Comment gérer ses patchs dans WSUS?

Pascal nous propose des épisodes de ses actions pour déployer les patchs de Microsoft patch day...

Patch Tuesday, épisode 1 : d'abord on fait le ménage

http://blogs.technet.com/pascals/archive/2008/10/14/patch-tuesday-pisode-1-d-abord-on-fait-le-m-nage.aspx

Deuxième mardi du mois, H-8.

Dans 8 heures, vers 19h, les bulletins de sécurité seront publiés à cette adresse, et avec eux les mises à jour (patches) de sécurité.

Comme évoqué jeudi soir, j'essaie cette semaine de suivre pas à pas comment se passe la semaine du Patch Tuesday avec WSUS. Autrement dit, je vais livrer ici sans artifice comment ma maquette de test va réagir au fur et à mesure des événements.

L'épisode 0 (le pilote ? :-)) de cette série était la publication, jeudi soir, du préavis des bulletins de sécurité. Nous savons donc depuis jeudi soir que ce soir seront publiés 11 bulletins de sécurité et qu'a priori je serai au plus concerné par 8 d'entre eux.

Pour info, la maquette représente un domaine simplifié, avec un contrôleur de domaine (+ DNS, DHCP, WINS, Certificate Services, IIS) et un serveur WSUS, tous les deux Windows Server 2003 SP2, deux serveurs Windows Server 2008 (un complet et un core), deux Windows Vista (un Business et un Ultimate), un Windows XP SP2 et un Windows XP SP3.

Dans ce deuxième épisode, on voit que le processus démarre avec un nettoyage de la base de mises à jour. En effet, hier soir lors de la synchronisation quotidienne de mon serveur WSUS, plusieurs mises à jour ont expiré : il s'agit des versions de juin 2008 de MSRT, et des versions d'août 2008 du filtre anti-spam de Windows Mail :

Chaque mois ces deux composants sont mis à jour par Windows Update, et il est donc logique de se débarrasser régulièrement des anciennes mises à jour. Il faut donc aussi prendre en compte la mise à jour de ces composants dans le processus de patch mensuel.

MSRT (Malicious Software Removal Tool) est l'outil de suppression des logiciels malveillants. Dans WSUS, il s'applique à Windows 2000, XP, 2003, Vista et 2008 et fait partie de la classification "Update Rollups" ("Ensembles de mises à jour"). Lorsqu'il est déployé sur un système, il est également exécuté de façon à détecter et supprimer les principaux logiciels malveillants connus.

La mise à jour du filtre anti-spam de Windows Mail (Update for Windows Mail Junk E-mail Filter) est également mensuelle, selon le même principe que MSRT. Elle s'applique à Windows Vista et fait partie de la catégorie "Updates".

Si comme moi vous avez configuré WSUS de sorte qu'il vous envoie un mail à chaque nouvelle mise à jour synchronisée, vous avez reçu un mail qui ressemble à ceci :

Malheureusement, ce mail ne fait pas la distinction entre les mises à jour nouvelles, révisées ou ayant expiré... Ce qui prête à confusion dans un cas comme aujourd'hui. Le rapport de synchronisation du serveur WSUS est donc plus pertinent.

À ce soir 19h pour la suite des événements !

episode 2 :

http://blogs.technet.com/pascals/archive/2008/10/14/patch-tuesday-pisode-2-publication-des-bulletins-de-s-curit.aspx

Episode 3 :

http://blogs.technet.com/pascals/archive/2008/10/14/patch-tuesday-pisode-3-il-n-y-a-pas-que-les-bulletins-de-s-curit.aspx

Episode 4 :

http://blogs.technet.com/pascals/archive/2008/10/15/patch-tuesday-pisode-4-bilan-de-la-nuit.aspx

Episode 5 :

http://blogs.technet.com/pascals/archive/2008/10/16/patch-tuesday-pisode-5-100-jour.aspx

Episode 6... La Fin! :

http://blogs.technet.com/pascals/archive/2008/10/16/patch-tuesday-pisode-6-pilogue-ou-comment-r-soudre-le-probl-me-de-server-core.aspx

Ouf, WSUS c'est  bien, mais il faut quand même s'en occuper...