因地制宜，為系統快速打補丁

劉景云

不管對于任何系統來說，都可能存在漏洞。因此，及時為系統打上各種補丁，不僅可以讓系統更加順暢地運行，而且可以大大提高其安全性。例如前一陣子鬧騰的很厲害的勒索病毒，給全球的電腦用戶造成了巨大的損失。其實該病毒自身并沒有什么過人之處，實質上是利用了某些系統漏洞，才可以興風作浪的。問題的根源在于大家的安全意識比較薄弱，對于系統升級打補丁等操作不以為然，才給不法之徒以可乘之機。所以，及時為系統打上補丁，對于保證系統的安全是有百利而無一害的。這里就從單機、小型局域網、大型網絡等環境，來講述快速為系統打補丁的方法。

一、在單機上快速為系統打補丁

在單機上進行在線升級時，有時會遇到各種問題，導致升級失敗。遇到這種情況，可以借助于WSUS Offline Update這款小工具，來快速為系統打上補丁。該軟件是一款綠色軟件，解壓后執行其中的“UpdateGenerator.exe”程序，在其主界面（如圖1）中的“Windows”面板顯示其支持的所有系統，包括Windows7/8.1/2008R2/2012R2/2016等，可以根據實際情況選擇自己使用的系統。在“Options”欄中默認支持補丁包校驗，自動下載服務包、C++運行庫和.NetFrameworks框架組件等。選擇其他項目，還可以下載微軟提供的SecurityEssentials安全軟件以及WindowsDefender病毒庫等。

在“Office”和“Legacy products”面板中可以根據需要，下載〇ffice2010/2013/2016升級包以及語言包等對象。選擇好需要升級的組件后，點擊“Start”按鈕，會自動連接到微軟升級服務器來下載補丁，注意，其實際上是使用命令行的方式進行連接掃描和下載的。當下載完畢后，在解壓目錄中打開“client”文件夾，在其中包含所有補丁包。執行其中的“Updatelnstaller.exe”程序，在更新窗口（如圖2）中的“Installation”面板中顯示相關的設置項目，包括安裝C++運行庫、微軟銀光組件、各版本的.Net框架、微軟安全軟件、升級遠程桌面客戶端等。

在“Control”面板中顯示控制參數，包括校驗安裝包、自動重啟、更新完成后關閉主機、顯示日志文件等。可以根據實際情況進行選擇，點擊“Start”按鈕，執行補丁的安裝操作。與之對應的是，在實際更新時依然會打開命令提示符窗口，并使用命令行執行補丁安裝動作。上述方法只能在可以正常上網的情況下進行，對于內網中無法上網的主機來說，可以采用變通的方法加以解決。例如，使用Dism++這款小工具，將更新補丁整合到系統安裝盤中。這樣，使用該安裝盤對無法上網的主機進行系統重裝操作，就可以有效地解決問題。

在Dism++主界面（如圖3）中點擊菜單“文件→掛載鏡像”項，點擊第一個瀏覽按鈕，選擇系統安裝鏡像，例如“install.wim”文件等。點擊第二個瀏覽按鈕，將其掛載到指定的目錄。之后點擊“打開會話”按鈕，在Dism++主界面左側選擇“更新管理”項，點擊“刷新”按鈕，Disk++會聯機到微軟服務器，并掃描需要安裝的補丁文件，選擇所有的補丁項目，點擊菜單“文件→另存為鏡像”項，將更新包集成到加載的鏡像文件中。這樣，只需使用該鏡像文件，就可以為無法上網的主機安裝系統，并自動為其打上補丁。

二、在小型局域網中快速打補丁

對于規模較小的公司，其網絡的規模也比較小。但是，采用逐臺單機進行補丁更新的操作，又顯得效率較低。其實，使用上述WSUS Offline Update軟件，將下載的補丁包保存到某個共享目錄中，就可以實現簡單快速的升級操作了。當然，因為不同版本的系統（例如32位和64位）使用的補丁包是不同的，可以根據實際需要分別下載和存儲類型不同的補丁包。

按照上述方法，在WSUS Offline Update中選擇并下載所需的補丁包，為了提高系統安全性，盡可能下載所有的補丁包。之后在局域網中創建一個共享目錄，在其屬性窗口中的“共享”面板中點擊“高級共享”按鈕，為該共享目錄設置名稱（例如“budingbao”），點擊“權限”按鈕，針對“Everyone”賬戶設置讀取權限。這樣，局域網中的所有用戶就都可以訪問該共享目錄。之后將WSUS Offline Update解壓目錄“client”文件夾中的所有內容全部復制到該共享路徑中。這樣，局域網內的所有用戶都可以打開該共享目錄，執行其中的“Updatelnstallerexe”程序，來快速進行補丁的升級操作了。

三、在大型網絡上快速打補丁

在大型的企業網絡中，上述升級操作都顯示很不適宜。這就需要使用系統提供的專業的Windows Server Update Services（簡稱WSUS）服務，來快速地大批量地高效升級系統。當部署了WSUS服務器之后，通過配置相關的策略，只允許WSUS服務器從微軟網站下載更新包，內網中的主機只能從該服務器下載和安裝更新包，不僅利于管理，而且可以節省網絡帶寬。使用WSUS服務有諸多優點，例如可以實現集中和分布式管理，有效降低網絡帶寬的占用率，通過統一管理和下發補丁包，可以兼顧補丁更新的效率和安全性，將WSUS和AD組策略結合，無疑可以提高運維的靈活性。

在Windows Server2012中，WSUS提供了一些新的功能，例如可以使用服務管理器進行添加和刪除WSUS角色，允許通過PowerShell來管理WSUS中的一些重要任務，添加了SHA256哈希功能，提高了安全性，提供了客戶機和服務器之間的分離功能等。在安裝WSUS之前，建議禁用防病毒軟件，防止在WSUS安裝過程中鎖定文件。當WSUS安裝之后，再啟動防病毒軟件。為了避免無關干擾，需要將WSUS內容文件夾，“%windir%＼wid＼data”“＼SoftwareDistribution＼Datastore”“＼SoftwareDistribution＼Downloaci”等相關文件夾排除在防病毒軟件監控范圍外。endprint

WSUS部署分為簡單部署和多臺部署兩種方案，前者適用于規模較小的企業，內網中的客戶端主機數量不多，使用一臺WSUS服務器即可滿足要求。

本例中在某臺Windows Server 2012中安裝WSUS角色，該機已經加入到“xxx.com”的域中，假設其名稱為“wsusl.xxx.com”，IP為192.168.1.50。在服務管理器中點擊“添加角色和功能”項，在向導界面中的角色列表中選擇“Windows Server更新服務”項，點擊下一步按鈕，在角色服務列表中選擇“WID數據庫”項，表示使用Windows內部數據庫配合WSUS工作，這適用于規模不大的內網環境。如果企業內網規模很大或者希望配置后臺數據庫的高可用性，可以選擇“數據庫”項，在下一步的內容位置選擇窗口（如圖4）中選擇“在以下位置中存儲更新”項，輸入本地合適的目錄路徑（例如“D：＼gengxin”），當然，也可以指定網絡共享路徑。

如果選擇了“數據庫”項，在數據庫實例選擇窗口中輸入具體的實例名。點擊安裝按鈕，來安裝WSUS角色。當安裝完畢后，點擊“啟動安裝后的任務”鏈接，執行所需的任務，該過程是系統自動完成的。在服務管理器中點擊菜單“丁具→Windows Server更新服務”項，打開WSUS配置向導（如圖5），在選擇上游服務器窗口中選擇“從Microsoft更新中進行同步”項，如果采用了多級管理模式，可以選擇“從其他Windows Server Update Services服務器中進行同步”，設置上游服務器的名稱和端口號。如果在內網中部署了類似于ISA、foreFront TMG等防火墻服務器，需要在指定代理服務器窗口中選擇“在同步時使用代理服務器”項，設置TMG等主機的名稱和端口號（默認80），選擇“使用用戶憑據連接到代理服務器”項，輸入用戶名、域名、密碼等參數。

在下一步窗口中點擊“開始連接”按鈕，從Microsoft Update中下載更新信息。之后在選擇語目窗口中選擇“僅下載以下語言的更新”項，在列表中默認選擇了簡體中文和英語兩種語言，當然，您可以根據需要選擇更多的語言更新項目。在下一步窗口選擇所需的補丁類型，可以看到，WSUS支持很多Windows產品類型。點擊下一步按鈕，在分類列表中選擇所需的更新類型，默認選擇安全更新程序、定義更新、關鍵更新程序等。對于“Service Pack”類型來說，建議采用手工方式進行更新。例如，可以將該類型的更新包下載到本地，在測試環境中對其進行分析評估，之后根據其對系統的實際影響，決定是否安裝這類補丁。如果盲目直接安裝，有可能對生產環境造成不利影響。

在配置同步計劃窗口可以選擇手動同步或者自動同步，對于自動同步來說，需要設置第一次同步的時間（建議設置到比較空閑的時段），每天同步的次數等。點擊下一步按鈕，選擇“開始初始同步”項，點擊“完成”按鈕，完成所需的配置操作。在自動打開的更新服務控制臺左側選擇“更新服務→WSUS服務器名→同步”項，右側顯示所有的同步項目。在該節點的右鍵菜單上點擊“立即同步”項，可以按照預設的配置信息，立即執行同步操作。當同步完成后，在窗口底部顯示其詳細信息，包括啟動時間、完成時間、結果、類型、錯誤、更新的數量等。在左側選擇“WSUS服務器名→更新”項，可以查看更新統計信息。

在域環境，可以根據不同計算機組的要求，來配置對應的WSUS自動更新策略，實現靈活的管控操作。在DC域控制器上打開Active Directory用戶和計算機窗口，在左側選擇“xxx.com”域名項，在其右鍵菜單上點擊“新建→組織單元”項，創建所需的0U，例如“Sales”“Test”等。選擇“Computers”容器，在其中選擇對應的主機，在其右鍵菜單上點擊“所有任務→移動”項，將其移動到上述新建的OU中。打開組策略管理器，在左側的“XXX.com→Ddault Domain Policy”項，在其右鍵菜單上點擊“編輯”項，在組策略編輯器左側選擇“計算機配置—策略—管理模版→Windows組件→Windows更新”項，在右側雙擊“指定Intranet Microsoft更新服務器位置”項，在彈出窗口（如圖6）中選擇“已啟用”項，在“選項”欄中輸入更新服務器以及統計服務器的網址，例如“http：//192.168.1.50：8530”。

雙擊“自動更新檢測頻率”項，在彈出窗口中選擇“已啟用”項，在“選項”欄中設置檢測更新的周期，默認為22小時。雙擊“允許自動更新立即安裝”項，在彈出窗口中選擇“已啟用”項，可以自動安裝那些既不中斷Windows服務，也無需重啟系統的更新包。雙擊“對于有已經登錄用戶的計算機，計劃的自動更新不執行重新啟動”項，在彈出窗口中選擇“已啟用”項，表示當更新完畢后，不會強制重啟系統。雙擊“對計劃的安裝再次提示重新啟動”項，在彈出窗口中選擇“已啟用”項，表示在在更新過程中，出現提示重啟信息的時間間隔，在“選擇”欄中可以設置合適的時間，默認為10分鐘。

雙擊“配置自動更新”項，在彈出窗口中選擇“已啟用”項，在“配置自動更新”列表中選擇更新方式，包括通知下載并通知安裝、自動下載并通知安裝、自動下載并計劃安裝、允許本地管理員選擇設置等。例如選擇“自動下載并計劃安裝”項，可以自動下載并安裝更新，無需用戶的干預，在其下設置計劃安裝的日期和時間。這樣，就實現了針對默認組策略的配置操作。當然，也可以針對不同的0U，來配置相關的組策略。例如，選擇“Sales”組，在其右鍵菜單上點擊“在這個域中創建GP0并在此處鏈接”項，輸入GP0的名稱（例如“SalesGPO”），在該GP0項的右鍵菜單上點擊“編輯”項，在編輯窗口中可以針對上述和WSUS相關的策略進行合適的配置。

這樣，不同的計算機分組，就分別擁有了自己的WSUS更新策略。在DC和相關主機上執行“gpupdate/force”命令，來刷新組策略。在客戶機上執行“wuauclt/detectnow”命令，可以立即檢測WSUS服務器。執行“netstat-ano Ifindstr“8530n”命令，可以在網絡連接列表中搜索和WSUS服務器相關的連接，因為該連接使用了TCP 8530端口，如果連接存在，說明該機已經和WSUS服務器建立了連接。在WSUS服務器上打開更新服務控制臺，在左側需選擇“計算機→所有的計算機→未分配的計算機”項，可以看到該機已經出現在列表中（注意，要經過5分鐘左右的時間，才可以顯示其狀態信息）。endprint