SMS 2003 R2 SMS 2003 R2 做好企業更新與弱點管理 做好企業更新與弱點管理

顧武雄 顧武雄 Jovi KuJovi KuMicrosoftMicrosoft 特約資深講師特約資深講師 jovi@cogate.com.twjovi@cogate.com.tw

講師介紹講師介紹• 高傑信公司 技術顧問高傑信公司 技術顧問• Microsoft CTEC Microsoft CTEC 教育中心講師教育中心講師• Microsoft MVP & Microsoft MVP & 特約講師特約講師• Windows &.NET Magazine –Windows &.NET Magazine – 特約作者特約作者• Information Security Magazine -Information Security Magazine - 專欄作家專欄作家• 網路資訊網路資訊、、 Run!PCRun!PC、、 NetAdmin NetAdmin 電腦雜誌電腦雜誌––專欄作家專欄作家• 旗標、文魁以及碁鋒圖書作者旗標、文魁以及碁鋒圖書作者• 個人著作個人著作 ::

Microsoft ISA Server Microsoft ISA Server 建置與管理建置與管理SharePoint Portal ServerSharePoint Portal Server 徹底研究徹底研究Microsoft Access Project with SQL ServerMicrosoft Access Project with SQL ServerISA SERVER 2004 ISA SERVER 2004 系統安全整合實務系統安全整合實務Small Business Server 2003 Small Business Server 2003 系統整合管理實務系統整合管理實務Microsoft Operations Manager 2005 ITMicrosoft Operations Manager 2005 IT 智慧整合管理智慧整合管理實務實務SharePoint Portal Server 2003 SharePoint Portal Server 2003 技術問答精選實錄技術問答精選實錄

新上市！新上市！

Level 200

預備知識預備知識

• Windows Server 2003 Windows Server 2003 基礎概念基礎概念• Active Directory Active Directory 基礎概念基礎概念• SMS 2003 SMS 2003 功能與架構基礎概念功能與架構基礎概念

講題大綱講題大綱• 企業企業 ITIT 對於更新管理的需求對於更新管理的需求• WSUSWSUS 與與 SMS 2003 R2SMS 2003 R2 的抉擇的抉擇• ITMUITMU 全面管理微軟產品的更新全面管理微軟產品的更新• ITCUITCU 與與 CUPTCUPT 聯手解決非微軟產品的更新管聯手解決非微軟產品的更新管

理理• 結合弱點管理工具結合弱點管理工具 STVASTVA 的使用的使用• Q&AQ&A

企業企業 ITIT 對於更新管理的需求對於更新管理的需求

• 降低降低 ITIT 管理成本（人力、預算）管理成本（人力、預算）• 支援跨地理位置的佈署架構支援跨地理位置的佈署架構• 支援單一介面多點集中管理支援單一介面多點集中管理• 解決有限頻寬的使用問題解決有限頻寬的使用問題• 可根據不同電腦需求，派送指定的更新程式可根據不同電腦需求，派送指定的更新程式

– 避免應用程式不相容的問題避免應用程式不相容的問題

IT IT 期望期望 : : 以更少做更多以更少做更多IT IT 期望期望 : : 以更少做更多以更少做更多

SMS 2003 R2SMS 2003 R2 的功能的功能

應用程式部署應用程式部署作業系統部署作業系統部署

資產管理資產管理弱點管理弱點管理

更新管理更新管理(( 包含非微軟產品包含非微軟產品 ))

整合整合Windows Windows 管理服務管理服務

支援行動用戶者支援行動用戶者支援支援 PDAPDA 裝置裝置

講題大綱講題大綱• 企業企業 ITIT 對於更新管理的需求對於更新管理的需求• WSUSWSUS 與與 SMS 2003 R2SMS 2003 R2 的抉擇的抉擇• ITMUITMU 全面管理微軟產品的更新全面管理微軟產品的更新• ITCUITCU 與與 CUPTCUPT 聯手解決非微軟產品的更新管聯手解決非微軟產品的更新管

理理• 結合弱點管理工具結合弱點管理工具 STVASTVA 的使用的使用• Q&AQ&A

SMS 2003 SP2 SMS 2003 SP2 更新資訊更新資訊

• SMSSMS 各站台伺服器的命名可以使用各站台伺服器的命名可以使用 FQDNFQDN 格式格式• SMS Advanced Client SMS Advanced Client 支援支援 IA64IA64 、、 x64x64 、、 x86x86 平台平台• 在軟體更新（在軟體更新（ Software UpdatesSoftware Updates ）節點上的操作，）節點上的操作，

支援管理員自行建立資料夾來作為更新管理的分類。支援管理員自行建立資料夾來作為更新管理的分類。 • SMS Executive SMS Executive 採用多執行緒的軟硬體資產清查處採用多執行緒的軟硬體資產清查處

理理• 增加傳送用戶端刪除記錄到增加傳送用戶端刪除記錄到 SMSSMS 父站台父站台 • 下載網址：下載網址： http://www.microsoft.com/technet/downloads/http://www.microsoft.com/technet/downloads/

sms/2003/servicepacks/default.mspxsms/2003/servicepacks/default.mspx

SMS 2003 R2 SMS 2003 R2 關鍵新功能關鍵新功能

• ITCUITCU 、、 CUPTCUPT －解決非微軟產品的更新管理－解決非微軟產品的更新管理• OSDOSD －作業系統的大量部署與管理－作業系統的大量部署與管理• STVASTVA －結合資產管理的弱點報告套件－結合資產管理的弱點報告套件• DMFPDMFP －－ PDAPDA 、智慧型手機裝置的管理、智慧型手機裝置的管理

WSUS vs SMSWSUS vs SMS

• Windows Server Update ServicesWindows Server Update Services （（ WSUWSUSS ））– 需結合需結合 Active DirectoryActive Directory 群組原則的集中管理群組原則的集中管理– 僅支援僅支援 Windows 2000Windows 2000 以上的作業系統以上的作業系統– 提供簡易報表查詢提供簡易報表查詢

• System Management ServerSystem Management Server– 使用使用 SMSSMS 代理程式集中更新管理代理程式集中更新管理– 支援支援 Windows 98Windows 98 、、 NT4.0NT4.0 以上的作業系統以上的作業系統– 提供進階的更新報表管理提供進階的更新報表管理– 結合軟硬體資產的管理結合軟硬體資產的管理

軟體和內容的支援 軟體和內容的支援 特色 MBSA

Microsoft Update

WSUS SMS 2003

支援的軟體和內容

相同於 MU 安全

更新偵測，包含了 Windows

、IE 、 Exchang

e 以及 SQL 組態設

定

Windows 2000 、Exchange 2000 、SQL Server 2000

、Office XP 以上版本

同 MU 相同於WSUS+NT4.0+Win98

以及可以更新 Windows 作業

平台下的所有軟體。

支援內容類型

Service Pack與安

全更新

所有 Microsoft Windows 軟體更新

、驅動程式、 Service Pack 、 Feature

Pack

相同於 MU 以及唯一重大驅動程式更新

所有 Microsoft Windows 更

新以及任何 Windows 作業

平台下的所有軟體。

比較更新管理的能力 比較更新管理的能力 特色 MBSA

Microsoft Update

WSUSSMS 2003

支援的軟體和內容 簡易 無 簡易 進階

網路頻寬最佳化 無 有 有 有

更新派送控管 無 無 簡易 進階更新安裝與排程的彈性設定 無 用戶端使用者手動

設定 簡易 進階

更新安裝狀態報表查詢 簡易

安裝錯誤報告與列出遺失的更新清單給使用者

簡易 進階

部署計畫 無 無 簡易 進階資產管理 無 無 無 進階授權檢查 有 無 無 - 只有狀態報告 進階

講題大綱講題大綱• 企業企業 ITIT 對於更新管理的需求對於更新管理的需求• WSUSWSUS 與與 SMS 2003 R2SMS 2003 R2 的抉擇的抉擇• ITMUITMU 全面管理微軟產品的更新全面管理微軟產品的更新• ITCUITCU 與與 CUPTCUPT 聯手解決非微軟產品的更新管聯手解決非微軟產品的更新管

理理• 結合弱點管理工具結合弱點管理工具 STVASTVA 的使用的使用• Q&AQ&A

ITMUITMU 更新管理特色更新管理特色（（ Inventory Tool for Microsoft UpdatesInventory Tool for Microsoft Updates ）） • 不再需要分開使用不再需要分開使用 Security Update Inventory ToolSecurity Update Inventory Tool 與與

Microsoft Office Inventory Tool Microsoft Office Inventory Tool • 整合整合 Windows UpdateWindows Update 與與 Microsoft UpdatesMicrosoft Updates 的更新管理的更新管理• 更新範圍的類型相同於更新範圍的類型相同於 WSUSWSUS ，包含了所有的安全更，包含了所有的安全更

新、新、 Update rollupUpdate rollup 、、 Service Pack Service Pack 。。• 會針對更新對象部署會針對更新對象部署 Windows Update Agent 5.8Windows Update Agent 5.8 元件 元件 • 此套件可以安裝在此套件可以安裝在 SMS 2003 SP1 SMS 2003 SP1 、、 SP2SP2 以及以及 R2R2 的版本上的版本上• ITMUITMU 下載網址：下載網址：

– http://www.microsoft.com/smserver/downloads/2003/tools/msupdateshttp://www.microsoft.com/smserver/downloads/2003/tools/msupdates.mspx.mspx

支援更新的目標支援更新的目標

• Microsoft Windows XP EmbeddedMicrosoft Windows XP Embedded• Microsoft Windows 64-bit edition (Microsoft Windows 64-bit edition ( 架構在架構在 Windows Server Windows Server

2003 SP12003 SP1 更新上更新上 ))• Microsoft Office XP and Office 2003Microsoft Office XP and Office 2003• Microsoft Exchange 2000 and Exchange 2003Microsoft Exchange 2000 and Exchange 2003• Microsoft Windows 2000 Service Pack 4Microsoft Windows 2000 Service Pack 4 以上版本以上版本• 所有所有 WindowsWindows 相關元件的更新（例如：相關元件的更新（例如：

MSXMLMSXML 、、 MDACMDAC 、、 Microsoft Virtual MachineMicrosoft Virtual Machine 等等）等等）• Microsoft SQL Server 2000 SP4Microsoft SQL Server 2000 SP4 以及以及 SQL Server 2005SQL Server 2005• 其它所有發佈到其它所有發佈到 Windows UpdatesWindows Updates 更新類別目錄中的產品項更新類別目錄中的產品項

目目

ITMU 的安裝與設定

• 設定程式安裝路徑設定程式安裝路徑• 設定同步更新類別目錄的電腦設定同步更新類別目錄的電腦• 設定設定 SMSSMS 的的 MUMU 管理物件名稱、指定測試電管理物件名稱、指定測試電

腦腦• 設定設定 Windows Update AgentWindows Update Agent 的的 SMSSMS 集合、集合、

軟體封裝名稱軟體封裝名稱

檢視檢視 ITMUITMU 安裝結果安裝結果

預設只有英文的更新類別項目 !

加入中文更新類別目錄加入中文更新類別目錄

• 開啟開啟 \Program Files\Microsoft Updates Inventory \Program Files\Microsoft Updates Inventory Tool\PkgSourceTool\PkgSource 路徑下的路徑下的 Download.iniDownload.ini

• 新增個新增個 [Download1][Download1] 段落名稱段落名稱 • 加入加入 Addlocales=0x0404Addlocales=0x0404 敘述敘述• 再次執行再次執行 AdvertisementsAdvertisements 節點公告項目中的節點公告項目中的

Microsoft Updates Tool Sync Microsoft Updates Tool Sync • 其它語言的代碼查詢網址其它語言的代碼查詢網址

– http://http://msdn.microsoft.com/library/default.asp?urlmsdn.microsoft.com/library/default.asp?url

=/library/en-us/intl/nls_238z.asp=/library/en-us/intl/nls_238z.asp

Microsoft Update 更新部署測試測試（（ 1/41/4 ））

Microsoft Update 更新部署測試測試（（ 2/42/4 ））

可以輸入關鍵字來篩選更新項目 !

Microsoft Update 更新部署測試測試（（ 3/43/4 ））

Microsoft Update 更新部署測試測試（（ 4/44/4 ））

選取更新部署的目標集合 !

更新狀態查詢更新狀態查詢

• 可以在可以在 [Microsoft Updates Tool][Microsoft Updates Tool] 的集合中，針對測是的的集合中，針對測是的 SMSSMS用戶端電腦項目，按下滑鼠右鍵點選用戶端電腦項目，按下滑鼠右鍵點選 [Resource Explorer] [Resource Explorer] 。。– 請查看請查看 [Status][Status] 欄位值是否為欄位值是否為 InstalledInstalled 或是或是 Applicable Applicable

• 或是經由或是經由 [Reporting]\[Reports][Reporting]\[Reports] 節點下來開啟節點下來開啟 Software Software updatesupdates 相關報表查詢。相關報表查詢。

正式上線使用之後正式上線使用之後……

• 請開啟請開啟 [Microsoft Updates Tool][Microsoft Updates Tool] 集合內容集合內容• 針對預設的針對預設的 [Collection Query][Collection Query] 規則項目點選右上方規則項目點選右上方屬性按鈕 屬性按鈕

• 將預設的將預設的 Collection limitingCollection limiting 區域的設定項目變更為區域的設定項目變更為[Note collection limited] [Note collection limited]

講題大綱講題大綱• 企業企業 ITIT 對於更新管理的需求對於更新管理的需求• WSUSWSUS 與與 SMS 2003 R2SMS 2003 R2 的抉擇的抉擇• ITMUITMU 全面管理微軟產品的更新全面管理微軟產品的更新• ITCUITCU 與與 CUPTCUPT 聯手解決非微軟產品的更新管聯手解決非微軟產品的更新管

理理• 結合弱點管理工具結合弱點管理工具 STVASTVA 的使用的使用• Q&AQ&A

解決非微軟產品的更新管理 解決非微軟產品的更新管理

• ITCUITCU （（ Inventory Tool for Custom UpdateInventory Tool for Custom Updatess ））– 負責派送補強更新管理 負責派送補強更新管理

• CUPTCUPT （（ Custom Updates Publishing ToolCustom Updates Publishing Tool ））– 負責下載與發佈最新更新類別清單至負責下載與發佈最新更新類別清單至 SMSSMS主機 主機

ITCUITCU 運作原理運作原理

關於更新類別目錄關於更新類別目錄

• 現有整合現有整合 ITCUITCU 的協力廠商的協力廠商– http://www.microsoft.com/smserver/partners/http://www.microsoft.com/smserver/partners/

itcucat.mspxitcucat.mspx

• 企業企業 ITIT 可以設計特定應用系統的類別目錄可以設計特定應用系統的類別目錄– 參考參考 CUPTCUPT 安裝後的說明文件安裝後的說明文件

安裝安裝 ITCUITCU （（ 1/21/2 ））

• 請在請在 SMSSMS 伺服器上，點選安裝主選單中的伺服器上，點選安裝主選單中的Inventory Tool for Custom UpdatesInventory Tool for Custom Updates 連結。連結。

安裝安裝 ITCUITCU （（ 2/22/2 ））

• 設定設定 ITCUITCU 程式的安裝路徑 程式的安裝路徑 • 設定設定 SMSSMS 物件名稱（集合 、封裝）物件名稱（集合 、封裝）• 指定一部指定一部 SMS Advanced Client SMS Advanced Client 測試用電腦 測試用電腦

安裝後的檢查安裝後的檢查

• 檢查檢查 CollectionsCollections 節點下節點下– 已建立已建立 Custom Updates Tool Custom Updates Tool 、、 Custom Custom

Updates ToolUpdates Tool （（ pre-productionpre-production ） ） • 檢查檢查 Packages Packages 與與 AdvertisementsAdvertisements 節點下節點下

– 分別已建立分別已建立 Custom Updates Tool Custom Updates Tool

關於關於 CUPTCUPT

• 不一定要安裝在不一定要安裝在 SMSSMS 相關的伺服器或用戶端相關的伺服器或用戶端• 只要是只要是 Windows XP Professional SP2Windows XP Professional SP2 或或 Windows Windows

Server 2003 SP1Server 2003 SP1 • 需要預先下載安裝需要預先下載安裝 MMC 3.0MMC 3.0• 其它其它 Windows Installer 3.1 Windows Installer 3.1 、、 .NET Framework 2.0 .NET Framework 2.0 、、

SQL Server 2005 Express SQL Server 2005 Express 都可以在都可以在 CUPTCUPT 安裝過安裝過程中自動補裝程中自動補裝

安裝安裝 CUPTCUPT （（ 1/21/2 ））

• 請在安裝主選單中點選請在安裝主選單中點選 Custom Updates Custom Updates Publishing ToolPublishing Tool 連結 連結

安裝安裝 CUPTCUPT （（ 2/22/2 ））

• 設定設定 SQL ServerSQL Server 連線 連線 • 自動檢查缺少安裝的必要元件自動檢查缺少安裝的必要元件• 設定程式安裝路徑 設定程式安裝路徑 • 設定更新類別清單同步的設定更新類別清單同步的 SMSSMS 主機名稱 主機名稱 • 設定相對應的設定相對應的 ITCUITCU 封裝路徑 封裝路徑 Package ID 必須

由 SMS主控台來查看 !

完成完成 CUPTCUPT 安裝安裝

• [[ 開始開始 ]\[]\[ 程式集程式集 ]\[System Management Server]]\[System Management Server] 來開來開啟 啟 [Custom Updates Publishing Tool][Custom Updates Publishing Tool]

下載與發佈更新類別清單（下載與發佈更新類別清單（ 11 ））

• 在此以在此以 Adobe Flash PlayerAdobe Flash Player 產品為例產品為例• 請點選位在請點選位在 [[ 動作動作 ]]視窗中的視窗中的 [Settings][Settings] 連結 連結 • 在在 [Settings][Settings] 頁面的頁面的 [Import List][Import List] 頁籤中點選頁籤中點選 [Add] [Add] • 在在 [Choose Path][Choose Path] 欄位中輸入下載網址欄位中輸入下載網址

– http://fpdownload.adobe.com/get/flashplayer/current/http://fpdownload.adobe.com/get/flashplayer/current/

licensing/win/AdobeFlashPlayerCatalog.cablicensing/win/AdobeFlashPlayerCatalog.cab

下載與發佈更新類別清單（下載與發佈更新類別清單（ 22 ））

發佈類別清單至發佈類別清單至 SMSSMS 主機 主機

• 點選點選 [Set All Publish Flags][Set All Publish Flags] 連結連結• 點選點選 [Publish Updates][Publish Updates] 連結連結

部署 Adobe Flash Player 補強更新（ 1/4 ） • 可以先建立軟體更新的分類資料夾可以先建立軟體更新的分類資料夾• 接著在接著在 [Software Update][Software Update] 節點上按下滑鼠右節點上按下滑鼠右鍵點選鍵點選 [Move Folder Items] [Move Folder Items]

這些都是非微軟產品的更新類別項目 !

新增自訂資料夾來進行分類管理 !

部署 Adobe Flash Player 補強更新（ 2/4 ）

部署 Adobe Flash Player 補強更新（ 3/4 ）

部署 Adobe Flash Player 補強更新（ 4/4 ）

• 確認更新程式下載完成確認更新程式下載完成• 更新更新 SMSSMS 派送站台派送站台• 設定代理程式組態 設定代理程式組態

部署 Adobe Flash Player 補強更新（ 5/5 ）

• 設定安裝前的倒數時間、允許延遲執行的時間、設定設定安裝前的倒數時間、允許延遲執行的時間、設定整體安裝的最長時間整體安裝的最長時間

• 更新通知使用者更新通知使用者• 設定更新派送對象設定更新派送對象• 對於尚未更新的電腦，設定重複執行公告的週期對於尚未更新的電腦，設定重複執行公告的週期

檢視派送結果檢視派送結果

更新更新－－ Citrix Presentation ServerCitrix Presentation Server

• 必須先到必須先到 CitrixCitrix 網站上下載類別目錄檔案網站上下載類別目錄檔案– CPS4EN_Catalog_For_SMS.cab CPS4EN_Catalog_For_SMS.cab

• 在在 CUPTCUPT 的管理介面中點選位在的管理介面中點選位在 [[ 動作動作 ]]窗格窗格內的內的 [Import Update][Import Update] 連結 連結

講題大綱講題大綱• 企業企業 ITIT 對於更新管理的需求對於更新管理的需求• WSUSWSUS 與與 SMS 2003 R2SMS 2003 R2 的抉擇的抉擇• ITMUITMU 全面管理微軟產品的更新全面管理微軟產品的更新• ITCUITCU 與與 CUPTCUPT 聯手解決非微軟產品的更新管聯手解決非微軟產品的更新管

理理• 結合弱點管理工具結合弱點管理工具 STVASTVA 的使用的使用• Q&AQ&A

STVA 弱點評估的掃瞄工具Scan Tool for Vulnerability Assessment

• 使用使用 STVASTVA 的優點的優點– 弱點資訊報告隨著每一次弱點資訊報告隨著每一次 SMSSMS 用戶端進行資產清單回報時，更新到用戶端進行資產清單回報時，更新到

SMSSMS 資料庫 資料庫

• 搭配搭配 MSBA 2.0MSBA 2.0 引擎產生弱點報告引擎產生弱點報告– 是否有哪一些系統不需要的服務被安裝或正在執行當中是否有哪一些系統不需要的服務被安裝或正在執行當中– 用戶端電腦上所設定的檔案共享是否有設定適當的權限配置用戶端電腦上所設定的檔案共享是否有設定適當的權限配置– Windows XPWindows XP 或或 Windows VistaWindows Vista 中內建的防火牆功能是否已啟用中內建的防火牆功能是否已啟用– 用戶端電腦上的自動更新功能是否已啟用用戶端電腦上的自動更新功能是否已啟用– 使用者的密碼配置原則是否有強制採用符合密碼複雜度原則使用者的密碼配置原則是否有強制採用符合密碼複雜度原則– 作業系統預設中未啟用的作業系統預設中未啟用的 GuestGuest 帳戶是否有被啟用帳戶是否有被啟用– 本機電腦中是否有設定太多的使用者屬於本機電腦中是否有設定太多的使用者屬於 AdministratorsAdministrators 的群組成員的群組成員

安裝安裝 STVA

• 設定掃描項目設定掃描項目• 設定建立設定建立 SMSSMS 相關物件相關物件• 設定測試用的設定測試用的 SMS Advanced ClientSMS Advanced Client 電腦電腦

可用的可用的 STVASTVA 報表報表

使用使用 Resource ExplorerResource Explorer

完成測試之後完成測試之後……

• 請開啟請開啟 CollectionsCollections 節點下的節點下的 Vulnerabilities Vulnerabilities Assessment ToolAssessment Tool （（ defaultdefault ）集合內容 ）集合內容

• 將成員規則的將成員規則的 [Collection limiting][Collection limiting] 設定為設定為 [Not [Not Collection limited] Collection limited]

下一堂課程重點下一堂課程重點

• 時間：時間： 2007 2007 年 年 01 01 月 月 19 19 日 日 15:00-17:0015:00-17:00

• 使用 使用 SMS 2003 R2 SMS 2003 R2 大量部署 大量部署 Windows Vista Windows Vista – 大量部署大量部署 Windows VistaWindows Vista 的全新安裝與升級的全新安裝與升級– 結合結合 RISRIS 大量部署大量部署 Windows XPWindows XP 安裝安裝– DMFPDMFP 套件管理套件管理 PDAPDA 裝置資產裝置資產

Q&AQ&A

For More Information…For More Information…

• TechNetTechNet 中文網站中文網站– http://http://www.microsoft.com/www.microsoft.com/taiwan/technettaiwan/technet

• SMSSMS 中文官方網站下載電子檔中文官方網站下載電子檔– http://download.microsoft.com/download/5/e/c/5ec84313-c5b1-419a-ae61-e08http://download.microsoft.com/download/5/e/c/5ec84313-c5b1-419a-ae61-e08

fe426843d/SMS_2003_R2.zipfe426843d/SMS_2003_R2.zip

• 中文中文 System Management Server System Management Server 官方網站官方網站– http://www.microsoft.com/taiwan/smserverhttp://www.microsoft.com/taiwan/smserver

• SMS Technet ResourceSMS Technet Resource– http://www.microsoft.com/technet/prodtechnol/sms/default.mspxhttp://www.microsoft.com/technet/prodtechnol/sms/default.mspx