Geïnstalleerd is niet klaar. Klaar is herstart en gezond.
Eén uitrolbeleid per klant bepaalt hoe updates binnenkomen, wanneer apparaten herstarten en wat gebruikers te zien krijgen. Elke installatie wordt gevolgd tot en met de herstart en daarna gecontroleerd, en elke reden waarom iets niet gebeurde staat op het scherm. Windows en Linux.
- Levering
- Goedgekeurde updates worden binnen het onderhoudsvenster van de klant geïnstalleerd, in batches die passen in de tijd die nog over is.
- Herstart
- Een gebruiker mag een herstart vier keer uitstellen. Na 72 uur herstart het apparaat toch, met een laatste aftelling van 30 minuten, en nooit tussen 22:00 en 07:00 lokale tijd.
- Voorcontrole
- Er wordt niets geïnstalleerd bij te weinig schijfruimte of stroom, op een verbinding met datalimiet, tijdens een presentatie, als er al een herstart openstaat of in de eerste 10 minuten na het opstarten.
- Melding
- Gebruikers krijgen 15 minuten voor de eerste batch bericht, en de herstartmelding draagt de huisstijl van de klant.
- Klok vanaf detectie
- 24 uur
- Herstart
- Afgedwongen
- Uitstel
- Eén keer, 15 minuten
- Buiten het venster
- Alleen als u het toestaat
De meeste patching stopt één stap te vroeg.
Een update wordt geïnstalleerd, Windows vraagt om een herstart en het apparaat blijft half gepatcht tot iemand toevallig herstart. De patchstatus oogt dan precies zo lang beter dan hij is als gebruikers niet herstarten. Secuno rekent de herstart, en de gezondheidscontrole daarna, tot de uitrol.
Minder half gepatchte apparaten
Een apparaat dat een herstart nodig heeft, krijgt een herstartplan met een echte deadline. De fix wacht niet meer weken op iemand die herstart, en een apparaat dat niet terugkomt is een bevinding in plaats van een raadsel.
Geen verraste gebruikers
Gebruikers zien één zin, de echte deadline en hoe vaak ze nog mogen uitstellen, in de huisstijl van hun eigen IT-partner. Stille uren houden elke herstart tegen, dus niemand raakt 's avonds laat zijn machine kwijt.
Elke beslissing vastgelegd
Elke patch heeft een beslislog op basis van wat er echt mee gebeurde: goedkeuring, spoor, blokkades, herstarts en uitstel. Vraagt een klant waarom een machine niet gepatcht is, dan staat het antwoord er al.
Eén beleid per klant, te lezen als vier zinnen.
Levering, herstart, voorcontrole en melding. Elke clausule verschijnt als een zin die uit haar eigen waarden wordt opgebouwd, zodat een accountmanager het beleid aan de klant kan voorlezen zonder instellingen te vertalen.
- Standaardwaarden die vanaf dag één werken: werkplekken mogen een herstart vier keer uitstellen, herstarten uiterlijk na 72 uur met een laatste aftelling van 30 minuten, en houden stille uren van 22:00 tot 07:00 in hun eigen lokale tijd
- Servers herstarten nooit uit zichzelf, tenzij u anders beslist
- Een apparaatgroep kan een eigen beleid hebben dat voor haar leden voorgaat, zodat de financiële afdeling en het magazijn er niet één hoeven te delen
- Met beleidssjablonen legt u een standaard één keer vast en koppelt u die aan elke klant die hem moet volgen
- Onderhoudsvensters gelden voor Windows-updates en software van derden, bepalen of een herstart überhaupt mag, en kunnen in de eigen tijdzone van elk apparaat worden beoordeeld
Vijf manieren om te herstarten, van nooit tot afgedwongen.
Elk apparaat dat een herstart nodig heeft, krijgt één plan in een van vijf modi. Updates die binnenkomen terwijl er een plan openstaat, sluiten daarbij aan, zodat een apparaat één keer herstart per set installaties in plaats van per update.
Een melding die de waarheid vertelt
Eén zin, de echte deadline en het echte aantal keer dat de gebruiker nog mag uitstellen, in de huisstijl van de klant. De keuzes bepaalt het platform, en elk uitstel gaat van het budget af en wordt vastgelegd.
Een aftelling die niet weg te klikken is
De laatste aftelling is het eigen venster van het besturingssysteem en kan niet worden gesloten. Het komt niet als verrassing, want de melding toont de deadline al die tijd.
Stille uren gelden voor elke modus
Stille uren en een gesloten onderhoudsvenster houden elke herstartmodus tegen. Een deadline die om 23:00 verloopt, wacht op de ochtend.
Nu herstarten, met vijf minuten waarschuwing
Een beheerder kan een apparaat direct herstarten. De gebruiker krijgt een vaste waarschuwing van vijf minuten, en die herstart wordt nooit tegengehouden.
Niemand aangemeld, of een vergrendeld scherm
Is er niemand aangemeld, dan gebeurt een uitstelbare herstart meteen, want er is niemand om te storen. Een vergrendelde sessie wacht tot die wordt ontgrendeld.
Elke openstaande herstart op één scherm
Apparaten op volgorde van deadline, met de apparaten over hun deadline en die niet terugkwamen apart gemarkeerd. Nu herstarten, verlengen met een reden of annuleren, en een uitstelrapport laat zien wie steeds weer uitstelt.
Kwam hij gezond terug?
Een herstart is niet het einde van de uitrol. De agent meldt zich bij elke start, en die melding bevat bewijs van hoe de machine is opgekomen.
Een apparaat dat niet terugkomt, is een bevinding
Heeft een werkplek zich 15 minuten na een herstart niet gemeld, of een server na 30 minuten, dan volgt een bevinding met hoge ernst. U hoort van de machine die op een opstartscherm hangt voordat de gebruiker belt.
Gezond betekent bewijs, niet een hartslag
Services die eerst draaiden en nu uit liggen, een bugcheck, een opstartlus of een piek in crashende applicaties laten het plan mislukken. Elk daarvan geeft een bevinding met hoge ernst die zegt wat te doen, en telt mee tegen de uitrolring van het apparaat.
Geen bewijs is geen goed nieuws
Een terugmelding zonder gezondheidsmeting wordt vastgelegd als ongemeten. Die telt nooit als gezond.
Urgentie volgt uit misbruik, niet uit een ernstlabel.
Elke patch staat in een van vier sporen, en elk spoor start een klok bij detectie. Het spoor verkort ook de wachttijd voor goedkeuring en de proefperiode per ring, zonder de regels te veranderen voor wat een geslaagde uitrol is.
Hier misbruikt gezien
Een responder kan vastleggen dat een CVE bij deze klant is misbruikt. Elke update die hem verhelpt, gaat voor die klant naar spoed, met audit, en gaat terug zodra de waarneming is afgehandeld.
Opnieuw berekend als de feiten veranderen
Sporen worden herberekend bij goedkeuring, op het moment dat een CVE aan de KEV-catalogus wordt toegevoegd, en elke nacht. Een nieuwe KEV-vermelding controleert ook meteen welke klanten geraakt zijn, in plaats van te wachten op de volgende ronde.
Een spoedoverride die u zelf aanzet
Spoedinstallaties herstarten afgedwongen, met één keer 15 minuten uitstel. Ze buiten het onderhoudsvenster laten draaien vraagt een override per klant die standaard uit staat en wordt geaudit.
Wordt een installatie tegengehouden, dan ziet u waarom.
Voor elke batch lopen zes controles. Faalt er één, dan gaat het werk terug in de wachtrij met de poging terugbetaald, en staat de reden op het scherm in plaats van begraven in een log.
- Een meting die het platform niet kan doen, houdt nooit een installatie tegen, zodat een ontbrekende meting de patching van een klant niet stillegt
- Een blokkade die ouder is dan 72 uur wordt een risico met hoge ernst, zodat een vastgelopen apparaat vanzelf bovenkomt
- Eén pagina toont elke reden waarom een installatie niet gebeurt, en elk apparaat heeft zijn eigen uitroloverzicht
Batches op maat van het venster
De installatieduur van elke update wordt geschat op de mediaan van de laatste 50 installaties in de hele vloot, of 8 minuten zonder historie. Updates worden gebundeld tot de resterende tijd van het venster, min de ruimte voor de herstart, op is. Wat niet past, wacht op het volgende venster zonder een poging te kosten.
Inhoud vóór het venster
Updates kunnen vooraf worden gedownload zonder ze te installeren, met de eigen downloader van Windows Update of de download-only-modus van de Linux-pakketbeheerder. Klaargezette inhoud gaat als eerste mee in de volgende batch, en de downloadmodus en bandbreedtelimiet van Delivery Optimization volgen het beleid.
Nieuwe pogingen, met een grens
Een mislukte installatie wordt drie keer geprobeerd, niet eindeloos. Wachten tot een gebruiker zich aanmeldt telt apart van een echte fout, en een kapotte updateservice wordt ook zo gemeld in plaats van als een batch waarin elke update mislukte.
Goedkeuring zet een patch klaar. Het venster bepaalt wanneer hij landt.
Goedkeuring en timing zijn bewust twee aparte beslissingen. Een patch kan automatisch worden goedgekeurd na een wachttijd die u per klant en per ernst instelt, en gaat daarna door uitrolringen die de volgende stap moeten verdienen.
Laat de leverancier de slechte update eerst vinden
Stel een wachttijd van 72 uur of meer in voor automatische goedkeuring, en een update die de leverancier in de eerste drie dagen terugtrekt, bereikt uw klanten nooit.
Ringen die stilte als waarschuwing lezen
Het oordeel per ring telt geschikte, gemelde en geslaagde apparaten apart, zodat niets terughoren nooit wordt verward met alles gelukt. Een ring die tijdens de proefperiode faalt stopt direct, een ring die stil valt telt als achteruitgang, en een gestopte ring draait u met één klik terug.
Terug naar een genoemde versie, en daar blijven
Een pakket van derden kan worden teruggezet naar een specifieke eerdere versie en worden vastgepind, zodat de volgende automatische update de downgrade niet weer ongedaan maakt.
Windows terugdraaien, eerlijk afgebakend
Terugdraaien van Windows-updates geldt alleen voor updates die Windows zelf laat verwijderen. De agent meldt welke dat zijn, in plaats van dat het product een terugdraai belooft die het niet kan uitvoeren.
Eén apparaat blokkeren, de goedkeuring houden
Eén apparaat kan van een patch worden uitgesloten zonder de goedkeuring voor de rest van de omgeving in te trekken. Dat veto per apparaat maakt uitrollen in ringen in de praktijk werkbaar.
Een mislukte scan verandert niets
Windows Update zegt nooit dat een update is vervangen; hij wordt gewoon niet meer aangeboden. Secuno haalt er pas een weg na een scan die slaagde, online liep en volledig was, want een kapotte updateagent ziet er precies zo uit als een volledig gepatcht apparaat.
Gebouwd voor de machines die het lastigst te patchen zijn.
De servers die u niet zomaar herstart, de werkplekken die met applicatiebeheer zijn dichtgezet, en de Linux-hosts waar een upgrade services herstart.
Servers herstarten op volgorde
Een herstartgroep herstart een vast aantal servers tegelijk, in de volgorde die u kiest, met een gezondheidscontrole tussen elke server. Een optionele back-upcontrole wacht op een recent back-uptijdstip dat uw team vastlegt. Secuno maakt of controleert zelf geen back-ups.
Patching die applicatiebeheer toestaat
Windows-updates worden rechtstreeks via de Windows Update Agent geïnstalleerd, niet door PowerShell te starten, en dat is precies wat WDAC, AppLocker en Constrained Language Mode moeten tegenhouden. Updatetitels komen nooit in de opdrachtregel van een proces terecht.
Apps per gebruiker, gepatcht voor die gebruiker
Software van derden wordt gescand als systeem en als elke aangemelde gebruiker, en daarna in de juiste context geïnstalleerd. Een app per gebruiker wordt bijgewerkt in elke actieve sessie, ook op remote desktop-servers, in plaats van dat er een tweede kopie onder een serviceaccount landt terwijl de kwetsbare blijft staan.
Software van derden via winget
Updates van applicaties van derden lopen via Windows Package Manager, onder dezelfde goedkeuringen en onderhoudsvensters, in dezelfde lijst als Windows-updates.
Linux: standaard gemeld, geïnstalleerd als u dat wilt
De Linux-agent meldt openstaande apt- en dnf-updates uit de bestaande pakketgegevens van de host zonder die te verversen, zodat hij nooit het slot van de beheerder pakt. Installeren zet u per klant aan via beleid en staat standaard uit, omdat een pakketupgrade services herstart.
Linux-herstarts, op de Linux-manier
Linux-desktops krijgen een herstartmelding en Linux-servers een wall-bericht, onder hetzelfde uitrolbeleid als al het andere.
Elke update, en elke beslissing erover, op één plek.
Windows-updates en software van derden staan in één lijst met updates, met het spoor, de uitrolstatus en een standaardweergave van wat op u wacht.
- Een beslislog per patch, rechtstreeks gelezen uit wat de uitrol vastlegde in plaats van een samenvatting achteraf
- Windows-updates dragen de CVE's die ze verhelpen, uit de eigen feed met beveiligingsupdates van Microsoft, zodat een openstaande update en de kwetsbaarheid die hij dicht één gesprek zijn
- Vanuit een kwetsbaarheidsrisico keurt de knop Remediate de upgrade die het oplost goed voor één apparaat, terwijl het pakket voor de rest van de klant openstaat. De goedkeuring vervalt na een geslaagde installatie, zodat de fix van vandaag nooit de versie van volgende maand vooraf goedkeurt
- Patchrapporten lopen op een schema dat u instelt, zodat een klant hoort hoe het patchen ging zonder dat iemand dat met de hand bij elkaar zoekt
- Een patch goedkeuren en inplannen zijn automatiseringsacties, zodat een regel routinewerk kan verzetten zonder dat iemand elke patch aanklikt
Wat u het eerst wilt weten.
Worden gebruikers midden in een vergadering gedwongen te herstarten?
Niet standaard. Werkplekken krijgen een uitstelbare herstart: vier keer uitstel, een deadline van 72 uur en een laatste aftelling van 30 minuten, met stille uren van 22:00 tot 07:00. Iemand die presenteert of schermvullend werkt, houdt de installatie al tegen voordat die begint. Afgedwongen herstarts zijn er alleen bij installaties in het spoedspoor, die nog één keer 15 minuten uitstel bieden, en bij een Nu herstarten die een beheerder bewust verstuurt, met vijf minuten waarschuwing.
Wat gebeurt er met servers?
Servers herstarten standaard nooit uit zichzelf. Updates worden geïnstalleerd en wachten, en de herstart gebeurt wanneer u die uitvoert of via een herstartgroep, die een vast aantal servers tegelijk op volgorde herstart met een gezondheidscontrole tussen elke server en een optionele controle op een recente back-up. Heeft een server zich 30 minuten na een herstart niet gemeld, dan volgt een bevinding met hoge ernst.
Werkt het waar PowerShell is dichtgezet?
Ja. Windows-updates worden rechtstreeks via de Windows Update Agent geïnstalleerd, dus WDAC, AppLocker en Constrained Language Mode blokkeren het patchen niet. Er bestaat nog een tijdelijke terugvaloptie via PowerShell zolang de vloot overgaat. Die wordt bij elk gebruik gelogd en verdwijnt zodra niets hem meer nodig heeft.
Kunnen we terugdraaien?
Voor software van derden wel: zet terug naar een genoemde eerdere versie en pin die vast, zodat de volgende update het niet ongedaan maakt. Een gestopte uitrolring draait u met één klik terug. Voor Windows-updates alleen wat Windows zelf laat verwijderen, en de agent meldt welke updates dat zijn. Een teruggedraaide patch kan pas weer in de wachtrij als iemand de terugdraai ongedaan maakt.
En Linux?
Linux-agents melden openstaande apt- en dnf-updates zonder de pakketgegevens te verversen, zodat ze nooit het slot van de beheerder pakken. Installeren staat standaard uit omdat een upgrade services herstart; u zet het per klant aan via beleid. Updates kunnen vooraf worden gedownload, desktops krijgen een herstartmelding en servers een wall-bericht.
Hoe gaat het met een kwetsbaarheid die actief wordt misbruikt?
Zodra een CVE in de Known Exploited Vulnerabilities-catalogus van CISA komt, gaan de updates die hem verhelpen naar het spoedspoor, met een klok van 24 uur vanaf detectie. Vastleggen dat hij bij een klant is misbruikt, doet hetzelfde voor die klant. Spoedinstallaties herstarten afgedwongen met één keer 15 minuten uitstel, en met de spoedoverride per klant aan kunnen ze buiten het onderhoudsvenster draaien.
Maak elke uitrol af. Verras niemand.
Vertel ons hoe uw klanten nu patchen, en we laten u dezelfde omgeving zien met een uitrolbeleid, een herstartplan en een beslislog erachter.