Fontes de pesquisa do Windows Update: verificar lacunas WSUS

O que um marcador WSUS ausente diz sobre as fontes de pesquisa do Windows Update

As fontes de pesquisa do Windows Update determinam onde um cliente procura atualizações. Um valor WUServer recolhido responde a uma pergunta mais restrita: a auditoria encontrou uma cadeia de caracteres não vazia com um servidor WSUS numa GPO? Essa cadeia não permite estabelecer quais as classes de atualizações que utilizam o servidor, se a política chega a um determinado computador ou se a sua última pesquisa foi concluída com sucesso.

Comece a revisão de um resultado sobre WSUS pela estratégia de atualização prevista. Uma organização pode gerir os clientes centralmente e escolher o Windows Update como fonte. Por outro lado, uma URL de WSUS pode existir numa política enquanto uma população afetada utiliza outra fonte ou não consegue concluir as suas pesquisas. Trate a configuração das políticas, as pesquisas bem-sucedidas e a conformidade dos patches instalados como três conjuntos de evidências distintos.

Este guia abrange o comportamento dos clientes Windows 10/11 documentado pela Microsoft. A política de fonte de pesquisa aplica-se ao Windows 10 versão 2004 e posteriores, com os pré-requisitos de manutenção documentados, e ao Windows 11. Registe a edição, versão, compilação e método de gestão antes de a aplicar. Não estenda a tabela de comportamento dos clientes abaixo a todas as versões do Windows Server; avalie os servidores segundo as suas próprias políticas suportadas e o desenho da implementação. As orientações da Microsoft sobre fontes de pesquisa definem este âmbito dos clientes.

Como funciona: Quatro classes de atualizações com predefinições diferentes

A Microsoft permite escolher separadamente entre WSUS e Windows Update para atualizações de funcionalidades, de qualidade, de controladores e firmware e de outros produtos Microsoft. Uma migração pode, assim, transferir uma classe antes das restantes. Um registo de auditoria precisa de uma fonte para cada classe, em vez de uma única designação como «gerido na nuvem» ou «utiliza WSUS».

A tabela seguinte resume o comportamento de pesquisa predefinido documentado para os clientes Windows suportados. Leia-a em conjunto com o resultado efetivo das políticas em cada população:

A Microsoft identifica também uma armadilha de migração: Do not allow update deferral policies to cause scans against Windows Update, a política antiga de pesquisa dupla, não é suportada no Windows 11 e é substituída pela política de fonte de pesquisa no Windows 10. Configurar ambas no Windows 10 impede as atualizações provenientes do Windows Update. Inventarie essa política antiga antes de alterar as definições de fonte mais recentes. Estas distinções vêm da referência de comportamento de pesquisa do Windows Update e WSUS.

A seleção da fonte também é distinta dos relatórios e da entrega de conteúdos. Specify intranet Microsoft update service location tem um campo para o servidor de deteção/transferência e outro para o servidor de estatísticas. Podem apontar para o mesmo servidor, mas têm finalidades diferentes. Um servidor de transferência alternativo opcional altera o local de transferência dos ficheiros. Não substitui a necessidade de estabelecer a fonte de pesquisa prevista. As definições adicionais do Windows Update da Microsoft descrevem esses campos e opções de transferência.

Um endpoint HTTPS precisa da sua própria validação de transporte. Utilize as nossas verificações de TLS do WSUS e das URLs dos clientes para essa revisão. Aqui, a questão é qual a fonte que cada classe de atualizações deve utilizar e se o cliente a pesquisou efetivamente com sucesso.

Deteção: Conciliar políticas aplicadas com evidências dos clientes

Passo 1: Identificar populações e responsáveis pelas políticas

Divida o parque por compilação do sistema operativo, método de gestão e âmbito relevante das políticas. Inclua clientes remotos e qualquer população que deva manter uma fonte de atualizações local. Para cada população, pergunte quem é responsável pelas atualizações de funcionalidades, qualidade, controladores/firmware e outros produtos, quais as classes que devem utilizar WSUS ou Windows Update e que restrições de rede se aplicam.

Recolha o resultado das GPO aplicadas num alvo representativo de cada âmbito e, depois, alargue a verificação aos computadores afetados. A referência do comando gpresult da Microsoft documenta o âmbito de computador e a saída detalhada:

gpresult /scope computer /v

Reveja as definições efetivas e as GPO que contribuem para elas. Uma política visível no inventário do domínio pode ser irrelevante para este computador. Para clientes geridos por MDM ou em cogestão, recolha também as políticas de gestão atribuídas e efetivas no sistema de gestão existente. A saída das GPO, por si só, não estabelece o resultado CSP. Resolva divergências com os responsáveis pela gestão; não presuma que a existência de uma política indica qual a autoridade que prevalece.

Passo 2: Inspecionar WSUS e definições de fonte por classe

A política de fonte é Specify source service for specific classes of Windows Updates, em:

Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Server Update Service.

Para clientes geridos por CSP, a Microsoft enumera quatro políticas:

O guia de configuração da fonte de pesquisa indica que se devem configurar as quatro ao utilizar CSPs. A referência do Update CSP documenta 0 para Windows Update e 1 para WSUS nestas definições de fonte. Avisa também que as políticas não têm efeito se Update/UpdateServiceUrl não estiver corretamente configurado para apontar para WSUS. Verifique a aplicabilidade e os pré-requisitos antes de interpretar um valor configurado.

Num alvo, o comando seguinte utiliza a sintaxe de reg query documentada pela Microsoft para ler recursivamente o ramo das políticas do Windows Update:

reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /s

A referência das definições do Windows Update documenta WUServer e WUStatusServer nesse ramo e UseWUServer na sua subchave AU. Reveja em conjunto o endpoint de atualizações configurado, o endpoint de estatísticas e a definição de utilização de WSUS. São observações da configuração local, não resultados de ligações bem-sucedidas. A ausência de saída deve ser conciliada com o âmbito das políticas e o método de gestão.

A Microsoft recomenda configurar as fontes de pesquisa através de GPO ou CSP, em vez de escritas diretas no registo. As suas orientações sobre fontes de pesquisa avisam especificamente que uma alteração baseada no registo também precisa de UseUpdateClassPolicySource, caso contrário a fonte não muda. Utilize o processo de políticas suportado para as correções; não adicione uma cadeia de caracteres apenas para satisfazer um detetor.

Passo 3: Recolher uma pesquisa bem-sucedida e um inventário de patches separado

No cliente Windows, a referência de Get-WindowsUpdateLog da Microsoft documenta a conversão de rastos ETL do Windows Update num registo legível:

Get-WindowsUpdateLog

Isto converte rastos de diagnóstico; não inicia uma pesquisa nem certifica a instalação de atualizações. Utilize os diagnósticos dos clientes conservados e os registos de pesquisa da plataforma de gestão existente para investigar o serviço efetivamente contactado, a conclusão da pesquisa, os carimbos temporais e as falhas. Anexe a identidade do dispositivo e o período das evidências. Se os registos disponíveis não permitirem estabelecer uma classe ou fonte, marque essa parte da matriz como desconhecida, em vez de a inferir de uma URL.

Compare depois o inventário de atualizações instaladas com a referência de patches aplicável na organização. Registe separadamente a atualidade do inventário, a aplicabilidade, os resultados de instalação e o trabalho pendente. Uma pesquisa bem-sucedida pode descobrir atualizações que continuam por instalar. Um endpoint de estatísticas preenchido ou um contacto recente com a gestão não substitui essas evidências de instalação.

Remediação: Corrigir divergências de fonte comprovadas (Remediation)

Passo 1: Construir a matriz de fonte, classe e população

Crie uma cópia desta folha de trabalho para cada população. As células representam evidências a recolher, não resultados de exemplo de um ambiente:

Mantenha separadas a fonte prevista e a fonte efetiva. Se uma população gerida utiliza intencionalmente o Windows Update, documente essa decisão, as políticas que a regem, o responsável e as evidências de pesquisa/instalação. Instalar WSUS para fazer desaparecer um marcador de auditoria não responderia a essas questões operacionais.

Passo 2: Alterar a política responsável num âmbito piloto

Corrija apenas a divergência sustentada pela folha de trabalho. Para clientes que devem utilizar WSUS, valide a configuração do serviço de intranet e as seleções de classes através do processo GPO ou CSP responsável. Numa transição planeada com fontes mistas, defina cada classe para a sua fonte aprovada e configure as quatro definições CSP quando esse for o método de implementação.

Concilie os controlos antigos de pesquisa dupla antes do piloto. Examine também Do not connect to any Windows Update Internet locations onde se aplicar: a Microsoft avisa que esta definição pode impedir o funcionamento de serviços públicos, incluindo políticas do cliente Windows Update e Delivery Optimization. Uma decisão de utilizar uma fonte na nuvem precisa de restrições de rede e de políticas compatíveis. Siga o comportamento documentado das definições do Windows Update, em vez de remover restrições de forma generalizada sem verificar a sua finalidade.

Mantenha o servidor de deteção, o destino dos relatórios e o servidor de transferência opcional alinhados com o desenho aprovado. Conserve a configuração anterior para reversão e acorde com o responsável pelas atualizações um período de recolha de evidências para o piloto. O Configuration Manager ou outra gestão existente exige a sua própria revisão da configuração dos clientes; este procedimento não substitui esse processo de gestão.

Passo 3: Repetir as mesmas medições antes de alargar a alteração

Depois de a política ser aplicada, volte a executar as leituras de GPO e do registo, recolha evidências MDM recentes quando pertinente e observe pesquisas bem-sucedidas no serviço previsto. Investigue pesquisas falhadas, fontes não pretendidas ou evidências ausentes antes de alargar a alteração. Verifique a conformidade da instalação de forma independente após o período de implementação.

Anexe estas evidências ao processo de auditoria recorrente de AD e à cadência de verificação após alterações. Volte a verificar a matriz após alterações ao âmbito das políticas, à responsabilidade de gestão ou ao acesso à rede. Um revisor posterior deve conseguir distinguir a utilização intencional do Windows Update de uma política perdida ou de uma recolha incompleta.

Como a EtcSec deteta isto

A implementação revista de PA038_WSUS_NOT_CONFIGURED no etc-collector examina as GPOPolicies recolhidas. Uma cadeia de caracteres WUServer não vazia em qualquer GPO define a contagem como 0. Se não houver políticas, ou se todos os valores disponíveis estiverem ausentes ou vazios, devolve um resultado de gravidade Low com contagem 1. Esta contagem não descreve o número de clientes não geridos ou sem patches.

O analisador revisto de Registry.pol mapeia uma cadeia de caracteres não vazia chamada WUServer quando a chave de registo contém windowsupdate. A rotina de recolha SMB ignora leituras de ficheiros malsucedidas nestes pontos de chamada e mantém, mesmo assim, o objeto de política GPO. Um ficheiro de política ausente ou ilegível pode, por isso, deixar os dados esperados ausentes sem um resultado separado de erro de leitura aqui.

Esta verificação não determina a aplicação de GPO por alvo, ligações, filtragem ou precedência. Não valida a URL ou o protocolo, não inspeciona UseWUServer ou WUStatusServer, não recolhe as definições de fonte CSP, não distingue classes de atualizações, não testa a conectividade, não confirma uma pesquisa bem-sucedida nem inventaria patches instalados. Um marcador positivo numa GPO não relacionada pode satisfazer a verificação e deixar por esclarecer a população em análise.

Utilize o resultado para iniciar a verificação específica da população descrita acima. Conserve no registo de auditoria as decisões intencionais de fonte na nuvem e as incertezas de recolha. Resolva a questão operacional apenas quando a fonte prevista, as políticas efetivas dos clientes, as pesquisas bem-sucedidas e o inventário de instalação separado tiverem sido conciliados.