Kategorie: Sicherheit

Automatisierte Verwaltung von kritischen Sicherheitsupdates, die von Microsoft bereitgestellt werden. Dies soll nach Möglichkeit ohne Eingriff des Benutzers vollautomatisch erfolgen. Der administrative Aufwand soll dabei so gering wie möglich sein. Die Verteilung der Sicherheitsupdates soll in allen vorhandenen Standorten zu bestimmten Zeiten erfolgen und ein Eingriff der Administratoren vor Ort soll vermieden werden.
Außerdem müssen die Administratoren im Hauptstandort die Möglichkeit haben, auf einfache Weise die Sicherheitsupdates auf verschiedenen Client-Computern zu testen.

Die Anschaffung neuer Hardware soll wenn möglich vermieden werden.
Es sind ausschließlich Windows 2000 und Windows XP Prof als Client-Betriebssysteme vorhanden. Als Server-Betriebssysteme stehen Windows Server 2000 und Windows Server 2003 zur Verfügung

Der Hauptstandort ist über eine 2MBit/s Standleitung angebunden. Die Aussenstandorte haben eine VPN Verbindung zum Hauptstandort mit unterschiedlichen Bandbreiten (64 kBit/s – 2 MBit/s).
In allen Aussenstandorten sind Server vorhanden, die für die Verteilung genutzt werden können. Die Anzahl der Computer in den Aussenstandorten liegt zwischen 10 und 100 pro Standort.

Auswerung des Projektes

Windows Update ist eine Funktion von Windows, mit der Sie das System auf dem neuesten Stand halten können. Mit Windows Update können Sie Aktualisierungen für die Betriebssysteme, Software und Gerätetreiber direkt von einem Webserver bei Microsoft aktualisieren. Die Website wird regelmäßig durch neuen Inhalt ergänzt, damit Sie jederzeit die neuesten Updates downloaden und so den Server und die Clientcomputer im Netzwerk besser schützen können. Dieser Updatedienst von Microsoft ist kostenlos.
Da sich die Viren und Würmer immer schneller nach bekanntwerden einer Sicherheitslücke verbreiten, ist es umso wichtiger, die Computer auf dem aktuellen Stand zu halten und gefundene Sicherheitslöcher sofort zu schliessen.
Zu den angebotenen Updates gehören z. B. Sicherheitspatches, wichtige Updates und wichtige Treiber.

Sicherheitspatches und andere wichtige Aktualisierungen, um die Computer auf dem neusten Stand und die Netzwerke sicher zu halten.
Die aktuellsten Service Packs für Windows und Microsoft Internet Explorer sowie andere wichtige Aktualisierungen.

Nicht-kritische Updates, die die Funktionen von Windows XP erweitern, oder kleinere Fehler beheben

Updates für die installierte Hardware. Dort können die vom Betriebssystem mitgelieferten Treiber für die installierte Hardware aktualisiert werden.

Die Updates / Patche können von der Seite heruntergeladen werden und automatisch installiert werden. Dieser Vorgang des Aktualisieren muss manuell erfolgen.

Der Computer überprüft beim Windows Update Server, ob Updates vorhanden sind und fragt dann beim Benutzer nach, ob sie heruntergeladen werden sollen. Nach erfolgreichem Herunterladen fragt der Computer nach, ob sie installiert werden sollen.

Der Computer lädt die Updates im Hintergrund herunter und fragt nach erfolgreichem Herunterladen nach, ob sie installiert werden sollen.

Der Computer lädt die Updates im Hintergrund vom Update Server herunter und installiert automatisch die Updates zum eingestellten Zeitpunkt

Sie können Software Update Services zum Downloaden aller wichtigen Updates auf Server und Clients verwenden, sobald diese Updates auf der Windows Update-Website bereitgestellt sind.
Die Serverkomponente von Software Update Services wird auf einem Server innerhalb des Unternehmens installiert Dieser Server aktualisiert seine Daten für alle Betriebssysteme (Windows 2000, Windows XP und Windows Server 2003, sowie den Internet Explorer) vom Microsoft Update Server. Die Synchronisierung kann automatisch erfolgen, oder der Administrator kann sie manuell durchführen.
Durch die Synchronisierung mit der Windows Update-Website kann der interne Server, auf dem die Software Update Services ausgeführt werden, die Updatepakete herunterladen und speichern, bis der Administrator entscheidet, welche davon veröffentlicht werden sollen.
Der Administrator hat nun die Möglichkeit, die heruntergeladenen Patche zu testen und anschliessend zur Verteilung freizugeben.
Anschließend werden die Updates von allen Clients installiert, die zur Verwendung der  auf dem Server ausgeführten Software Update Services konfiguriert sind.
Die nötigen Einstellungen an den Clients, damit sie automatisch den SUS-Server nach Aktualisierungen fragen, können entweder per Gruppenrichtlinie erfolgen, oder sie werden händisch in die Registry eingetragen.
Der Client Computer wird nun (je nach Einstellung) den SUS-Server anstelle des Microsoft Server nach Updates fragen und nicht mehr eine Verbindung ins Internet aufbauen.

Sie können Software Update Services zum automatisierten Downloaden aller wichtigen Updates auf Servern und Clients verwenden. Der Computer, der den Software Update Services Dienst ausführt lädt die Updates von Microsoft herunter, sobald diese verfügbar sind.

Die Serverkomponente von Software Update Services wird auf einem Server innerhalb des Unternehmensfirewalls unter Windows 2000 Server,
Windows XP oder Windows Server 2003 ausgeführt. Wenn wichtige Updates für Windows verfügbar sind, kann der interne Server über einen Unternehmensdienst Inhalte mit der Windows Update-Website synchronisieren.
Die Synchronisierung kann automatisch erfolgen, oder der Administrator kann sie manuell durchführen.
Durch die Synchronisierung mit der Windows Update-Website kann der interne Server, auf dem die Software Update Services ausgeführt werden, die Updatepakete herunterladen und speichern, bis der Administrator entscheidet, welche davon veröffentlicht werden sollen. Anschließend werden die Updates von allen Clients installiert, die zur Verwendung der auf dem Server ausgeführten Software Update Services konfiguriert sind.
Sie können steuern, mit welchem Server die einzelnen Clientcomputer eine Verbindung herstellen, und Sie können planen, wann die einzelnen Clients die Installation aller wichtigen Updates durchführen. Dazu nutzen Sie entweder die Registrierung (manuelles Verfahren), oder Sie verwenden eine Gruppenrichtlinie des Active Directory®-Verzeichnisdienstes.
Server, auf denen die Software Update Services ausgeführt werden, können so konfiguriert werden, dass die Inhalte von der Windows Update-Website synchronisiert werden. Sie können diese Server auch zum Downloaden von Inhalten von einem manuell erstellten Verteilungspunkt für Inhalte Konfigurieren. Wenn auf Servern der zweiten Ebene die Software Update Services ausgeführt werden, können dort sowohl die Inhalte als auch die Liste der genehmigten Pakete synchronisiert werden. Mit dieser Methode können Sie die Updateverwaltung vereinfachen, indem Sie die Verwaltungsvorgänge von zentraler Stelle aus durchführen.

Sie können Updates schrittweise bereitstellen, indem Sie mehrere Server mit ausgeführten Software Update Services verwenden. Sie können einen Server im Testlabor einrichten, auf dem die Updates zuerst nur für die Clientcomputer des Labors veröffentlicht werden. Wenn die Updates auf diesen Computern ordnungsgemäß installiert wurden, können Sie die anderen Server mit ausgeführten Software Update Services so konfigurieren, dass dort die Updates für den Rest der Organisation veröffentlicht werden. Mit dieser Methode können Sie sicherstellen, dass die Änderungen durch die Updates nicht zu Schäden an der Standard-Desktopbetriebsumgebung führen.

Der Verwendungsprozess für die Software Update Services betrifft sowohl die Server, auf dem die Software Update Services ausgeführt werden, als auch die Clientcomputer im Netzwerk. Wenn beide Seiten entsprechend konfiguriert sind, kann der Administrator die Updatepakete überprüfen und für die Installation genehmigen.

2. Der Systemadministrator überprüft die neuen Pakete und bestimmt, ob sie getestet werden müssen.

3. Der Administrator genehmigt die neuen Updatepakete.

2. Zur geplanten Aktualisierungszeit wird von den Software Update Services geprüft, ob der Administrator angemeldet ist.
   a. Wenn er angemeldet ist, wird auf dem Desktop eine Statussprechblase angezeigt, und der Administrator entscheidet, ob die Installation zurückgestellt oder ausgeführt wird.
   b. Wenn der Administrator nicht angemeldet ist, wird Schritt 6 ausgeführt.

3. Der geplante Installationsjob wird gestartet, und Automatische Updates installiert die neuen oder geänderten Pakete.

Alle 22 Stunden fragen die Clientcomputer mittels "Automatische Updates" den SUS-Server, ob neue freigegebene Updates zur verfügung stehen. Wenn neue Updates verfügbar sind, beginnen die Clients mit dem Download der Patche vom SUS-Server.
Der Download der Patche vom SUS-Server erfolgt mittels des Dienstes "Intelligenter Hintergrundübertragungsdienst" (BITS=Background Intelligent Transfer Service) statt. Dieser Dienst steuert die Geschwindigkeit des Herunterladens anhand der verfügbaren Bandbreite im Netzwerk.

Sie können Software Update Services zum automatisierten Downloaden aller wichtigen Updates auf Servern und Clients verwenden. Der Computer, den den Software Update Services Dienst ausführt lädt die Updates von Microsoft herunter, sobald diese verfügbar sind.

• Pentium III 700 MHz oder höher
• 512 MB RAM
• 6 GB Festplattenspeicherplatz für Setupdateien und heruntergeladene Patche
• Windows 2000 Server SP2 oder höher, oder Windows Server 2003
• IIS 5.0 oder höher (muss evtl bei Server 2003 explizit installiert werden)
• Internet Explorer 6.0 oder höher
• SUS muss auf einer NTFS Partition installiert werden

Der Client muss Windows 2000 Professional (SP3 oder höher) oder Windows XP (SP1 oder höher) ausführen. Ausserdem muss Automatische Updates konfiguriert werden.

Die Konfiguration von Automatische Updates kann per Gruppenrichtlinie vom Active Directory erfolgen oder aber kann bei einer Arbeitsgruppe auch von Hand in die Registry des Clients eingetragen werden.

Sie können Software Update Services von der Microsoft Webseite kostenlos herunterladen. Die momentan aktuelle Version ist SUS 1.0 SP1. Der Link zu Informationen (in Englisch) bei Microsoft lautet: http://www.microsoft.com/windowsserversystem/sus/default.mspx

Bevor die Installation beginnen kann, muss am Server u.U. der IIS (Internet Informationsdienste) installiert werden.

Geschafft!

Mit Synchronize now wird eine sofortige Synchronisation veranlasse. Mit Synchronization Schedule kann das Synchronisieren zeitlich gesteuert erfolgen:

• Hier werden die Einstellungen definiert, mit denen der SUS-Server Zugang zum Internet erhält.
   

Specify the name your clients use to locate this update server:

• Definiert den Namen (oder IP Adresse) mit dem die Clients den SUS-Server kontaktieren.
   

Select which server to synchronize content from:

• Hier wird festgelegt, ob der SUS-Server die Daten direkt von Microsoft herunterlädt, oder einen "übergeordneten" SUS-Server kontaktiert.
   

Select how you want to handle new version of previously approved updates:

• Hier wird festgelegt, ob aktualisierte Updates automatisch freigegeben werden, oder nicht

• Hier wird festgelegt, ob die Updates und Patches lokal auf dem SUS-Server gespeichert werden, oder ob Client Computer an den Windows Update Server weitergeleitet werden.
• Es können auch die Sprachen ausgewählt werden, die von SUS-Server heruntergeladen werden und für die Clients zur Verfügung gestellt werden.

Die Konfiguration der Client-Computer erfolgte mittels Gruppenrichtlinien, in denen die Einstellung für "Automatische Updates" konfiguriert wurden. Hierzu wurden Standort-Gruppenrichtlinien verwendet, damit Laptop-Benutzer, die zwischen den Standorten pendeln automatisch den "lokalen" SUS-Server zugewiesen bekamen.

Mittels "Active Directory Benutzer und Computer" können Gruppenrichtlinien definiert werden. (evtl. muss noch die administrative Vorlage (adm) geladen werden, damit die Optionen verfügbar sind. Die Einstellungen werden in der Computer Configuration vorgenommen.

Configure Automatic Updates:
Hier wird definiert, wie sich der Client verhält. In diesem Beispiel (Option 4) lädt der Client die Updates automatisch herunter und installiert sie zum eingestellten Zeitpunkt. Die Installation erfolg (0) Jeden Tag um 05:00 Uhr
Sind die Computer zum eingestellten Zeitpunkt eingeschaltet, beginnen sie um 05:00 Uhr mit der Installation. 

Specify intranet Microsoft update services location:
Diese Einstellung definiert, wie der SUS Server kontaktiert werden soll. Man kann zwischen dem Server für Update und dem Server für Statistiken (Logging) trennen.

Reschedule Automatic Updates scheduled installations:
Der Wert 1 bei Wait after system startup gibt an, dass der Client 1 Minute nach Starten des Clients und überschreiten des Installationszeitpunktes mit der Installation beginnt.
Bsp.: Ein Computer wird um 08:00 eingeschaltet. Am Vortag hat er bereit Updates vom SUS heruntergeladen und hätte um 05:00 Uhr installieren sollen (er war aber ausgeschaltet). Jetzt startet der Computer 1 Minute, nachdem er gestartet wurde mit der Installation. 

Es wurden verschiedene Testcomputer ausgewählt, die die heruntergeladenen Patche testen sollten. Dazu wurde auf diesen Rechner eine HOSTS-Datei editiert. Diese Datei liegt im Ordner %Windir%\system32\driver\etc. Sie beinhaltet Hostnamen und IP Adressen. Der normale Weg, den SUS-Server zu finden ist mittels eines DNS-Servers. Gibt es jedoch Einträge in der Hosts-Datei werden diese benutzt und keine DNS-Server Anfrage gestartet. Ich habe dann auf den Clients folgenen Eintrag gemacht: "<IP Adresse des Test SUS> Site1-SUS". Auf dem Test-SUS wurde alle gewünschten Patche manuell freigegeben und wurden dann von den Test-Clients heruntergeladen und installiert.

Mittels des IIS-LockDown-Tools kann ein Roll-back durchgeführt werden, oder aber die entsprechenden Funktionen wieder aktiviert werden.

Alternativ wurden die Registry-Werte bei Computern, die nicht in der Domäne waren, per Hand eingetragen. Es konnte auf diesem Weg auch Computer, die nicht in der Domäne waren upgedated werden.

Dies waren Maschinen mit Service Pack 2. Vorraussetzung zum Verwenden des SUS Server ist Service Pack 3. Auf diesen Computern wurde Service Pack 3 installiert und sie konnten dann den SUS-Server benutzen.

In der Registrierung des Computers gibt es einen Wert AUSTATE, der angibt was der Computer gerade "macht". Dieser Wert liegt unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\