更新的通知，安裝可以根據(jù)指定的時間表白動開始，也可以由本地管理員執(zhí)行。WSUS軟件以相當(dāng)簡便的方法完成了補丁分發(fā)的功能，但是，由于管理功能的薄弱，也給管理上帶來了一些不便。

2 WSUS的不足和我們的補充

經(jīng)過我們總結(jié)，WSUS服務(wù)的不足之處主要存在于以下三個方面：

(1)WSUS父服務(wù)器需要和Internet連接，以便和微軟補丁服務(wù)器同步，這在一定程度上是和Internet物理相連，存在一定隱患。

(2)WSUS服務(wù)器提供的WSUS客戶端安裝補丁的統(tǒng)計功能較簡單。

(3)獲得系統(tǒng)補丁的等待周期較長。有新補丁存在的時候，WSUS客戶端需要最長22小時才能獲得相應(yīng)的補丁。

經(jīng)過深入分析每一個不足之處，我們首先將WSUS服務(wù)的拓撲結(jié)構(gòu)改造成圖2所示結(jié)構(gòu)。

WSUS父服務(wù)器在需要和Internet上的微軟補丁服務(wù)器同步的時候，斷開與內(nèi)聯(lián)網(wǎng)的連接，通過防火墻連入Internet；同步完成后，斷開與Internet的連接，經(jīng)過系統(tǒng)、細致的病毒查殺后，重新通過防火墻連入內(nèi)聯(lián)網(wǎng)。防火墻設(shè)定了嚴(yán)格的限制，只允許WSUS服務(wù)使用的地址、端口上的信息通過，這樣可以在一定程度上減少與Internet連接所帶來的風(fēng)險。通過這種方法，可以彌補第一個方面的不足。對于第二和第三個不足，我們通過開發(fā)與WSUS配套的Windows平臺補丁管理系統(tǒng)來彌補，該系統(tǒng)采用Delphi+Sql Server開發(fā)而成，采用Client/Server體系結(jié)構(gòu)，系統(tǒng)客戶端的總體結(jié)構(gòu)如圖3所示。

客戶端安裝運行以后，讓其駐留內(nèi)存并在用戶的任務(wù)欄中增加一個圖標(biāo)。它只占用很小的內(nèi)存，對用戶使用計算機影響不大。補丁安裝情況檢查模塊給用戶提供了一種簡便的檢查方式，檢查是否已經(jīng)正確、完整地安裝了補丁。一旦發(fā)現(xiàn)補丁沒有安裝完全，用戶可以使用補丁自動更新模塊，強制WSUS客戶端查詢WSUS服務(wù)器，WSUS客戶端將在10分鐘左右獲取補丁。除了自動更新之外，系統(tǒng)還提供手動更新的功能，一旦WSUS服務(wù)意外失敗或終止，用戶可以通過手動更新方便地獲得并安裝相應(yīng)的補丁。WSUS客戶端設(shè)置檢查模塊的主要功能是檢查客戶端的設(shè)置是否正確，以確定WSUS客戶端是否能正常地與WSUS服務(wù)器通信。

服務(wù)器端安裝在運行Sql Server的后臺服務(wù)器上，記錄、管理客戶端發(fā)來的信息。管理員可以在服務(wù)器端查看哪些客戶端沒有完整安裝相應(yīng)的補丁，并可以在服務(wù)器端強制將相應(yīng)的補丁發(fā)送給客戶端安裝，除此以外，服務(wù)器端還有報表打印功能，管理員借助能夠準(zhǔn)確地掌握內(nèi)聯(lián)網(wǎng)內(nèi)計算機的補丁安裝情況。

3 WSUS的使用情況及展望

WSUS服務(wù)已經(jīng)在中國人民銀行浙江省內(nèi)79個分支機構(gòu)內(nèi)使用，補丁管理系統(tǒng)也已經(jīng)在推廣過程中。系統(tǒng)運行穩(wěn)定，為人民銀行浙江省內(nèi)分支機構(gòu)內(nèi)聯(lián)網(wǎng)計算機提供超過了60000個補丁的分發(fā)服務(wù)。可以說，在現(xiàn)有的技術(shù)條件下，通過使用我們配套開發(fā)的補丁管理軟件，在很大程度上增強了WSUS服務(wù)的功能，擴充了WSUS的適用范圍，找到了一個用于內(nèi)聯(lián)網(wǎng)補丁分發(fā)的經(jīng)濟、實用、高效的解決方案。隨著技術(shù)的不斷發(fā)展和完善，在新的條件下，我們可以為補丁管理系統(tǒng)增加硬件資產(chǎn)管理、軟件資源管理、Internet連接監(jiān)控等功能，并以現(xiàn)有的工作為基礎(chǔ)，不斷完善補丁管理軟件，使之與WSUS服務(wù)融合得更加緊密。