123答案

如何使用SUS 执行修补程序管理目标使用本模块可以实现：•使用SUS 和MBSA 实现修补程序管理过程的所有四个阶段。

适用范围本模块适用于下列产品和技术•Microsoft® Software Update Services (SUS) 1.0（附带Service Pack 1）•Microsoft Baseline Security Analyzer (MBSA) 1.1.1如何使用本模块本模块提供有关如何使用SUS 和MBSA 实现四个阶段的修补程序管理过程的详细信息。

为了充分理解本模块内容，请：•参阅模块修补程序管理过程。

该模块概述修补程序管理过程的各个阶段（共四个），并介绍可在Microsoft Windows® 操作系统环境中支持修补程序管理的工具。

•请参阅以下四个模块，它们详细描述了包含四个阶段的修补程序管理过程：•请参阅模块修补程序管理阶段1 –评估。

•请参阅模块修补程序管理阶段2 –识别。

•请参阅模块修补程序管理阶段3 –评估和计划。

•请参阅模块修补程序管理阶段4 –部署。

•请参阅“Software Update Services Deployment”白皮书，该文章可以从SUS 站点/windowsserversystem/sus/default.mspx（英文）下载。

•请参阅“Microsoft Baseline Security Analyzer”的介绍，其网址为/mbsa（英文）。

摘要本模块介绍了如何使用SUS 和MBSA 进行企业修补程序管理。

本模块中提供的指导和信息可以帮助您实现Microsoft 推荐的四阶段的修补程序管理过程。

准备工作开始使用本模块之前，需要执行以下准备步骤：•下载MBSA请从位于/technet/security/tools/mbsahome.asp（英文）的MBSA 主页中下载MBSA。

•下载最新的MBSA XML 文件如果您使用的计算机可以访问Internet，则可以自动下载最新的安全XML 文件（如果需要）。

但是，如果您的计算机没有Internet 访问权限，则需要使用位于以下站点的签署.cab 文件下载最新的XML 文件：/download/xml/security/1.0/NT5/EN-US/mssecure.cab（英文）。

该.cab 文件是已签署的，这样做是为了确保它没有被修改。

您必须解压缩该文件并将其存储到存储MBSA 的同一个文件夹中。

注意：要查看最新的XML 文件而不进行下载，请登录以下站点：/technet/security/search/mssecure.xml（英文）。

•安装MBSA您可以使用Mbsasetup.msi 安装MBSA。

默认的安装目录为：\Program Files\Microsoft Baseline Security Analyzer\。

注意：您需要从此目录运行命令。

MBSA 并不为您创建环境变量。

•下载SUS 1.0（附带SP1）您可以从/downloads/details.aspx?FamilyId=A7AA96E4-6E41-4F54-972C-AE6 6A4E4BF6C&displaylang=en（英文）中下载SUS 1.0（附带SP1）。

•安装SUS 1.0（附带Service Pack 1）请使用SUS10SP1.exe 进行安装。

预备知识使用本模块之前，应该了解以下内容：•您可以使用GUI (Mbsa.exe) 或从命令行(Mbsacli.exe) 中操作MBSA。

•MBSA 使用端口138 和139 执行扫描。

•MBSA 需要对您所扫描的计算机具有管理员权限。

可以使用选项/u （用户名）和/p （密码）指定运行扫描的用户名。

请不要将用户名和密码存储在文本文件中，例如命令文件或脚本。

•MBSA 需要以下软件：•Microsoft Windows XP、Microsoft Windows 2000 或Microsoft Windows NT® 4.0 SP4 和更高版本的操作系统（本地扫描只能在使用简单文件共享的Windows XP 计算机上实现）•Internet Information Services (IIS) 4.0、5.0（执行IIS 漏洞检查时需要）•Microsoft SQL Server 7.0, 2000（执行SQL 漏洞检查时需要）•Microsoft Office 2000、XP（需要执行Office 漏洞检查）•对于MBSA 而言，必须安装/启用以下服务：•Server 服务•远程注册服务•文件和打印共享•SUS 仅在端口80 上工作；客户端上的自动更新组件只能在该端口上与SUS 服务器进行通信。

•SUS 1.0 SP1 在Windows 2000 Server（附带Service Pack 2 或更高版本）上运行。

必须在服务器上启用IIS。

评估阶段–扫描更新开始使用SUS 将软件更新部署到产品环境中之前，必须执行审核。

有关背景信息，请参阅模块修补程序管理阶段 1 –评估。

如果使用SUS 进行修补程序管理，必须使用MBSA 进行审核和扫描。

MBSA 将报告以下操作系统上缺少的安全更新和Service Pack，并识别其漏洞：•Microsoft Windows Server 2003•Windows XP•Windows 2000•Windows NT 4.0MBSA 还报告计算机配置是否符合常见的最佳安全实践（如强密码）。

此外，MBSA 还报告以下应用程序缺少的安全更新：•Microsoft Internet Information Server 4.0•Microsoft Internet Information Services 5.0 和6.0•Microsoft SQL Server 7.0 和SQL Server 2000（包括Microsoft SQL Server Desktop Engine (MSDE) 1.0 和MSDE 2000）•Microsoft Exchange Server 5.5 和Exchange Server 2000（包括Exchange 管理工具）•Microsoft Internet Explorer 5.01 及更高版本•Microsoft Windows Media Player 6.4 及更高版本MBSA 还识别以下应用程序的错误配置设置：•Internet Information Server 4.0•Internet Information Services 5.0 和 6.0•Internet Explorer 5.01 及更高版本•SQL Server 7.0 和SQL Server 2000（包括MSDE 1.0 和MSDE 2000）•Office 2000 和Office XP•使用MBSA 扫描更新1.在安装MBSA 的工作站上，以域管理员的身份登录并运行MBSA GUI。

2.单击“选取多个要扫描的计算机”并输入要扫描的域名或Internet 协议(IP) 地址范围。

如果要扫描整个域，则输入的名称必须为该域的NetBIOS 名称，而不是DNS 中所使用的完全限定域名(FQDN)。

3.选择“使用SUS 服务器”并输入http:// server，其中server 是所需的SUS 服务器名，如图1 所示。

图1扫描域或IP 地址范围中的计算机4.单击“开始扫描”并等待结果。

5.单击“选取要查看的安全报告”并单击要查看其报告的计算机。

6.单击“结果详细信息”以查看详细信息。

注意：MBSA 只检测操作系统和软件应用程序的软件更新的存在或缺少情况，这些特定的软件更新内容列在Microsoft 知识库文章306460“Hfnetchk Returns Note Messages for Installed Patches”中，其网址为/default.aspx?scid=kb;en-us;306460（英文）。

MBSA 的输出将标识您的IT 基础结构中是否已采用物理方式安装了MBSA 被指定进行扫描的软件应用程序，以及确保这些应用程序的安全所需的安全更新。

图2 所示为一个IIS 5.0 安装在Windows 2000 成员服务器上的示例。

图2MBSA 扫描的输出MBSA 的GUI 版本扫描文件版本和注册表项信息。

使用MBSA 的命令行版本(Mbsacli.exe) 可以执行更加全面的产品环境扫描，它可以验证每个扫描的安全更新的文件校验和版本、文件版本和注册表项信息。

使用MBSA 命令行版本时，有两个可以选择的选项：•使用/hf 开关可以仅执行安全更新扫描•如果不使用/hf，将执行对整个计算机的扫描使用Mbsacli.exe（带/hf 开关）创建的扫描结果可以在命令行上查看，也可以发送至输出文件中；而使用Mbsacli.exe（不带/hf 开关）则会产生一个XML 扫描报告，此报告可以在MBSA GUI 中查看。

可以将Mbsacli.exe /hf 的输出导入Microsoft Excel 或文本文件中，以进行进一步分析。

评估阶段–设置环境基准您可以结合使用MBSA 命令行实用程序(Mbsacli.exe /hf) 的输出及Microsoft Excel 中的“数据透视表和数据透视图”功能，标识产品环境中已部署的项目，并设置适当的基准。

有关背景信息，请参阅模块修补程序管理阶段 1 –评估。

注意：SUS 客户端将自动应用SUS 服务器上可用于它们（且已被批准）的更新。

因此，这些更新可能不需要包含在结构映像中，而可以在将新的计算机加入域时应用。

然而，实践中，许多通过SUS 提供的更新不是对计算机的成功运行非常关键，就是可以降低受安全漏洞影响的风险。

这表明管理员应当向基础结构添加新的安全更新，这样新计算机从部署到产品环境中的那一刻起就会得到保护。

评估阶段–设计SUS 基础结构评估软件分布基础结构是有效的修补程序管理过程的另一个重要组成部分。

有关背景信息，请参阅模块修补程序管理阶段 1 –评估中的“评估现有软件分布基础结构”部分。

应该只将一个SUS 父服务器配置为自动从Microsoft 公共Windows Update 服务器下载软件更新，如图3 所示。

请注意，在父服务器上应仅批准经过测试且已批准部署的更新。

图3推荐的SUS 拓扑结构借助预先配置的同步计划，SUS 父服务器可以每天从公共的Microsoft Windows Update 服务器下载关键更新和安全更新。

这需要在防火墙中打开出站TCP 端口80。

SUS 测试服务器被配置为可从SUS 父服务器下载更新。