SUS和WSUS服务器的搭建

SUS和WSUS效劳器的搭建补丁安装的重要性各种补丁的安装方法以及补丁安装的必要性SUS的一个简单介绍如何配置SUS各种补丁的安装方法以及补丁安装的必要性漏洞时间线

产品发行到初期的使用这个个时间段漏洞和Buger并没有被发现漏洞被发现漏洞被公开〔寻找解决方案〕只有少数人知道漏洞发布更新〔少数的人，下载补丁，反编译补丁，查看补丁对系统的修补点，编写攻击工具〕大多数人往往是在攻击发生以后才开始去打补丁知名的漏洞和病毒从更新发布到病毒爆发之间留给用户的打补丁的时间尼姆达〔蠕虫病毒〕331天〔也就是说用户有331天将近一年的时间可以去打补丁，同时反映出这个攻击工具黑客大约花了一年的时间去研发〕Exploitvt.开拓,开发,开采,剥削,v.使用Blaster冲击波〔25天〕Sasser震荡波〔14天〕皆是利用缓冲区漏洞攻击可以看出留给我们打补丁的时间越来越短漏洞的严重等级程度漏洞的严重程度等级与时间用于修补程序管理的微软的技术本钱的比较管理功能的比较补丁的安装方法winndowsUpdate基于网页的AutomaticUpdates后台下载更新补丁以上两种模型主要适合个人用户或者客户端对于企业来说以上两种模型有缺点浪费带宽下载速度慢不方便管理补丁解决方案SoftwareUpdateServicesSoftwareUpdateServicesProcess处理过程客户端设置SUS效劳器地址设置客户端是否立即重起计算机SUS效劳器的软件硬件要求

SoftwareUpdateServicesServerDistributionPoints

SUS分发点

HowSynchronizationWorks

同步

自动或者手动

安装选择安装的语言MBSA部署

WSUSWSUS概览设计WSUS部署安装WSUS效劳器配置WSUS效劳器加固WSUS效劳器配置WSUS客户端通过WSUS(WindowsServerUpdateServices)可全面的管理和获取MicrosoftUpdate发布的更新,然后将这些更新分发到客户端计算机管理根底架构MicrosoftUpdateWSUSServerWSUSClient根底架构设计WSUS部署

选择部署类型复制模式

主WSUS〔主〕复制WSUS〔从〕链式关系复制更新的批准情况组的关系注意组成员是不会被复制的组的关系被复制到下面的去以后各个WSUS效劳器的下面的组的关系会和主WSUS下面的组关系是一致的主WSUS有三个组下面的复制WSUS也有三个组复制WSUS效劳器上的具体用户要在下面的复制WSUS上手动添加注意区分更新源和复制模式是不同的

更新源可以设置成和MicrosoftUpdata同步也可以到主WSUS去同步但是复制模式是指更新的批准情况

组的关系复制

复制并不是复制的更新分散模式每一个WSUS效劳器都需要一个管理员组的划分更新的批准都需要独立去在每一台效劳器上做相互独立的WSUS选择WSUS所使用的数据库WMSDEWindowsServer2003数据库大小,无连接限制MSDEWindowsServer2000ServerFamily数据库性能大小(2G)受限制MSSQLServer2000+sp4效劳器的配置更新源数据都是存储在数据库中的具体的更新的数据不是存储在数据库中的决定更新内容存放的位置本地存储-------WSUS效劳器最少6G最好30G远程存储-------WindowsUpdate决定带宽的选项使用多台WSUS效劳器延迟更新下载延迟更新下载筛选更新

使用快速安装文件按照我们的局域网内部的系统的需求选择需要的更新------更新分类----筛选-------减少不必要的带宽容量的规划客户端计算机小于500客户端计算机大于500安装必须的软件Windowsserver2003IIS6.0.NETFramework２．０Ｂｉｔｓ２．０BITS根底

BITS是一个新的Windows文件传输特性，它通过HTTP异步从远程效劳器下载文件。BITS可以使用专门的空闲带宽管理多个用户的多个下载。尽管BITS的使用不限于自动更新应用程序，但是它是Windows更新使用的低层API。由于它对于任何应用程序都是可用的，因而用于做许多实际的工作，包括建立自动更新的应用程序。

以下是根本的想法。应用程序请求BITS管理文件的下载。BITS将工作添加到它的队列并将它与应用程序运行的用户环境关联。一旦用户登录，BITS就使用空闲带宽通过网络慢慢下载文件。实际上BITS技术的代码名称是Drizzle，它描述BITS做什么。安装ＩＩＳ端口安装演示是否以复制模式运行直接键入效劳器名就可以了不需要键入HTTP或者HTTPS配置WSUS访问WSUS管理控制台本地管理员组或WSUS管理员组成员访问方式管理工具MicrosoftIE://WSUSServername:port/WSUSAdmin/其他配置任务配置ＷＳＵＳ使用代理效劳器选择产品和分类同步ＷＳＵＳ效劳器配置高级同步选项更新存储选项延迟下载选项快速安装文件选项筛选更新选项链接ＷＳＵＳ效劳器创立复制组〔安装〕

管理客户端计算机查看计算机详细信息及状态移动计算机到计算机组删除计算机管理计算机组创立计算机组删除计算机组更新元数据更新的属性信息，ＥＵＬＡｓ〔ＥＮＤ－ＵＳＥＲＬＩＣＥＮＳＥＡＧＲＥＥＭＥＮＴＳ〕更新文件操作查看更新批准更新测试更新计算机组存储更新Ｗｓｕｓｕｔｉｌｍｏｖｅｃｏｎｔｅｎｔ元数据描述更新的一些信息或者是终端用户的一些许可协议更新文件我们通常说的更新文件元数据-----------数据库更新的文件------------文件夹WSUS-----------批准----仅检测(检查客户端是否执行了更新,生成报告)批准----安装批准----已拒绝批准----删除(去客户端删除或者卸载更新仅很少的更新允许WSUS删除)批准----未许可(并不是一个批准操作,它表示在指定操作之前不会执行任何操作)1、仅检测当你批准更新只是进行检测时，更新并不会在客户端计算机上进行安装。但是，WSUS会在批准更新对话框上所应用到的计算机组上进行检测，以确定此更新是否适合客户端计算机或者客户端计算机是否需要。此检测动作方案在当客户端计算机下次和WSUS效劳器进行通讯时发生，你可以通过更新报告状态或者在更新页面点击更新程序的状态标签来查看结果。如果显示为需要，那么说明客户端计算机需要此更新。默认情况下，关键更新和平安更新将自动批准进行检测。2、安装批准更新在批准更新对话框所指定的计算机组中进行安装。在批准更新时，你可以选择客户端计算机安装更新的不同方式：使用客户端计算机的设置来决定如何安装更新。当你使用此方式时，批准更新所应用到的计算机组中的客户端计算机将根据自己的设置来决定如何安装更新程序，可能会提示当前的用户进行安装，也可以根据组策略的设置自动进行安装。定义自动安装的最后期限。当你使用此方式，你可以指定更新程序在客户端计算机上安装的日期和时间，此设置会覆盖客户端计算机上的任何设置。你可以指定一个过去的时间，这样会导致客户端计算机在下次访问WSUS效劳器时立刻进行安装操作。注意，你不能为需要用户输入的更新程序进行最后期限定义的自动安装，否那么安装会失败。你可以在更新程序的详细信息中查看可能要求用户输入字段来确定更新程序是否需要用户输入，并且在批准更新时在批准更新对话框上也会有相应的提示。3、拒绝更新此选项只是存在于更新页面的更新任务列表中。如果你选择此选项，此更新将从可用更新列表中删除，而不再进行任何其他操作。只有在查看视图中选择查看已拒绝或者所有更新类别的更新程序时才可见。4、删除你可以批准某个更新进行删除，即从相应的客户端计算机上进行卸载。此选项只有更新程序支持删除时才会出现。针对删除更新操作，你也同样可以定义最后期限，当你想让客户端计算机立即执行时，你可以指定一个过去时间为最后期限。

5、未许可这是默认的批准选项。WSUS效劳器同步更新程序后，更新程序的默认状态即为未许可。在此状态下，WSUS效劳器不会对更新程序进行任何操作，客户端计算机也不能对此更新进行检测或安装，你必须手动批准更新进行安装或检测。以上五个批准操作方式中，除了拒绝更新是通过点击更新页面的更新任务列表中的拒绝更新链接来实现外，其他均通过点击更改批准链接实现。上面直线标注的配置是默认