Patch Management How To's

如何創建并配置自動化補丁部署任務？

對自動補丁部署的需要：

隨著對各廠商軟件攻擊頻率的增加，必須使您的所有企業終端始終保持最新狀態并全天候更新補丁。解決此問題的最佳方法是擁有一個系統且自動化的解決方案，以有效管理不同操作系統和第三方應用程序補丁。
Desktop Central的自動補丁部署（APD）功能使系統管理員可以在無需任何手動干預的情況下、自動部署其網絡計算機中缺少的補丁。

自動化補丁部署的好處

1. 部署速度很快，而且由于及時安裝已有補丁，安全性得到了加強。
2. 所有已批準的補丁將在下載后立即在下一次部署時部署。不需要設置新的自動補丁部署調度器。
3. 每當網絡中的計算機脫機并再次遇到網絡連接時，計算機都可能會丟失新的漏洞和補丁。當代理與服務器建立聯系時，它將自動在下一個刷新周期中進行掃描，并在服務器中檢測并更新缺失的補丁。代理將在下一刷新周期中部署它們。
4. 代理中的部署將持續進行，直到沒有自動部署部署設置條件的缺失補丁為止。
5. 在自動補丁部署中，您還可以在更詳細的視圖中查看修補的歷史記錄。

按照以下步驟創建并配置自動化補丁部署任務：

先決條件：

配置“補丁數據庫設置”以指定Desktop Central服務器與數據庫同步的時間間隔并收集最新可用補丁的詳細信息。

注意： 

與補丁數據庫同步后，Desktop Central服務器將收集最新發布的補丁的詳細信息。在下一個刷新策略中，Desktop Central代理將自動掃描計算機以檢查是否缺少新的可用的補丁。使用“自動化補丁部署”，這些補丁將自動進行部署，而不會出現任何延遲。“自動補丁部署”任務可確保對網絡中的所有計算機進行完全修補。

創建自動補丁部署任務的步驟

注意：Desktop Central Cloud模型當前不支持Linux管理。

按照以下步驟為一組計算機創建自動化補丁部署任務：

1. 導航至補丁管理 -> 部署 -> 自動化部署補丁。此視圖將顯示創建的所有任務。
2. 點擊“自動化任務”為Windows/Mac/Linux創建一個新任務并命名。
3. 為以下步驟配置所需的詳細信息：
   1. 選擇應用程序 - 要修補的操縱系統和第三方應用程序的類型
   2. 選擇部署策略 - 根據企業需求，配置部署補丁的方式和時間
   3. 定義目標 - 選擇要部署補丁的目標計算機
   4. 配置通知 - 接收關于部署狀態的通知

選擇應用程序

部署操作系統更新

如果您想要部署僅與操作系統（如Windows、Mac或Linux）相關的更新，則可以啟用以下復選框之一：

• 安全更新包含Windows的所有安全更新，并將嚴重性指定為嚴重/重要/中/低/未分級。
• 非安全更新包含Windows中所有與安全無關的更新。
• 僅適用于Windows的更新：
  1. 服務包 - 所有熱修復、安全更新、關鍵更新以及Windows系統不同版本的更新的經過測試的累積集。
  2. 匯總 - 累積更新集，包括安全性和可靠性更新，這些更新打包在一起，便于作為單個更新部署，并且主動包含過去發布的更新。
  3. 可選更新 - 也稱為“預覽匯總”，這些是可選的、累積的新更新集，它們打包在一起，并在下一次“每月匯總”發布前進行部署，使客戶主動下載、測試并提供反饋。
  4. 功能包 - 完整產品版本中包含的新產品功能。
  5. 驅動更新可用來自動更新系統中存在的網絡、聲音和視頻驅動程序。有關我們支持的“驅動”更新的完整列表，請參閱此鏈接。

部署第三方更新

如果您想要僅部署與第三方應用程序相關的更新，則將嚴重性指定為嚴重/重要/中/低/未分級。
指定是要部署所有應用程序還是要包括/排除特定應用程序。

部署防病毒更新

選擇此選項可為以下軟件部署防病毒定義更新：Mcafee Virusscan Enterprise、Microsoft Forefront Endpoint Protection 2010 Server Management、Microsoft Forefront Endpoint Protection 2010 Server Management x64、Microsoft Forefront Client Security、Microsoft Forefront Client Security x64、Microsoft Security Essentials、Microsoft Security Essentials x64。

延遲部署

您可以選擇延遲補丁的部署以確保其穩定性。您可以選擇從發布或批準之日起的特定天數后部署補丁。
例如，假設您將天數指定為“發布后5天”，則補丁將僅在Desktop Central支持之日起5天后部署。如果您選擇“批準后5天”部署補丁，則補丁將僅在被標記為已批準之日起5天后部署。

選擇部署策略

• 通過配置部署策略設置，根據企業需求自定義修補流程。
• 部署策略詳細信息：
  1. 部署頻率 - 選擇您想要執行部署的頻率
  2. 部署時間 - 需要部署補丁的時間間隔
  3. 部署將在...啟動 - 選擇部署是在系統啟動期間進行還是在所選“部署時間”內的刷新周期期間進行。
• 如果您將任何策略設置為默認，那么默認策略將自動應用于配置。
• 根據您的需求，您可以從預定義策略的可用列表中選擇或創建您選擇的策略。
• 點擊查看詳細信息查看策略詳細信息和應用策略的配置列表。
• 到期設置允許您在指定的時間段后掛起任務。

定義目標

• 選擇須對其執行部署的目標計算機。目標可以是整個域或遠程辦公室。如果選擇整個域作為目標，則還將包括該特定域中的所有遠程辦公室。
• 您可以基于站點、OU、組、特定計算機等來過濾目標。
• “排除目標”允許您選擇要從補丁部署任務中排除的某些目標。例如，您可以在部署非安全更新時排除服務器計算機。

配置通知

配置“通知”設置以接收以下電子郵件通知：

1. 自動補丁部署任務的部署/下載失敗
2. 自動補丁部署任務的每日狀態報表

點擊保存成功創建任務。現在，所有選中的計算機都將在選擇的部署策略中指定的部署時間中自動部署缺失的補丁。

常見問題

1. 如果“計劃掃描”被移除，還能掃描計算機嗎？

漏洞每天都在增加，我們必須擁有網絡上哪些計算機缺少重要補丁的最新掃描數據。因此，我們使掃描任務自動化。補丁數據庫同步后，如果與以前的同步相比發布了新補丁，則代理將在隨后的刷新周期中自動進行掃描。

2. 自動掃描會因多個請求而增加服務器的負擔嗎？會阻塞網絡流量嗎？

當然不會。掃描發生在數據庫同步后。每次掃描發生時，都會檢測到最新缺失的補丁并將其下載到服務器上。我們采用這種有效機制，僅發布差異掃描數據（兩次連續掃描之間的掃描數據差異），不會使服務器負擔過多。
此外，由于我們不會從服務器啟動按需掃描，因此它不會影響網絡流量。它類似于配置，代理將僅在其后續刷新周期中進行掃描。 因此，網絡流量在刷新間隔中分配，因而不受干擾。

3. 如何在掃描完成后獲取缺失補丁的報表？

您可以使用“計劃報表”。報表 -> 計劃報表。您可以計劃在數據庫同步2小時后通過電子郵件發送報表，也可以根據需要配置頻率。

4. 如何查看要在自動補丁部署中安裝的補丁的報表？

您可以從點擊某個自動補丁部署策略，然后點擊“補丁視圖”頁簽。

5. 我通常會在“補丁星期二”之后兩周延遲安裝補丁。對我來說情況會有什么不同？

完全沒有問題，您仍然可以使用自動補丁部署下的“延遲部署”選項，使用該選項，您可以：

• 在發布后的“x”天后部署補丁
• 在測試后的“x”天后部署補丁

您還可以調整部署策略設置以獲得合適的部署時間。

• 如果沒有將任務遷移到新的工作流會怎樣？

您有90天的遷移時間。90天后，將發送通知，您的自動補丁部署任務將被刪除。因此，建議在90天內遷移自動補丁部署任務。