SUS和WSUS服务器的搭建

3、拒绝更新 此选项只是存在于更新页面的更新任务列表中。如果你选择此选项，此更新将从可用更 新列表中删除，而不再进行任何其他操作。只有在查看视图中选择查看已拒绝或者所有 更新类别的更新程序时才可见。
4、删除 你可以批准某个更新进行删除，即从相应的客户端计算机上进行卸载。此选项只 有更新程序支持删除时才会出现。针对删除更新操作，你也同样可以定义最后期 限，当你想让客户端计算机立即执行时，你可以指定一个过去时间为最后期限。
其他配置任务
配置ＷＳＵＳ使用代理服务器 选择产品和分类 同步ＷＳＵＳ服务器 配置高级同步选项 更新存储选项 延迟下载选项 快速安装文件选项 筛选更新选项 链接ＷＳＵＳ服务器 创建复制组（安装）
管理客户端计算机 查看计算机详细信息及状态 移动计算机到计算机组 删除计算机 管理计算机组 创建计算机组 删除计算机组
2、安装 批准更新在批准更新对话框所指定的计算机组中进行安装。在批准更新时，你可 以选择客户端计算机安装更新的不同方式： •使用客户端计算机的设置来决定如何安装更新。当你使用此方式时，批准更新 所应用到的计算机组中的客户端计算机将根据自己的设置来决定如何安装更新程 序，可能会提示当前的用户进行安装，也可以根据组策略的设置自动进行安装。 •定义自动安装的最后期限。当你使用此方式，你可以指定更新程序在客户端计 算机上安装的日期和时间，此设置会覆盖客户端计算机上的任何设置。你可以指 定一个过去的时间，这样会导致客户端计算机在下次访问WSUS服务器时立刻 进行安装操作。注意，你不能为需要用户输入的更新程序进行最后期限定义的自 动安装，否则安装会失败。你可以在更新程序的详细信息中查看可能要求用户输 入字段来确定更新程序是否需要用户输入，并且在批准更新时在批准更新对话框 上也会有相应的提示。
选择WSUS所使用的数据库
WMSDE Windows Server 2003 数据库大小,无连接限制 MSDE
Windows Server 2000 Server Family
数据库性能 大小(2G)受限制
MS SQL Server 2000 + sp4

服务器的配置 更新源数据 都是存储在数据库中的 具体的更新的数据不是存储在数据库中的
补丁解决方案
Software Update Services
Software Update Services Process
处理过程

客户端设置 SUS 服务器地址 设置客户端是否立即重起计算机
SUS服务器的软件硬件要求
Software Update Services Server Distribution Points SUS分发点
漏洞的严重等级程度
漏洞的严重程度等级与时间
用于修补程序管理的微软的技术
成本的比较
管理功能的比较
补丁的安装方法


winndows Update
Automatic Updates
基于网页的
后台下载更新补丁

以上两种模型主要适合个人用户或者客户端 对于企业来说以上两种模型有缺点 浪费带宽 下载 速度慢 不方便管理
面的管理和获取Microsoft Update 发布的更新,然后 将这些更新分发到客户端计算机 管理基础架构
Microsoft Update
WSUS Server WSUS Client
基础架构
设计WSUS部署
选择部署类型
复制模式
主WSUS（主） 复制 WSUS（从） 链式关系 复制更新的批准情况 组的关系 注意组成员是不会 被复制的 组的关系被复制到下面的去以后各个WSUS 服务器 的下面的组的关系会和主WSUS下面的组关系是一 致的 主WSUS有三个组 下面的复制WSUS也有三个 组 复制WSUS服务器上的具体用户要在下面的复制 WSUS上手动添加
容量的规划
客户端计算机小于500
客户端计算机大于500
安装必须的软件
Windows server 2003 IIS 6.0 .NET Framework ２．０ Ｂｉｔｓ２．０
BITS基础
BITS是一个新的Windows文件传输特性，它通过HTTP异步从远程服务器 下载文件。BITS可以使用专门的空闲带宽管理多个用户的多个下载。尽管BITS 的使用不限于自动更新应用程序，但是它是Windows更新使用的低层API。由于 它对于任何应用程序都是可用的，因而用于做许多实际的工作，包括建立自动更 新的应用程序。 以下是基本的想法。应用程序请求BITS管理文件的下载。BITS将工作添加到它 的队列并将它与应用程序运行的用户环境关联。一旦用户登录，BITS就使用空 闲带宽通过网络慢慢下载文件。实际上BITS技术的代码名称是Drizzle，它描述 BITS做什么。
WSUS----------批准----仅检测(检查客户端是否执行了更新,生成报告) 批准----安装 批准----已拒绝 批准----删除(去客户端删除或者卸载更新 仅很少的更新允 许WSUS删除) 批准----未许可( 并不是一个批准操作,它表示在指定操作之 前不会执行任何操作)
1、仅检测 当你批准更新只是进行检测时，更新并不会在客户端计算机上进行安装。但是， WSUS会在批准更新对话框上所应用到的计算机组上进行检测，以确定此更新 是否适合客户端计算机或者客户端计算机是否需要。此检测动作计划在当客户端 计算机下次和WSUS服务器进行通讯时发生，你可以通过更新报告状态或者在 更新页面点击更新程序的状态标签来查看结果。如果显示为需要，则表明客户端 计算机需要此更新。默认情况下，关键更新和安全更新将自动批准进行检测。

知名的漏洞和病毒从更新发布到病毒爆发之间留给用户的打补丁也就是说用户有331天将近一年的时间 可以去打补丁，同时反映出这个攻击工具黑客大约花了一年的时间去 研发）
Exploit vt.开拓, 开发, 开采, 剥削, v.使用


Blaster冲击波（25天） Sasser震荡波（14天） 皆是利用缓冲区漏洞 攻击 可以看出留给我们打补丁的时间越来越短
上面直线标注的配置是默认的配置 下面直线标注的配置是特殊的 配置 当有冲突的时候,下面的配置会覆盖上面的配置
任何的WSUS客户端计算机都是属 于“所有计算机”这个组， 缺省的 组还有一个 缺省的组叫做未指定的 计算机组 没有指定计算机组的客户 端计算机它属于“所有计算机”同 时它还属于未指定的计算机组
How Synchronization Works 同步 自动或者手动
安装 选择安装的语言
MBSA
部署 WSUS
WSUS概览
设计WSUS部署 安装WSUS服务器 配置WSUS服务器 加固WSUS服务器
配置WSUS客户端
通过WSUS(Windows Server Update Services)可全
最后期限
对于安全更新 关键更新 默认就是自动检测的
配置ＷＳＵＳ客户端
配置ＷＡＵ的方法 ＡＤ环境 ＧＰ 工作组环境
5、未许可 这是默认的批准选项。WSUS服务器同步更新程序后，更新程序的默认状态即 为未许可。在此状态下，WSUS服务器不会对更新程序进行任何操作，客户端 计算机也不能对此更新进行检测或安装，你必须手动批准更新进行安装或检测。 以上五个批准操作方式中，除了拒绝更新是通过点击更新页面的更新任务列表中 的拒绝更新链接来实现外，其他均通过点击更改批准链接实现。
决定更新内容存放的位置
本地存储-------WSUS服务器
最少6G 最好30G 远程存储-------Windows Update
延迟更新下载
决定带宽的选项
使用多台WSUS服务器延迟更新下载
筛选更新 使用快速安装文件
按照我们的局域网内部的系统的需求选择需 要的更新------更新分类----筛选-------减少不必 要的带宽
安装ＩＩＳ 端口
安装演示
是否以复制模式运行
直接键入服务器名就可以了 不需要键入HTTP或者HTTPS
配置WSUS 访问WSUS管理控制台 本地管理员组或WSUS管理员组成员 访问方式 管理工具 Microsoft IE
http:// WSUSServername:port/WSUSAdmin/
SUS和WSUS服务器的搭建
补丁安装的重要性
•各种补丁的安装方法以及补丁安装的必要性 •SUS的一个简单介绍 •如何配置SUS 各种补丁的安装方法以及补丁安装的必要性
漏洞时间线
产品发行到初期的使用这个个时间段 漏洞和Buger并没有被发现 漏洞被发现 漏洞被公开 （寻找解决方案）只有少数人知道漏洞 发布更新（少数的人，下载补丁，反编译补丁，查看补丁对系统的 修补点，编写攻击工具） 大多数人往往是在攻击发生以后才开始去打补丁
注意区分更新源和复制模式是不同的

更新源可以设置成和Microsoft Updata同步也可以 到主WSUS去同步
但是复制模式 是指更新的批准情况 组的关系 复 制 复制并不是复制的更新 分散模式


相互独立的WSUS
每一个WSUS服务器都需要一个管理员 组的划分 更新的批准都需要独立去在每一 台服务器上做
更新 元数据 更新的属性信息，ＥＵＬＡｓ（ＥＮＤ－ＵＳＥＲ ＬＩＣＥＮＳＥ ＡＧＲＥＥＭＥＮＴＳ） 更新 文件 操作
查看更新 批准更新 测试更新 计算机组 存储更新 Ｗｓｕｓｕｔｉｌ ｍｏｖｅｃｏｎｔｅｎｔ
元数据 描述更新的一些信息或者是终端用户的一些许可协议 更新文件 我们通常说的更新文件 元数据-----------数据库 更新的文件------------文件夹