Program Windows Server Update Services WSUS Funkcjonalność i konfiguracja

Aktualizacje systemu System może być bezbronny wobec ataków wykorzystujących luki w oprogramowaniu. Aby skutecznie go ochronić należy zainstalować poprawki dostarczane przez producenta.

Tradycyjny model aktualizacji: http://update.microsoft.com

WSUS Windows Server Update Services zarządza uaktualnianiem systemów sieciowych. Automatycznie pobiera aktualizacje z witryny Windows Update i przekazuje je komputerom pracującym w sieci. Administrator serwera WSUS określa, które poprawki i kiedy będą zainstalowane w stacjach roboczych. Jedną z najważniejszych zalet jest obsługa poprawek do wielu produktów Microsoftu. Po wprowadzeniu odpowiednich ustawień można aktualizować różne wersje językowe programów pakietu Office, serwerów Microsoft SQL Server 2000 i 2005, Microsoft Exchange. Ochroną WSUS jest objęta także Windows Vista.

Serwer WSUS http://update.microsoft.com

Przygotowania i instalacja Usługi WSUS mają określone wymagania sprzętowe. Przed instalacją WSUS należy odpowiednio przygotować system operacyjny. Najważniejsze jest zainstalowanie serwera IIS. Internetowe usługi informacyjne są potrzebne, ponieważ zarządzanie WSUS odbywa się przez witrynę WWW. Poza tym należy sprawdzić, czy partycje zostały sformatowane w systemie plików NTFS.

Zalecenia sprzętowe w przypadku serwera z maksymalnie 500 klientami: Procesor o częstotliwości taktowania 1 GHz 1 GB pamięci RAM

Dodatkowe oprogramowanie: Internetowe usługi informacyjne (IIS) 6.0 Dodatek Service Pack 1 dla architektury Microsoft .NET Framework 1.1 przeznaczony dla systemu Windows Server 2003. Usługa inteligentnego transferu w tle (BITS) 2.0

Baza danych W ramach domyślnej instalacji programu WSUS w systemie Windows Server 2003 jest instalowane oprogramowanie bazy danych Windows SQL Server™ 2000 Desktop Engine (WMSDE).

Wymagania i zalecenia dotyczące miejsca na dysku W przypadku woluminu służącego do przechowywania danych programu WSUS musi być dostępne co najmniej 6 GB wolnego miejsca (zalecane 30 GB). W przypadku woluminu, na którym Instalator programu WSUS instaluje oprogramowanie Windows SQL Server 2000 Desktop Engine (WMSDE), musi być dostępne co najmniej 2 GB wolnego miejsca.

Z funkcji Aktualizacje Automatyczne można korzystać na komputerach z systemami operacyjnymi: Microsoft Windows 2000 Professional z dodatkiem Service Pack 3 (SP3) lub Service Pack 4 (SP4), Windows 2000 Server z dodatkiem SP3 lub SP4, Windows 2000 Advanced Server z dodatkiem SP3 lub SP4; Microsoft Windows XP Professional z lub bez dodatku Service Pack 1 lub Service Pack 2; Microsoft Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition; Windows Server 2003, Datacenter Edition; Windows Server 2003, Web Edition.

WSUS Poprawki należy pobrać zaraz po instalacji systemu. Serwer blokuje ruch przychodzący, dopóki nie ustawimy parametrów aktualizacji. Po instalacji systemu pojawia okno Windows Update w celu ściągnięcia poprawek albo konfiguracji usługi automatycznej.

Zarządzanie usługą WSUS: Usługą WSUS można zarządzać bezpośrednio z konsoli serwera lub z wybranego komputera w sieci. Dostęp do witryny administracyjnej uzyskujemy po kliknięciu skrótu umieszczonego w folderze Narzędzia administracyjne. W stacji roboczej należy uruchomić przeglądarkę i wpisać odpowiedni adres. Jeżeli podczas instalacji wybrano utworzenie oddzielnej witryny, wprowadzając adres, należy podać numer portu. Strona powitalna usługi WSUS wyświetla najważniejsze informacje o bieżącym wykorzystaniu systemu oraz listę zadań do wykonania.

Konfiguracja serwera WSUS Aby nie gromadzić niepotrzebnych danych, można wskazać uaktualnienia potrzebne w danej sieci. Wyboru aktualizowanych systemów i wersji językowych dokonuje się w opcjach synchronizacji.

Synchronizowanie serwera Aktualizacje można pobierać po skonfigurowaniu połączenia sieciowego. Domyślnie program WSUS jest skonfigurowany do pobierania aktualizacji krytycznych oraz aktualizacji zabezpieczeń dotyczących wszystkich produktów firmy Microsoft. Aby pobrać aktualizacje, należy zsynchronizować serwer WSUS.

Konfigurowanie zapory: Jeśli między serwerem WSUS a Internetem znajduje się firmowa zapora, może być konieczne jej skonfigurowanie w celu umożliwienia pobierania aktualizacji przez program WSUS. Aby uzyskać aktualizacje z witryny Microsoft Update, serwer WSUS korzysta z portu 80 (protokół HTTP) oraz portu 443 (protokół HTTPS). Tych ustawień nie można zmienić.

Korzystanie z konsoli WSUS: Z konsoli WSUS mogą korzystać wyłącznie użytkownicy należący do grupy zabezpieczeń Administratorzy WSUS lub lokalnej grupy zabezpieczeń Administratorzy (na serwerze z zainstalowanym programem WSUS).

Aktualizowanie i konfigurowanie funkcji Aktualizacje Automatyczne Komputery klienckie WSUS wymagają zgodnej wersji funkcji Aktualizacje Automatyczne. Instalator programu WSUS automatycznie konfiguruje program IIS w taki sposób, aby najnowsza wersja funkcji Aktualizacje Automatyczne była dystrybuowana na wszystkie komputery klienckie połączone z serwerem WSUS.

Aktualizowanie i konfigurowanie funkcji Aktualizacje Automatyczne Najlepszy sposób skonfigurowania funkcji Aktualizacje Automatyczne zależy od używanego środowiska sieciowego. W środowisku usługi Active Directory można skorzystać z obiektu zasad grupy. W środowisku innym niż środowisko usługi Active Directory należy użyć lokalnego obiektu zasad grupy. W przypadku korzystania z lokalnego obiektu zasad grupy lub obiektu zasad grupy przechowywanego w kontrolerze domeny należy wskazać komputery klienckie serwerowi WSUS, a następnie skonfigurować funkcję Aktualizacje Automatyczne.

Aktualizowanie i konfigurowanie funkcji Aktualizacje Automatyczne Przy założeniu, że używane jest środowisko sieciowe usługi Active Directory oraz, że użytkownik skonfigurował już obiekt zasad grupy oraz używa go do zarządzania siecią (dla ustawień WSUS należy utworzyć nowy obiekt zasad grupy, a następnie połączyć go na poziomie domeny) to należy wykonać następujące procedury:

Aktualizowanie i konfigurowanie funkcji Aktualizacje Automatyczne Ładowanie szablonu administracyjnego WSUS Konfigurowanie funkcji Aktualizacje Automatyczne Wskazywanie komputerów klienckich serwerowi WSUS Ręczne inicjowanie wykrywania na komputerze klienckim

Dodawanie szablonu administracyjnego WSUS: W Edytorze obiektów zasad grupy klikamy dowolny węzeł Szablony administracyjne. W menu Akcja klikamy polecenie Dodaj/Usuń szablony. Klikamy przycisk Dodaj. W oknie dialogowym Szablony zasad klikamy pozycję wuau.adm, a następnie klikamy przycisk Otwórz. W oknie dialogowym Dodawanie/usuwanie szablonów klikamy przycisk Zamknij.

Konfigurowanie zachowań funkcji Aktualizacje Automatyczne: W Edytorze obiektów zasad grupy należy: rozwinąć węzeł Konfiguracja komputera, rozwinąć węzeł Szablony administracyjne, rozwinąć węzeł Składniki systemu Windows, a następnie kliknąć pozycję Windows Update. W okienku szczegółów klikamy dwukrotnie pozycję Konfigurowanie aktualizacji automatycznych. Klikamy pozycję Włączona, a następnie jedną z następujących opcji: •Powiadom o pobieraniu i powiadom o instalacji. W przypadku tej opcji zalogowany użytkownik administracyjny jest powiadamiany o zamiarze pobierania i zainstalowania aktualizacji. •Pobierz automatycznie i powiadom o instalacji. W przypadku tej opcji pobieranie aktualizacji rozpoczyna się automatycznie, a następnie zalogowany użytkownik administracyjny jest powiadamiany o zamiarze ich zainstalowania. •Pobierz automatycznie i zaplanuj instalację. Jeśli funkcja Aktualizacje Automatyczne została skonfigurowana pod kątem przeprowadzania zaplanowanej instalacji, trzeba również ustawić datę i godzinę instalacji zaplanowanej jako cykliczna. •Zezwalaj lokalnemu administratorowi na wybranie ustawienia. W przypadku tej opcji lokalni administratorzy mogą użyć funkcji Aktualizacje Automatyczne w Panelu sterowania do wybierania opcji konfiguracji. Na przykład mogą wybrać własną planowaną godzinę instalacji. Lokalni administratorzy nie są uprawnieni do wyłączania funkcji Aktualizacje Automatyczne.

Wskazywanie komputerów klienckich serwerowi WSUS: W Edytorze obiektów zasad grupy rozwijamy węzeł Konfiguracja komputera, rozwijamy węzeł Szablony administracyjne, rozwijamy węzeł Składniki systemu Windows, a następnie klikamy pozycję Windows Update. W okienku szczegółów klikamy dwukrotnie pozycję Określ lokalizację intranetową usługi aktualizującej firmy Microsoft. Klikamy pozycję Włączona, a następnie w polach Ustaw intranetową usługę aktualizującą do wykrywania aktualizacji oraz Ustaw serwer statystyk intranetowych wpisujemy adres URL tego samego serwera WSUS. Na przykład w obydwu polach wpisz http://nazwa_serwera. Klikamy przycisk OK.

Wskazywanie komputerów klienckich serwerowi WSUS: Jeśli do wskazania tego komputera serwerowi WSUS jest używany lokalny obiekt zasad grupy, to ustawienie zostanie uwzględnione bezzwłocznie, a komputer powinien pojawić się na konsoli administracyjnej WSUS w ciągu 20 minut. Ręcznie inicjując cykl wykrywania, można przyspieszyć ten proces. Po skonfigurowaniu komputera klienckiego i upływie kilku minut pojawi się on na stronie Komputery na konsoli WSUS.

Wskazywanie komputerów klienckich serwerowi WSUS: W przypadku komputerów klienckich skonfigurowanych przy użyciu obiektu zasad grupy (w środowisku usługi Active Directory) nowe ustawienia dotyczące komputera klienckiego zostaną zastosowane po upływie około 20 minut po odświeżeniu tego obiektu. Domyślnie obiekt zasad grupy jest odświeżany w tle co 90 minut, z losowym przesunięciem z przedziału od 0 do 30 minut. Aby szybciej odświeżyć obiekt zasad grupy, można przejść do wiersza polecenia na komputerze klienckim i wpisać polecenie: gpupdate /force. W przypadku komputerów klienckich skonfigurowanych przy użyciu lokalnego obiektu zasad grupy, zasady grupy są stosowane natychmiast, a ich uwzględnianie trwa około 20 minut. Po zastosowaniu zasad grupy można ręcznie zainicjować wykrywanie. Po wykonaniu tego kroku nie trzeba czekać 20 minut na nawiązanie połączenia między komputerem klienckim a programem WSUS.

Ręczne inicjowanie wykrywania przez serwer WSUS: Na komputerze klienckim klikamy przycisk Start, a następnie polecenie Uruchom. Wpisujemy polecenie cmd, a następnie klikamy przycisk OK. W wierszu poleceń wpisujemy wuauclt.exe /detectnow. Ta opcja wiersza polecenia instruuje funkcję Aktualizacje Automatyczne o konieczności natychmiastowego nawiązania połączenia z serwerem WSUS.

Przed instalacją poprawki: Przed instalacją poprawki należy sprawdzić wpływ uaktualnienia na bieżące środowisko sieci. W tym celu można utworzyć grupę komputerów testowych. Przed dystrybucją aktualizacji do wszystkich stacji sprawdzamy, jak działają komputery poddawane próbie.

Aby utworzyć grupę: Na pasku narzędzi konsoli WSUS klikamy ikonę Komputery. W obszarze Zadania klikamy pozycję Utwórz grupę komputerów. W polu Nazwa grupy wpisujemy wartość Test, a następnie klikamy przycisk OK.

Grupa testowa komputerów

Zatwierdzanie i rozmieszczanie aktualizacji Ważnym parametrem przy implementacji uaktualnień jest automatyczne zatwierdzanie aktualizacji. Domyślnie system czeka na ręczną akceptację każdego pakietu aktualizacyjnego. Automatyczne zatwierdzanie obejmuje instalację lub wykrywanie poprawek. Wykrycie poprawki polega na określeniu, które systemy sieciowe wymagają poprawki, przy czym poprawka nie jest instalowana. Automatyczne zatwierdzanie do instalacji dotyczy błyskawicznego dostarczania aktualizacji do komputerów w sieci i powinno obejmować poprawki krytyczne lub zabezpieczeń. Parametry związane z zatwierdzaniem, skonfigurujemy po kliknięciu ikony Opcje i skrótu Opcje zatwierdzania automatycznego. Po zaznaczeniu pola wyboru polecenia Automatycznie zatwierdzaj aktualizacje do instalacji używając następującej reguły, wskazujemy klasyfikacje i grupy komputerów objęte automatyczną implementacją uaktualnień.

Raportowanie stanu serwera Przydatne podczas monitorowania instalowania poprawek na komputerach klientów sieci jest korzystanie z raportów. Jeśli chcemy filtrować listę aktualizacji, w polu Widok wybieramy kryteria do zastosowania.