Sicherheit gewährleisten

[JamesTorri 10]

Hallo zusammen

 

Ich wollte mich erkundigen, wie ihr in eurer WSUS-Umgebung (Client, Server) gewährleistet, dass ein Computer gepatcht ist.

 

Mit WSUS kann ja nur ein Client aktualisiert werden, der sich auch beim WSUS-Server meldet. So weit, so gut.

 

Was aber, wenn auf dem PC der Dienst (Automatische Updates) deaktiviert ist?

Oder ein Computer einen defekten Windows Update Agent hat?

Oder einen sonstigen Fehler, wo sich der Client nicht beim Server melden kann?

 

Grundsätzlich möchte ich gewährleisten, dass JEDES Domänenmitglied alle freigegeben Patches installiert hat.

 

Danke schon Mal für eure Antworten.

 

Gruss, JT

[NorbertFe 2.291]

Was aber, wenn auf dem PC der Dienst (Automatische Updates) deaktiviert ist?

 

Warum sollte der PC einen deaktivierten Dienst haben? Bzw. wäre es als Admin deine Aufgabe das zu verhindern, oder? ;)

 

Oder ein Computer einen defekten Windows Update Agent hat?

 

Dann taucht der Computer irgendwann im WSUS als "lange nicht aktualisiert" auf, und du wirst als Admin tätig werden müssen.

 

Oder einen sonstigen Fehler, wo sich der Client nicht beim Server melden kann?

 

Siehe oben.

 

 

Grundsätzlich möchte ich gewährleisten, dass JEDES Domänenmitglied alle freigegeben Patches installiert hat.

 

Ja, und?

 

 

Bye

Norbert

[djmaker 95]

Gewährleisten kannst Du das mit NAP:

 

Network Access Protection (NAP)

[JamesTorri 10]

Gewährleisten kannst Du das mit NAP:

 

Network Access Protection (NAP)

 

Ja, NAP hatte ich auch im Hinterkopf. Es wird wohl in diese Richtung gehen. Somit wären alle Anforderungen erfüllt.

 

Hast Du zufälligerweise NAP im Einsatz?

[Sunny61 834]

Ich wollte mich erkundigen, wie ihr in eurer WSUS-Umgebung (Client, Server) gewährleistet, dass ein Computer gepatcht ist.

 

Keine Adminrechte auf den Clients und die WSUS-GPO einsetzen. ;)

 

Was aber, wenn auf dem PC der Dienst (Automatische Updates) deaktiviert ist?

 

Wieso sollte der Dienst deaktiviert sein? Mittels GPO wird der Dienst aktiviert, fertig.

 

Oder ein Computer einen defekten Windows Update Agent hat?

Oder einen sonstigen Fehler, wo sich der Client nicht beim Server melden kann?

 

Das siehst Du dann schon in der WSUS-MMC. Anschließend heißt es reparieren, da hilft auch oft PSEXEC.EXE. In der lokalen WindowsUpdate.log finden sich die vom WU-Agent erzeugten Fehlermeldungen.

 

Grundsätzlich möchte ich gewährleisten, dass JEDES Domänenmitglied alle freigegeben Patches installiert hat.

 

Dann lass dem Benutzer gar keine Möglichkeit etwas abzulehnen.