Een update om Windows Server Update Services te beveiligen

In dit artikel wordt de update beschreven waarmee de beveiliging van Windows Server Update Services (WSUS) en de Windows Update Agent (WUA) verder wordt verbeterd op computers die worden beheerd door WSUS. Deze update is van toepassing op het volgende:

• Windows Server Update Services 3.0 Service Pack 2 (SP2) op alle toepasselijke en ondersteunde platforms
• Windows Server 2012 met de functie WSUS ingeschakeld
• Windows Server 2012 R2 met de functie WSUS ingeschakeld

OPMERKING: In dit artikel wordt een update beschreven die enkele verbeteringen bevat voor Windows Update Client in Windows 7 Service Pack 1 (SP1) en Windows Server 2008 R2 SP1. Deze update is niet compatibel met Windows Server Update Services (WSUS)-servers zonder de hardening-update-2938066.
 

Verbeteringen

Deze update bevat de volgende verbeteringen:

• Beveiliging van infrastructuurbestanden die door WSUS worden gebruikt
• Verharding van het communicatiekanaal tussen WSUS en de WU/MU-service

Notities

• De WUA op computers die worden beheerd door deze WSUS-server wordt indien nodig automatisch bijgewerkt nadat u deze update hebt toegepast.

• Deze update werkt alleen als WSUS in orde is. Als WSUS is geconfigureerd om updates van Microsoft Update te synchroniseren, zorg er dan voor dat WSUS updates kan synchroniseren. Bovendien moeten clients kunnen communiceren met de WSUS-server.

  Zie de volgende Microsoft TechNet-websites voor meer informatie over het uitvoeren van basisstatuscontroles op een WSUS-server:
   
  De WSUS-database opnieuw indexeren
  De wizard Server opschonen gebruiken

Informatie over de update

Deze update verkrijgen

Windows Update

Deze update voor Windows Server 2012 en Windows Server 2012 R2 is beschikbaar via Windows Update.

Microsoft Downloadcentrum

U kunt de volgende bestanden downloaden via het Microsoft Downloadcentrum:

Besturingssysteem	Update
Alle ondersteunde x64-versies van Windows Server 2012 R2	Download het pakket nu.
Alle ondersteunde x64-versies van Windows Server 2012	Download het pakket nu.

Klik voor meer informatie over het downloaden van Microsoft-ondersteuningsbestanden op het volgende artikelnummer in de Microsoft Knowledge Base:

119591 Microsoft-ondersteuningsbestanden verkrijgen van onlineservices Microsoft heeft dit bestand gecontroleerd op virussen. Hierbij is gebruikgemaakt van software voor virusdetectie die volledig bijgewerkt was op de datum dat het bestand beschikbaar werd gesteld. Het bestand is opgeslagen op beveiligde servers die onbevoegde wijzigingen aan het bestand helpen voorkomen.

Deze update toepassen

We raden aan om alle WSUS-servers te synchroniseren nadat u deze update hebt toegepast. Als u een hiërarchie van WSUS-servers hebt, past u deze update toe en synchroniseert u vervolgens uw servers vanaf de top van de hiërarchie. Volg deze stappen om uw servers op deze manier te synchroniseren.

Opmerking Voordat WSUS 3.0 SP2-servers (zonder Fix 2828185 of nieuwer) computers met Windows 8, Windows Server 2012 of een nieuwere versie van het besturingssysteem kunnen beheren, moet u deze stappen uitvoeren:

1. Pas update 2938066 toe op de WSUS-server die wordt gesynchroniseerd met Microsoft Update.
2. Start de synchronisatie.
3. Wacht tot de synchronisatie is voltooid.

Herhaal deze stappen voor elke WSUS-server die wordt gesynchroniseerd met de server die u zojuist hebt bijgewerkt.

Meer informatie

Bestandsinformatie

Met de Engelse (Verenigde Staten) versie van deze software-update worden bestanden geïnstalleerd met de kenmerken die in de volgende tabellen worden vermeld. De datums en tijden voor deze bestanden worden weergegeven in Coordinated Universal Time (UTC). De datums en tijden voor deze bestanden op uw lokale computer worden weergegeven in uw lokale tijd en met uw huidige afwijking voor zomertijd (Zomertijd). Daarnaast kunnen de datums en tijden veranderen wanneer u bepaalde bewerkingen op de bestanden uitvoert.

 

Voor alle ondersteunde x64-versies van Windows Server 2012 waarop Remote Server Administration Toolkit (RSAT) is geïnstalleerd

Bestandsnaam	Bestandsversie	Bestandsgrootte	Datum	Tijd	Platform
Microsoft.updateservices.corecommon.dll	6.2.9200.16859	215,552	01-mrt-2014	10:15	x86
Microsoft.updateservices.corecommon.dll	6.2.9200.20978	215,552	01-mrt-2014	10:58	x86

Voor alle ondersteunde x64-versies van Windows Server 2012 R2 waarop Remote Server Administration Toolkit (RSAT) is geïnstalleerd

Bestandsnaam	Bestandsversie	Bestandsgrootte	Datum	Tijd	Platform
Microsoft.updateservices.corecommon.dll	6.3.9600.17038	216,576	03-mrt-2014	11:05	x86

Netwerktaakverdeling upgraden op alle computers

1. Sluit de NLB-service af op elk knooppunt in het NLB-cluster. Typ hiertoe de volgende opdracht bij de opdrachtprompt en druk op Enter:

   nlb.exe onderbreken

2. Sluit IIS en de WSUS-service af. Typ hiervoor de volgende opdrachten in een opdrachtprompt. Vergeet niet om na elke opdrachtregel op Enter te drukken.

   IISRESET/Stop
   net stop wsusservice

3. Zorg ervoor dat er geen andere services toegang hebben tot de database tijdens de upgradeperiode. Hiertoe typt nlb.exe disable bij een opdrachtprompt samen met de relevante aanvullende parameters voor de poort of toepassing:
    
   disable {vip[{:P ort | :all}] | all[{:P ort | :all}]} {cluster[:{Host]| all {local | global}}}Opmerking In deze stap en in de volgende stappen drukt u na elke opdrachtregel op Enter.

4. Een back-up van uw database maken. Zie Een back-up maken van een database (SQL Server Management Studio) voor meer informatie over het maken van een back-up van een SQL Server database.

5. Voer een upgrade uit voor elke front-endcomputer afzonderlijk. Ga hiervoor als volgt te werk:

   1. Stel WSUS in. Typ hiervoor bij de opdrachtprompt een van de volgende opdrachten, afhankelijk van uw systeem:

      • WSUS-KB2938066-x64.exe /q C:\MySetup.log
      • WSUS-KB2938066-x86.exe /q C:\MySetup.log

      U wordt nergens anders om gevraagd. Het updateproces wordt direct gestart.

   2. Bekijk het installatielogboek om te controleren of de upgrade is geslaagd. Typ hiervoor C:\MySetup.log bij de opdrachtprompt.

   3. Controleer of IIS en de WSUS-service zijn gestopt. Typ hiervoor de volgende opdrachten in een opdrachtprompt:

      IISRESET/Stop
      net stop wsusservice

   4. Naar de volgende computer gaan.

6. Start IIS en de WSUS-service nadat alle knooppunten zijn bijgewerkt. Hiertoe typt u bij de opdrachtprompt iisreset en typt u vervolgens net start wsusservice op elk knooppunt in het NLB-cluster.

7. Start de netwerktaakverdelingsservice op elk knooppunt in het NLB-cluster. Typ hiervoor nlb.exe cv bij de opdrachtprompt.

8. Typ nlb.exe inschakelen bij de opdrachtprompt voor alle poorten of toepassingen die u in stap 3 hebt uitgeschakeld.

Opmerking: Nadat u deze update hebt toegepast, moet u de computer opnieuw opstarten.
 

Speciale aandachtspunten

• Als u de functie Lokale publicatie vanaf een externe WSUS-console gebruikt: wanneer u de update hebt toegepast op uw WSUS-server, moeten de externe WSUS-consoles ook worden bijgewerkt zodat de API-versies overeenkomen.
• De IIS- en WSUS-services moeten worden gestopt om te voorkomen dat de database wordt geopend terwijl de netwerktaakverdelingsclusters worden bijgewerkt. Zie de sectie 'Een upgrade van NLB uitvoeren op alle computers' voor meer informatie over het upgraden van netwerktaakverdeling.
• Wanneer een downstream WSUS 3.2-server is geconfigureerd om via HTTPS te communiceren met de upstream-server, moet TLS 1.0 worden ingeschakeld op zowel de upstream- als downstream WSUS-servers.

Aangezien deze update cumulatief is, zijn voor WSUS 3.0 SP2 ook speciale overwegingen van eerdere updates van toepassing.