Come elencare gli aggiornamenti di sicurezza mancanti per i server Windows?

Consiglierei le risposte di Iszi sopra, ma poiché non hai più accesso, queste potrebbero non essere fattibili. Non sono a conoscenza di alcuna lista completa che elenca tutte le patch per una data piattaforma, poiché le patch mancanti dipenderebbero anche da altre cose installate che non sono necessariamente richieste (driver, .NET, ecc.). Se non si ha accesso non si è comunque in grado di implementare le modifiche. Tuttavia, detto questo ... puoi installare un'altra nuova installazione di Windows, applicare tutte le patch, esportare l'elenco, quindi differirle.

Ho appena trovato questo elenco di patch pubblicato per il 2003: link . Potrebbe essere un buon inizio per te.

Sembra che tu stia davvero cercando di fare il giro, qui. Quello di cui hai bisogno è una soluzione di aggiornamento offline, e ci sono alcune opzioni disponibili.

Aggiornamento offline WSUS consente di scaricare patch di Windows Update su un'unità USB e installarle su un altro computer che non ha una connessione Internet. È possibile scaricare tutti gli aggiornamenti disponibili e consentire al computer remoto di individuare quelli non necessari.

Scanner di vulnerabilità come Nexpose , Nessus , Responsabile McAfee Vulnerability e GFI LanGuard può essere installato su piattaforme portatili (es .: laptop). Questi valuteranno il software installato e la configurazione del tuo sistema tramite una connessione di rete (dovrai, ovviamente, collegare il portatile alla stessa rete del sistema di destinazione o collegarti direttamente tramite cavo incrociato) e fornire un elenco completo delle patch mancanti e difetti di configurazione. Questo includerà non solo gli aggiornamenti di Windows necessari, ma anche gli aggiornamenti per molti altri programmi. Alcuni scanner includono persino un sistema di gestione delle patch, che può essere utilizzato per inviare automaticamente gli aggiornamenti necessari al sistema dopo una scansione, anche senza installare effettivamente il software client sulla destinazione.

Potresti essere in grado di decodificare un elenco di patch guardando l'archivio Microsoft dei bollettini sulla sicurezza . Sii un bel lavoro, però.

Sarebbe meglio se gli amministratori del server riuscissero a rieseguire l'analisi per conto tuo, ma stavolta utilizza lo strumento appropriato per il lavoro, Microsoft Baseline Security Analyzer , poiché ciò ti dirà cosa manca, piuttosto che cosa è installato.

In caso contrario, puoi provare a creare un server 2003 ed eseguire MBSA su di esso senza applicare alcuna patch, per vedere cosa pensa che dovresti installare. Questo potrebbe non essere preciso al 100%, ma potrebbe essere sufficiente per dirti se il loro processo di patching funziona.

Sto indovinando che cosa hai ottenuto è l'output della classe WMI win32_quickfixengineering o del comando powershell get-hotfix.

Non ho visto un ottimo modo per generare definitivamente un elenco di patch mancante in tali circostanze, tuttavia due cose che potrebbero essere utili.

1. Controlla la data InstallOn della patch, se il sistema mostra che per la maggior parte delle patch puoi indovinare che probabilmente eseguiranno l'aggiornamento di Windows fino a quella data (questo è utile solo per approssimazione approssimativa e pronta)
2. Crea una macchina virtuale con lo stesso tipo di sistema operativo, installa tutte le patch disponibili ed esegui il comando get-hotfix powershell e diff i risultati con le informazioni che hai.

Se hai un server wsus nella tua rete per la gestione degli aggiornamenti, chiedi all'amministratore del server WSUS di fornirti l'elenco degli aggiornamenti non applicati.