WSUS セキュリティパッチ

質問

先日、オフラインでのセキュリティパッチの適用に関して質問させていただきまして、
その際にWSUSのことを教えていただきました。

その後、自分で調べてみたのですが、よくわからなかったので知っている方がいらっしゃれば
教えてください。

WSUSを利用して、オフライン環境にあるクライアント端末に最新セキュリティパッチを適用できる
ようにしたいのですが、うまく適用できる方法はないでしょうか？
※IEやサービスパックは適用しません。

よろしくお願いいたします。

回答No.4

maesen · ベストアンサー

ちょっと気になることがあるので書かせて頂きます。

WSUSをUpdate元としているクライアントを手動で更新させることは可能です。

Windows Vista及びWindows 7であれば、
「コントロール パネル\システムとセキュリティ\Windows Update」で
「更新プログラムの確認」をクリックすればいいです。

Windows XPであればコマンドプロンプトで
wuauclt.exe /detectnow
コマンドを実行すればいいです。
このコマンドはWindows Vista及びWindows 7でも有効です。

WSUSをクライアントOS上で運用するのはOSの使用許諾契約に違反します。
理由は周知されていることですので割愛します。
WSUSサービスを使用しますので例外（追加のライセンス条件）にあるIISの項目にも当てはまらないです。

運用する場合は必ずサーバOS上のに構築して下さい。

お礼

お礼が大変遅くなりました。
前回に引き続き、情報・アドバイス本当にありがとうございます。

アドバイスを元に対応してみます。

回答No.5

pc_net_sp

＞Windows XPであればコマンドプロンプトで
＞wuauclt.exe /detectnow
＞コマンドを実行すればいいです。

コマンドを打っても、すぐにダウンロードが始まるわけではありません。
バックグラウンドでWSUSと更新プログラムの有無をデータベースチェックして、それから自動ＤＬが始まりますので、コマンドを打ってから３０分程度かかることもあります。

病院のクライアントＰＣの数が２００台以上ありますので、それも関係しているでしょうが、ＩＥでWindowsUpdate更新するみたいに迅速ではありません。

また、コマンドを打ってバックグラウンドでWSUSと通信を始めると、CPUにもよりますが５０％（Pen4）くらいCPU使用率が持っていかれます。
Ｐｅｎ３だと１Ｇｈｚ ＣＰＵでも１００％になります。　Ｃ２Ｄでも２０～３０％になります。
ＷＳＵＳと常時接続しているＰＣだと、そんなに使用率は持っていかれません。（コマンドを打たない状態で・・・）

＞WSUSサービスを使用しますので例外（追加のライセンス条件）にあるIISの項目にも当てはまらないです。
Ｗｉｎ２Ｋ～Ｗｉｎ７でもＩＩＳが標準で付いています。　ＨＴＴＰ（ＷＷＷ）・ＦＴＰサーバ モドキがきちんと出来ます。
クライアント同時アクセス数が５ユーザーって言うだけ。

ＳＱＬサーバもMicrosoft SQL Server 2000 Desktop Engine をインストール。
自宅で勉強用・動作チェック確認する為に一度インストールしましたので。（現在はアンインストールされていますが・・・）
installできたと言う事は、問題なかったのでしょう。（ただしＷＳＵＳ初期の物。　最新バージョンはサーバＯＳに限定されています。）
使用許諾契約違反ではありません。　Win2000Proで使う方法（インストール方法）もMSが説明しています。
参考までに・・・
http://technet.microsoft.com/ja-jp/library/cc708532(WS.10).aspx

Ｖｉｓｔａ・Ｗｉｎ７の「更新プログラムの確認」っと言うのは無知でした。m(_ _)m
病院の電子カルテの関係では、Ｗｉｎ２ｋ・ＷｉｎＸＰ専用ですので。　Ｖｉｓｔａは無し（ダウングレードＸＰ）で次はＷｉｎ７対応になる予定。
って感じなので、自宅のＰＣもＶｉｓｔａ・Ｗｉｎ７は全てダウングレードＸＰで使用しています。

ANo.4 maesenさんの情報に誤りが多々ありますので、ご注意下さい。

この場を借りて、maesenさんご指摘有難うございます。

お礼

お礼が大変遅くなりました。
お忙しい中、いろいろな情報ありがとうございました。

情報を元に対応してみます。

回答No.3

pc_net_sp

WSUSは２台は必要ありません。　ＷＳＵＳインストールＰＣにＬＡＮポートを２つ設ければ良い話です。

＞WSUSサーバーとクライアントは別場所にありまして・・・　（もう運用しているのかな？？）
オフライン環境のＰＣでも、パッチをあてる時だけＷＳＵＳかＭＳに接続させてパッチをあてるのがベストだと思います。

ＷＳＵＳは、WindowsUpdate・MSUpdateのHPに相当するページがないので、手動更新が出来ない。
（自動ダウンロードがすぐに始まるとは限らない。）
MSUpdateサイト
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ja

＞月1程度に更新されたパッチを遠地のクライアントに適用させるためにUSB等に入れて対応させたいと思っています。
そう言う事でしたら、必要なファイルをネットにつながるＰＣでダウンロードセンターからＵＳＢに保存して、パッチをあてればよいかと。。。
（どのような方法であってもバッチファイルを作成しなくて良いが、順番にインストールさせる必要性がある場合は、バッチファイルで実行させた方が楽です。）
http://www.microsoft.com/downloads/ja-jp/default.aspx

わざわざＷＳＵＳを用意する必要はないかと思われます。　が・・・・　
オフライン環境PCが１～３・４台くらいなら、更新の時だけネットに継げるようにした方が楽な気がします。（WSUSも使わず。）
ネット環境が無い場合は、基本ウィルス対策重視を考えれば良い気がします。

セキュリティパッチが必要となる主な理由は、ネットワークに繋がっている環境下でのセキュリティホールの対策です。
次にウィルスに感染しているファイルの対策。　ファイルデータ破壊か、ファイルデータを流出させる目的のウィルスが大半だと思います。
ネットに繋がっていないのなら、流出の心配はない。

－－－－－－
思いついた事を箇条書き　※ 以下 無視 可 ※

ＷＳＵＳ用ＰＣが１台必要になる。
（現存のＰＣにインストールでもかまわないけど、基本は２４時間稼動ＰＣとします。）
２４時間安定稼動を考えると、サーバーＯＳを推奨。
ダウンロードファイルは増え続ける一方なので、ＷｉｎＸＰオンリーにするとかしてファイル容量を抑える。
（Ｗｉｎ２ｋ～Ｗｉｎ７で設定すると結構容量を食います。）
全てのパッチがＤＬされるので、ＵＳＢにコピーするのは楽です。　
必要不必要なパッチの番号をＷＳＵＳで管理されるので楽です。

ダウンロードセンターからのＤＬで行うなら、必要最小限のファイルですむ。　
その代わりファイルダウンロードが手動で時間がかかる。
必要なパッチの番号を自己管理する必要がある。

ＷＳＵＳ・ネットに継がないデメリット、インストール順番を間違えると取り返しが付かない事になる場合がある。（可能性として）

すいません。　USBでファイルを持ち運びと言う事で、上手く意見がまとまりませんでした。　m(_ _)m
WSUSの必要性がない気がします。

回答No.2

maesen

前の質問でWSUSのことを書いたのは私かな。
もしかしたらWSUSに過度な期待を抱かせてしまったかもしれません。

まず、WSUSとはなんぞやということ理解する必要があります。

下記のWebサイトなどがわかりやすいと思いますので一連の記事を読んで見て下さい。
http://www.atmarkit.co.jp/fwin2k/operation/wsus3_01/wsus3_01_01.html

PC側のネットワークがオフラインが必須である場合、WSUSサーバもインターネットからパッチがダウンロード出来ないことになります。
そのためオフラインでWSUSを運用するためにはサーバが2台必要になります。
1台は、インターネットに接続する環境下においてマイクロソフトのUpdateサイトがらパッチを取得するWSUSサーバ。
もう一台は、クライアントにパッチを配信するためのオフライン側にあるWSUSサーバ。

リソースが余っているサーバが余っていればWSUSサービスを同居させることも可能な場合があります。（ディスク容量には特に注意して下さい）

サーバを2台用意する必要があるのでそれなりのコストが掛かります。

サーバが準備できるのであれば、下記のWebサイトを参考にしてエクスポート・インポートできる構成でセットアップすればいいでしょう。
（WSUS2.0の記事しか日本語がありませんが、WSUS3.0でもほぼ同じだと思います）
http://technet.microsoft.com/ja-jp/library/cc720512(WS.10).aspx

これは余計なことかもしれませんが。
パッチの運用には質問者さんの場合ぱっと考えてこんな感じの選択があると思います。（他にも選択肢はあるかもです）

・Updateはあきらめる
・PCをインターネットに接続できるようにしてUpdateを行う
・PCをインターネットに接続できるようにするがプロキシサーバなどを経由することでセキュリティを高める
・PCはオフラインのままで、毎回手動でパッチのexeファイルをダウンロードして、手動で適用する
・WSUSのみインターネットに接続できるようにして（PCはインターネットは×）、WSUSサーバを一台導入する
・WSUSをオフライン運用出来るように2台導入する

運用コスト（人件費）とセキュリティリスクを元に選択していく必要があると思います。
WSUSサーバの構築はそれほど難しくはないとは思いますが、質問者さんが実現不可能であれば業者に委託するものひとつの方法です。

＞WSUSを利用して、オフライン環境にあるクライアント端末に最新セキュリティパッチを適用できるようにしたいのですが、うまく適用できる方法はないでしょうか？
＞※IEやサービスパックは適用しません。

これは運用次第でどうにでもなるのでWSUSサーバが構築できれば解決出来ます。

回答No.1

pc_net_sp

ＷＳＵＳを立てて、オフラインＰＣ（ＰＣ－Ａとします）はローカルネットのみでＷＳＵＳにアクセスできるようにします。

ＰＣ－ＡのWindowsUpdate先のサーバをＷＳＵＳに設定します。
ＷＳＵＳでＰＣ－Ａにあてたいセキュリティパッチを選別して設定すれば、IEやサービスパックの適用はしないようになります。
ＷＳＵＳにダウンロードされるデータも大量になるので、ＷＳＵＳにダウンロードするファイルの種類を設定するとコンパクトになります。

詳細はMicrosoftのＷＳＵＳの説明ページを読んでください。
http://www.microsoft.com/downloads/ja-jp/details.aspx?FamilyID=3BA03939-A5A9-407B-A4B0-1290BA5182F8
細かい設定等は身近にＷＳＵＳを入れているＰＣが無いので、画面を見ながら説明することが出来ません。

実績は、初期のＷＳＵＳから出入りさせて頂いている病院のサーバで運用しています。

参考画面などもセキュリティの関係で持ち出せませんし、ＶＭｗｅａｒ サーバで動かしていますのでリモートアクセスで操作しますので、参考画面も不要な物が入ってしまいます。

「microsoft wsus マニュアル」でググって頂き、「行政機関向けWSUS運用ガイド - Microsoft」のWordファイルを読んでいただきますと、たいがいの事が分かるかと思います。
「行政機関向け」っとありますが、ＷＳＵＳの運用ガイドです。
また、インストールするバージョンのＷＳＵＳの運用ガイドを探してください。
検索ワード「wsus 運用ガイド」

補足

早速の回答ありがとうございました。
理解に時間がかかるかもしれませんが、ガイド読んでみます。

あと、ちょっと説明不足だった部分があるのですが、WSUSサーバーとクライアントは別場所にありまして、月1程度に更新されたパッチを遠地のクライアントに適用させるためにUSB等に入れて対応させたいと思っています。

やはりバッチみたいなものを作成する必要があるんでしょうか？