Fuentes de examen Windows Update: verificar cada clase antes de cerrar una brecha WSUS

Qué revela la ausencia de un marcador WSUS sobre las fuentes de examen Windows Update

Las fuentes de examen Windows Update determinan dónde busca actualizaciones un cliente. Un valor WUServer recopilado responde a una pregunta más limitada: ¿encontró la auditoría una cadena de servidor WSUS no vacía en una GPO? Esa cadena no permite establecer qué clases de actualizaciones usan el servidor, si la directiva llega a un equipo concreto ni si su último examen se completó correctamente.

Comience la revisión de un hallazgo WSUS por la estrategia de actualización prevista. Una organización puede gestionar sus clientes de forma centralizada mientras elige Windows Update como origen. A la inversa, una URL de WSUS puede existir en una directiva mientras una población afectada utiliza otro origen o no logra completar sus exámenes. Trate la configuración de directivas, los exámenes correctos y el cumplimiento de los parches instalados como tres conjuntos de evidencias separados.

Este procedimiento cubre el comportamiento de los clientes Windows 10/11 documentado por Microsoft. La directiva de origen de examen se aplica a Windows 10 versión 2004 y posteriores, con los requisitos de mantenimiento documentados, y a Windows 11. Registre la edición, versión, compilación y método de gestión antes de aplicarla. No extienda la tabla de comportamiento de los clientes que aparece a continuación a todas las versiones de Windows Server; evalúe los servidores según sus propias directivas compatibles y su diseño de despliegue. La guía de Microsoft sobre el origen de examen define este alcance de clientes.

Funcionamiento: cuatro clases de actualizaciones con distintos valores predeterminados

Microsoft permite seleccionar por separado entre WSUS y Windows Update para las actualizaciones de características, de calidad, de controladores y firmware, y de otros productos Microsoft. Por tanto, una migración puede trasladar una clase antes que las demás. Un registro de auditoría necesita un origen para cada clase, en lugar de una única etiqueta como «gestionado en la nube» o «usa WSUS».

La siguiente tabla resume el comportamiento de examen predeterminado documentado para los clientes Windows compatibles. Léala junto con el resultado real de las directivas en cada población:

Microsoft también identifica una trampa de migración: Do not allow update deferral policies to cause scans against Windows Update, la antigua directiva de examen dual, no es compatible con Windows 11 y queda sustituida por la directiva de origen de examen en Windows 10. Configurar ambas en Windows 10 impide las actualizaciones desde Windows Update. Inventaríe esa directiva heredada antes de modificar los nuevos ajustes de origen. Estas distinciones proceden de la referencia del comportamiento de examen de Windows Update y WSUS.

La selección del origen también es distinta de los informes y de la entrega de contenido. Specify intranet Microsoft update service location tiene un campo de servidor de detección/descarga y otro de servidor de estadísticas. Pueden apuntar al mismo servidor, pero cumplen funciones diferentes. Un servidor de descarga alternativo opcional cambia el lugar desde el que se descargan los archivos. No sustituye la necesidad de establecer el origen de examen previsto. Los ajustes adicionales de Windows Update de Microsoft describen esos campos y las opciones de descarga.

Un punto de conexión HTTPS necesita su propia validación del transporte. Utilice nuestras comprobaciones de TLS de WSUS y de las URL del cliente para esa revisión. Aquí se trata de determinar qué origen debe usar cada clase de actualizaciones y si el cliente realmente lo examinó correctamente.

Detección: conciliar las directivas aplicadas con las evidencias del cliente

Paso 1: identificar las poblaciones y los responsables de las directivas

Divida el parque por compilación del sistema operativo, método de gestión y alcance relevante de las directivas. Incluya a los clientes remotos y a cualquier población que deba conservar un origen de actualización local. Para cada población, pregunte quién es responsable de las actualizaciones de características, de calidad, de controladores/firmware y de otros productos; qué clases deben usar WSUS o Windows Update; y qué restricciones de red se aplican.

Recopile el resultado de las GPO aplicadas en un equipo representativo de cada alcance y después amplíe la verificación a los equipos afectados. La referencia de Microsoft del comando gpresult documenta el ámbito de equipo y la salida detallada:

gpresult /scope computer /v

Revise los ajustes reales y las GPO que contribuyen a ellos. Una directiva visible en el inventario del dominio puede ser irrelevante para este equipo. Para los clientes gestionados mediante MDM o cogestión, recopile también las directivas de gestión asignadas y efectivas desde el sistema de gestión existente. La salida de GPO por sí sola no establece el resultado CSP. Resuelva las discrepancias con los responsables de gestión correspondientes; no suponga que la existencia de una directiva indica qué autoridad prevalece.

Paso 2: inspeccionar WSUS y los ajustes de origen específicos de cada clase

La directiva de origen es Specify source service for specific classes of Windows Updates, situada en:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

Para los clientes gestionados mediante CSP, Microsoft enumera cuatro directivas:

La guía de configuración del origen de examen indica que se deben configurar las cuatro al usar CSP. La referencia de Update CSP documenta 0 para Windows Update y 1 para WSUS en estos ajustes de origen. También advierte que las directivas no tienen efecto si Update/UpdateServiceUrl no se ha configurado correctamente para apuntar a WSUS. Compruebe la aplicabilidad y los requisitos antes de interpretar un valor configurado.

En un equipo de destino, lo siguiente utiliza la sintaxis de reg query documentada por Microsoft para leer recursivamente la rama de directivas de Windows Update:

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /s

La referencia de ajustes de Windows Update documenta WUServer y WUStatusServer bajo esa rama, y UseWUServer bajo su subclave AU. Revise conjuntamente el punto de conexión de actualizaciones configurado, el de estadísticas y el ajuste de uso de WSUS. Son observaciones de configuración local, no resultados de conexión correcta. La ausencia de salida debe conciliarse con el alcance de las directivas y el método de gestión.

Microsoft recomienda configurar los orígenes de examen mediante GPO o CSP en lugar de escribir directamente en el registro. Su guía advierte específicamente que un cambio basado en el registro también necesita UseUpdateClassPolicySource o el origen no cambiará. Utilice el procedimiento de directivas compatible para las correcciones; no añada una cadena solo para satisfacer a un detector.

Paso 3: recopilar un examen correcto y un inventario de parches separado

En el cliente Windows, la referencia de Microsoft de Get-WindowsUpdateLog documenta la conversión de las trazas ETL de Windows Update en un registro legible:

Get-WindowsUpdateLog

Esto convierte las trazas de diagnóstico; no inicia un examen ni certifica la instalación de actualizaciones. Utilice los diagnósticos del cliente conservados y los registros de examen de la plataforma de gestión existente para investigar el servicio realmente contactado, la finalización del examen, las marcas de tiempo y los fallos. Adjunte la identidad del dispositivo y el intervalo de las evidencias. Si los registros disponibles no permiten establecer una clase o un origen, marque esa parte de la matriz como desconocida en lugar de inferirla de una URL.

Después compare el inventario de actualizaciones instaladas con la línea base de parches aplicable de la organización. Registre por separado la actualidad del inventario, la aplicabilidad, los resultados de instalación y el trabajo pendiente. Un examen correcto puede descubrir actualizaciones que siguen sin instalarse. Un punto de conexión de estadísticas rellenado o un contacto reciente con la gestión no puede sustituir esta evidencia de instalación.

Corrección: resolver las divergencias de origen demostradas (Remediation)

Paso 1: construir la matriz de orígenes, clases y poblaciones

Cree una copia de esta hoja para cada población. Las celdas indican evidencias que recopilar, no ejemplos de resultados de un entorno:

Mantenga separados el origen previsto y el efectivo. Si una población gestionada utiliza Windows Update de forma intencionada, documente esa decisión, las directivas que la rigen, el responsable y las evidencias de examen/instalación. Instalar WSUS para que desaparezca un marcador de auditoría no respondería a esas cuestiones operativas.

Paso 2: modificar la directiva responsable en un alcance piloto

Corrija únicamente la discrepancia respaldada por la hoja. Para los clientes que deban utilizar WSUS, valide la configuración del servicio de intranet y las selecciones por clase mediante el procedimiento GPO o CSP del responsable. En una transición planificada con orígenes mixtos, establezca cada clase en su origen aprobado y configure los cuatro ajustes CSP cuando ese sea el método de despliegue.

Concilie los antiguos controles de examen dual antes del piloto. Examine también Do not connect to any Windows Update Internet locations donde resulte aplicable: Microsoft advierte que este ajuste puede impedir el funcionamiento de servicios públicos, incluidas las directivas de cliente Windows Update y Delivery Optimization. Elegir un origen en la nube requiere restricciones de red y de directivas compatibles. Siga el comportamiento documentado de los ajustes de Windows Update, en lugar de eliminar restricciones de forma general sin comprobar su finalidad.

Mantenga el servidor de detección, el destino de informes y el servidor de descarga opcional alineados con el diseño aprobado. Conserve la configuración anterior para poder revertirla y acuerde un intervalo de evidencias del piloto con el responsable de las actualizaciones. Configuration Manager u otra gestión existente requiere su propia revisión de configuración del cliente; este procedimiento no sustituye ese flujo de gestión.

Paso 3: repetir las mismas mediciones antes de ampliar el cambio

Una vez aplicada la directiva, repita las lecturas de GPO y del registro, recopile evidencias MDM recientes cuando corresponda y observe exámenes correctos contra el servicio previsto. Investigue los exámenes fallidos, los orígenes no previstos o las evidencias ausentes antes de ampliar el cambio. Compruebe de forma independiente el cumplimiento de las instalaciones después del intervalo de despliegue.

Adjunte estas evidencias al flujo de auditoría AD recurrente y a la cadencia de verificación tras los cambios. Vuelva a comprobar la matriz después de cambios en el alcance de las directivas, los responsables de gestión o el acceso a la red. Un revisor posterior debe poder distinguir el uso intencionado de Windows Update de una directiva perdida o una recopilación incompleta.

Cómo detecta EtcSec este problema

La implementación revisada de etc-collector de PA038_WSUS_NOT_CONFIGURED examina las GPOPolicies recopiladas. Una cadena WUServer no vacía en cualquier GPO establece su contador en 0. Si no hay directivas, o si todos los valores disponibles están ausentes o vacíos, devuelve un hallazgo de gravedad Low con contador 1. Este contador no describe el número de clientes sin gestionar o sin parches.

El analizador de Registry.pol revisado mapea una cadena no vacía denominada WUServer cuando la clave del registro contiene windowsupdate. La rutina de recopilación SMB ignora las lecturas fallidas de archivos en estos puntos de llamada y aun así conserva el objeto de directiva GPO. Por tanto, un archivo de directiva ausente o ilegible puede dejar los datos esperados ausentes sin un resultado separado de error de lectura en este punto.

Esta comprobación no resuelve la aplicación de GPO por equipo, los vínculos, el filtrado ni la precedencia. No valida la URL ni el protocolo, no inspecciona UseWUServer ni WUStatusServer, no recopila los ajustes de origen CSP, no distingue las clases de actualizaciones, no prueba la conectividad, no confirma un examen correcto ni inventaría los parches instalados. Un marcador positivo en una GPO ajena puede satisfacer la comprobación mientras la población revisada queda sin resolver.

Utilice el hallazgo para iniciar la verificación por población descrita anteriormente. Conserve las decisiones intencionadas de origen en la nube y las incógnitas de recopilación en el registro de auditoría. Resuelva el problema operativo solo cuando se hayan conciliado el origen previsto, las directivas efectivas del cliente, los exámenes correctos y el inventario de instalaciones separado.