123答案

如何使用SUS 执行修补程序管理

目标

使用本模块可以实现：

?使用SUS 和MBSA 实现修补程序管理过程的所有四个阶段。

适用范围

本模块适用于下列产品和技术

?Microsoft? Software Update Services (SUS) 1.0（附带Service Pack 1）

?Microsoft Baseline Security Analyzer (MBSA) 1.1.1

如何使用本模块

本模块提供有关如何使用SUS 和MBSA 实现四个阶段的修补程序管理过程的详细信息。

为了充分理解本模块内容，请：

?参阅模块修补程序管理过程。该模块概述修补程序管理过程的各个阶段（共四个），并介绍可在Microsoft Windows? 操作系统环境中支持修补程序管理的工具。

?请参阅以下四个模块，它们详细描述了包含四个阶段的修补程序管理过程：

?请参阅模块修补程序管理阶段1 –评估。

?请参阅模块修补程序管理阶段2 –识别。

?请参阅模块修补程序管理阶段3 –评估和计划。

?请参阅模块修补程序管理阶段4 –部署。

?请参阅“Software Update Services Deployment”白皮书，该文章可以从SUS 站点https://www.360docs.net/doc/4d8272597.html,/windowsserversystem/sus/default.mspx（英文）下载。

?请参阅“Microsoft Baseline Security Analyzer”的介绍，其网址为

https://www.360docs.net/doc/4d8272597.html,/mbsa（英文）。

摘要

本模块介绍了如何使用SUS 和MBSA 进行企业修补程序管理。本模块中提供的指导和信息可以帮助您实现Microsoft 推荐的四阶段的修补程序管理过程。

准备工作

开始使用本模块之前，需要执行以下准备步骤：

?下载MBSA

请从位于https://www.360docs.net/doc/4d8272597.html,/technet/security/tools/mbsahome.asp（英文）的MBSA 主页中下载MBSA。

?下载最新的MBSA XML 文件

如果您使用的计算机可以访问Internet，则可以自动下载最新的安全XML 文件（如果需要）。但是，如果您的计算机没有Internet 访问权限，则需要使用位于以下站点的签署.cab 文件下载最新的XML 文件：

https://www.360docs.net/doc/4d8272597.html,/download/xml/security/1.0/NT5/EN-US/mssecure.cab（英文）。

该.cab 文件是已签署的，这样做是为了确保它没有被修改。您必须解压缩该文件并将其存储到存储MBSA 的同一个文件夹中。

注意：要查看最新的XML 文件而不进行下载，请登录以下站点：

https://www.360docs.net/doc/4d8272597.html,/technet/security/search/mssecure.xml（英文）。

?安装MBSA

您可以使用Mbsasetup.msi 安装MBSA。默认的安装目录为：\Program Files\Microsoft Baseline Security Analyzer\。

注意：您需要从此目录运行命令。MBSA 并不为您创建环境变量。

?下载SUS 1.0（附带SP1）

您可以从

https://www.360docs.net/doc/4d8272597.html,/downloads/details.aspx?FamilyId=A7AA96E4-6E41-4F54-972C-AE6 6A4E4BF6C&displaylang=en（英文）中下载SUS 1.0（附带SP1）。

?安装SUS 1.0（附带Service Pack 1）

请使用SUS10SP1.exe 进行安装。

预备知识

使用本模块之前，应该了解以下内容：

?您可以使用GUI (Mbsa.exe) 或从命令行(Mbsacli.exe) 中操作MBSA。

?MBSA 使用端口138 和139 执行扫描。

?MBSA 需要对您所扫描的计算机具有管理员权限。可以使用选项/u （用户名）和/p （密码）指定运行扫描的用户名。请不要将用户名和密码存储在文本文件中，例如命令文件或脚本。

?MBSA 需要以下软件：

?Microsoft Windows XP、Microsoft Windows 2000 或Microsoft Windows NT? 4.0 SP4 和更高版本的操作系统（本地扫描只能在使用简单文件共享的Windows XP 计算机上实现）

?Internet Information Services (IIS) 4.0、5.0（执行IIS 漏洞检查时需要）

?Microsoft SQL Server 7.0, 2000（执行SQL 漏洞检查时需要）

?Microsoft Office 2000、XP（需要执行Office 漏洞检查）

?对于MBSA 而言，必须安装/启用以下服务：

?Server 服务

?远程注册服务

?文件和打印共享

?SUS 仅在端口80 上工作；客户端上的自动更新组件只能在该端口上与SUS 服务器进行通信。

?SUS 1.0 SP1 在Windows 2000 Server（附带Service Pack 2 或更高版本）上运行。必须在服务器上启用IIS。

评估阶段–扫描更新

开始使用SUS 将软件更新部署到产品环境中之前，必须执行审核。有关背景信息，请参阅模块修补程序管理阶段 1 –评估。

如果使用SUS 进行修补程序管理，必须使用MBSA 进行审核和扫描。MBSA 将报告以下操作系统上缺少的安全更新和Service Pack，并识别其漏洞：

?Microsoft Windows Server 2003

?Windows XP

?Windows 2000

?Windows NT 4.0

MBSA 还报告计算机配置是否符合常见的最佳安全实践（如强密码）。

此外，MBSA 还报告以下应用程序缺少的安全更新：

?Microsoft Internet Information Server 4.0

?Microsoft Internet Information Services 5.0 和6.0

?Microsoft SQL Server 7.0 和SQL Server 2000（包括Microsoft SQL Server Desktop Engine (MSDE) 1.0 和MSDE 2000）

?Microsoft Exchange Server 5.5 和Exchange Server 2000（包括Exchange 管理工具）

?Microsoft Internet Explorer 5.01 及更高版本

?Microsoft Windows Media Player 6.4 及更高版本

MBSA 还识别以下应用程序的错误配置设置：

?Internet Information Server 4.0

?Internet Information Services 5.0 和 6.0

?Internet Explorer 5.01 及更高版本

?SQL Server 7.0 和SQL Server 2000（包括MSDE 1.0 和MSDE 2000）

?Office 2000 和Office XP

?使用MBSA 扫描更新

1.

在安装MBSA 的工作站上，以域管理员的身份登录并运行MBSA GUI。

2.

单击“选取多个要扫描的计算机”并输入要扫描的域名或Internet 协议(IP) 地址范围。如果要扫描整个域，则输入的名称必须为该域的NetBIOS 名称，而不是DNS 中所使用的完全限定域名(FQDN)。

3.

选择“使用SUS 服务器”并输入http:// server，其中server 是所需的SUS 服务器名，如图1 所示。

图1

扫描域或IP 地址范围中的计算机

4.

单击“开始扫描”并等待结果。

5.

单击“选取要查看的安全报告”并单击要查看其报告的计算机。

6.

单击“结果详细信息”以查看详细信息。

注意：MBSA 只检测操作系统和软件应用程序的软件更新的存在或缺少情况，这些特定的软件更新内容列在Microsoft 知识库文章306460“Hfnetchk Returns Note Messages for Installed Patches”中，其网址为https://www.360docs.net/doc/4d8272597.html,/default.aspx?scid=kb;en-us;306460（英文）。

MBSA 的输出将标识您的IT 基础结构中是否已采用物理方式安装了MBSA 被指定进行扫描的软件应用程序，以及确保这些应用程序的安全所需的安全更新。

图2 所示为一个IIS 5.0 安装在Windows 2000 成员服务器上的示例。

图2

MBSA 扫描的输出

MBSA 的GUI 版本扫描文件版本和注册表项信息。使用MBSA 的命令行版本(Mbsacli.exe) 可以执行更加全面的产品环境扫描，它可以验证每个扫描的安全更新的文件校验和版本、文件版本和注册表项信息。

使用MBSA 命令行版本时，有两个可以选择的选项：

?使用/hf 开关可以仅执行安全更新扫描

?如果不使用/hf，将执行对整个计算机的扫描

使用Mbsacli.exe（带/hf 开关）创建的扫描结果可以在命令行上查看，也可以发送至输出文件中；而使用Mbsacli.exe（不带/hf 开关）则会产生一个XML 扫描报告，此报告可以在MBSA GUI 中查看。可以将Mbsacli.exe /hf 的输出导入Microsoft Excel 或文本文件中，以进行进一步分析。

评估阶段–设置环境基准

您可以结合使用MBSA 命令行实用程序(Mbsacli.exe /hf) 的输出及Microsoft Excel 中的“数据透视表和数据透视图”功能，标识产品环境中已部署的项目，并设置适当的基准。有关背景信息，请参阅模块修补程序管理阶段 1 –评估。

注意：SUS 客户端将自动应用SUS 服务器上可用于它们（且已被批准）的更新。因此，这些更新可能不需要包含在结构映像中，而可以在将新的计算机加入域时应用。然而，实践中，许多通过SUS 提供的更新不是对计算机的成功运行非常关键，就是可以降低受安全漏洞影响的风险。这表明管理员应当向基础结构添加新的安全更新，这样新计算机从部署到产品环境中的那一刻起就会得到保护。

评估阶段–设计SUS 基础结构

评估软件分布基础结构是有效的修补程序管理过程的另一个重要组成部分。有关背景信息，请参阅模块修补程序管理阶段 1 –评估中的“评估现有软件分布基础结构”部分。

应该只将一个SUS 父服务器配置为自动从Microsoft 公共Windows Update 服务器下载软件更新，如图3 所示。请注意，在父服务器上应仅批准经过测试且已批准部署的更新。

图3

推荐的SUS 拓扑结构

借助预先配置的同步计划，SUS 父服务器可以每天从公共的Microsoft Windows Update 服务器下载关键更新和安全更新。这需要在防火墙中打开出站TCP 端口80。

SUS 测试服务器被配置为可从SUS 父服务器下载更新。这也可以在每天固定的时刻进行，其同步时间应设置为SUS 父服务器与公共Microsoft Windows Update 服务器同步后一小时。（一小时是距离SUS 父服务器同步计划所可能的最接近的时间。）这样做是为了确保软件包尽快到达SUS 测试服务器并能够进行审批和测试。

SUS 测试工作组应当在SUS 测试服务器上审批新的更新。审批结束后，更新便立即可用于所有的SUS 测试客户端。为避免所有的SUS 测试客户端同时轮询SUS 测试服务器，这些客户端将每隔22 小时轮询该服务器一次，时间间隔的差别最多不超20%，以实现随机性。特定更新测试成功后，SUS 管理员应当在SUS 父服务器上批准该更新。

在SUS 父服务器上批准更新后，向该服务器报告的SUS 客户端在默认情况下将于22 小时之内开始从该服务器下载更新。安装根据指定的时间表开始进行，也可以由本地管理员执行。向SUS 子服务器报告的客户端计算机，将在批准到达子服务器起的22 小时之内开始下载更新。

SUS 子服务器将被配置为每天与父服务器自动同步。子服务器将同步并下载所有的内容，以及SUS 父服务器上的已批准项目。同步完成后，SUS 父服务器上的所有已批准更新都将镜像到SUS 子服务器上镜像，并且立即可用于产品SUS 客户端（这些客户端配置为可以向这样的SUS 子服务器轮询关键和安全更新）。

在图 3 所示的拓扑结构设计中，管理员只需在SUS 父服务器上批准更新，就可以使该更新可用于所有的产品SUS 客户端。随时都可以对所有的SUS 服务器进行手动同步。

Microsoft 有时会更新软件更新的检测条件（元数据），这将导致软件更新表现为“已更新”状态。此外，如果重新发布了软件更新，也有可能会导致界面上显示“已更新”状态。重新发布软件更新的情况很少发生，但是，如果发生，软件更新公告中将显示相关信息。如果更新的原始版本已在SUS GUI 中得到批准，则SUS 管理员可以将SUS 服务器配置为自动审批，或手动审批重新发布的更新版本。

要确保不会在未经过测试的情况下自动将已修改的更新发布到产品环境中，管理员应当在SUS 服务器上选择选项“不要自动审批新版本的已批准更新。我将在以后手动批准这些更新”。

同步时间间隔

应当将父服务器配置为可根据每天的同步时间安排从公共Microsoft Windows Update 服务器下载更新，但是管理员可以通过手动选择“SUS 服务器管理”页上的“立即同步”选项更频繁地请求更新。

应当将下载配置为在网络空闲时进行。通常，一天一次应当已足够，如图 4 所示。

图4

配置SUS 以下载更新

请注意，应当将子服务器配置为按照计划的时间间隔从父服务器自动下载新的更新。此时间间隔应当安排在父服务器从公共Microsoft Windows Update 服务器下载更新后至少一小时。

如果管理员知道在计划的下一次下载之前已发布了更新，可以使用“立即同步”选项。

识别阶段–获得通知

评估环境之后，下一个阶段将关注识别问题以及获得有关可用更新的信息。有关背景信息，请参阅模块修补程序管理阶段 2 –识别。

Microsoft 安全通知服务

电子邮件是最常用的软件更新通知方式。接收电子邮件通知的一种方法是在https://www.360docs.net/doc/4d8272597.html,/technet/security/bulletin/notify.asp（英文）上预订Microsoft Security 通知服务。

SUS 修补程序警报服务

如果您已注册SUS 修补程序警报服务，通常系统会通过电子邮件通知您可以使用SUS 部署新的更新，如图 5 所示。该电子邮件指示可以在公共Windows Update 服务器中下载的

新更新程序，但并不说明这些更新程序的内容。

图5

通知管理员可通过Microsoft Software Update Services 获得最新软件更新的电子邮件示例

识别阶段–处理通知

收到通知后，您需要确定有哪些可用的软件更新。有关背景信息，请参阅模块修补程序管理阶段2 –识别。

在SUS 中，您应该在每次收到新的电子邮件更新通知时在SUS 服务器和公共Windows Update 服务器之间强制进行同步。这可以通过使用“SUS 服务器管理”页上的“立即同步”选项得以实现，如图6 所示。

图6

强制SUS 服务器与Microsoft Windows Update 服务器同步内容

注意：使用SUS 只能部署“SUS 服务器管理”页中显示的更新。

要确定各个软件更新与产品环境中的计算机的相关性，应参阅相关的安全公告或知识库文章。可以按照下面介绍的过程从“SUS 服务器管理”页中访问此文档。

?查找软件更新的详细信息

1.

单击审批日志超链接。

2.

查找要检查的特定更新。

3.

单击“详细信息”以查看特定的更新（如图7 所示）。

图7

SUS 审批日志

4.

在“更新详细信息”对话框中，单击“信息”图标（如图8 所示）。

图8

访问更新的支持信息

注意：当管理员通过“SUS 服务器管理”页面选择要审批的特定更新时，该更新将自动通知与其他更新的相关性。审批特定更新时将自动审批该特定更新所依赖的所有更新。自动更新客户端将确保按照正确的顺序安装这些更新。

识别阶段–确保安全更新是安全的

前已述及，所有Microsoft 通过公共Windows Update 服务器提供的安全更新都带有数字签名。SUS 服务器下载新的安全更新时，将自动检查该更新的签名。有关背景信息，请参阅模块修补程序管理阶段 2 –识别。

SUS 父服务器将下载新的更新并使用临时文件扩展名(.tmp) 存储它们。仅当成功验证数字签名后，才会使用文件的原始文件扩展名（如.exe）重命名它们，并将它们置于\Content\Cabs 文件夹下（如图9 所示）。

图9

SUS 服务器上带数字签名的更新的位置

如果更新没有通过数字签名检查，将在SUS 下载服务器上的事件日志中写入一个错误，同步日志中将记录一次由于签名检查失败而导致的更新下载失败，如图10 所示。

图10

数字签名验证失败

SUS 管理员必须每天都检查同步日志中的下载失败记录。SUS 客户端将执行同样的过程，无论它们是从公共Windows Update 服务器下载更新还是从SUS 服务器下载更新。

由于SUS 父服务器是组织中的客户端以及组织中的SUS 服务器的更新来源，因此SUS 管理员应当确保在该计算上将病毒扫描程序安装为一个服务，并将其配置为扫描所有的传入或传出文件。

验证软件更新安装步骤

测试卸载是否正常工作是非常重要的。卸载之后，应该检查服务器是否仍按照预期运行，并且应继续观察事件日志和系统监视器计数器。

软件更新无法由SUS 自动卸载，因此必须使用“控制面板”中的“添加或删除程序”手动

删除它们。如果将影响大量计算机，最好开发一个执行此任务的脚本。

评估和计划阶段–安排更新

如果您的计算机对业务运行非常关键，且对计算机进行更改和重新启动需要在特定时间内（停机窗口）进行，则需要将软件更新部署和由此而引起的所有系统重新启动操作安排到这些停机窗口中。有关背景信息，请参阅模块修补程序管理阶段3 –评估和计划中的“规划发布”部分。

?在SUS 环境中安排更新

1.

使用“自动下载并通知安装”设置，将组策略对象(GPO) 中的策略设置配置为可以下载但“不安装”所需的更新。

2.

监视这些服务器上的事件日志，以确认所需的更新已下载并能够安装。

3.

登录到服务器并开始安装，然后授权在需要时在与更改管理员达成一致的日期和时间重新启动计算机。

如果将工作站上的最新更新内容的安装（和可能的计算机重新启动）安排到正常工作时间以外，则应使用“重新安排自动更新预定安装”GPO 设置使得错过预定安装的计算机可以能够将安装重新安排到在自动更新服务启动时执行。

注意：如果不使用此GPO 设置，则在（由于关闭了客户端计算机）错过预定安装后，将不再进行安装，即使重新启动计算机也是一样。相反，SUS 客户端软件会等到下一个预定启动时间到来后再次尝试安装。这可能会引起一个问题：除非计算机在预定的安装时间处于联机状态，否则更新将永远不会被应用。

默认情况下，安装更新后需要重新启动计算机，不具备本地管理员权限的用户在计算机执行强制重新启动之前，只有5 分钟时间保存或保护他们的工作。

?防止强制重新启动

1.

请使用“不自动重新启动预定的自动更新安装”GPO 设置控制重新启动行为。如果启用GPO 设置，则当用户仍处于登录状态时，该设置将阻止自动更新自动重新启动计算机。

2.

为使此设置生效，最终用户必需具有对他们的计算机的“重新启动”权限。

注意：如果要修补的产品是使用Windows Installer 部署的，则该Installer 可能需要具备对原始安装文件的访问权限。如果执行的是无人参与软件更新安装，这些文件需要与最初安装该产品时位于“同一”位置。如果产品是从物理介质（如CD 驱动器）中安装的，则Windows Installer 将尝试在当前插入的CD 上查找原始文件。

评估和计划阶段–部署紧急变更请求

紧急变更请求需要特定的步骤和注意事项。有关背景信息，请参阅模块修补程序管理阶段3 –评估和计划。

如果变更请求指示软件更新对业务非常重要，则您必须：

?使用“组策略”强制客户端在它们的常规预定维护窗口之前安装该软件更新。

?覆盖正常的同步安排，在正常的计划中，子SUS 服务器将在网络空闲时同步更新，方法是使用“SUS 服务器管理”页上的“立即同步”在已下载更新的SUS 服务器与任何子服务器之间强制执行复制。

评估和计划阶段–生成发行版本

部署更新之前，可能需要准备更新可执行文件和发布包。有关背景信息，请参阅模块修补程序管理阶段3 –评估和计划。

由SUS 部署的更新是从公共Windows Update 服务器直接下载的，并且已经打包为.exe 文件格式，因此不需要重新打包以进行部署。

使用SUS 执行引导滚动

有关背景信息，请参阅模块修补程序管理阶段3 –评估和计划。

?执行引导滚动

1.

请仅在SUS 引导服务器上审批更新。不要在任何其他的SUS 服务器上审批更新。

2.

创建新的站点级GPO（称为“SUS 引导GPO”）并配置策略设置，使得应用此GPO 的计算机引用SUS 引导服务器获得更新。

3.

应用安全性筛选，以便只有SUS 引导客户端对此GPO 具有“读取并应用策略设置”权

限。

4.

通过将此SUS 引导GOP 置于分配给站点的GPO 列表的顶部，确保其优先级。确保“强制”(Windows 2003) 或“不覆盖”(Windows 2000) 选项已启用，以确保应用该策略。

5.

将更新成功部署到产品环境中后，管理员应当删除该SUS 引导GPO。引导所涉及的客户端，在刷新“组策略”后应当还原到产品SUS 服务器，以获取新的更新。

如果引导不成功，则需要在引导SUS 服务器“取消批准”它，并从已安装它的客户端上卸载它。管理员需要使用“控制面板”中的“添加或删除程序”手动执行此操作（可能时）。对于不能手动卸载的更新，请使用Windows XP 的系统还原实用程序、Windows Server 2003 和Windows 2000 的备份和还原工具（或所使用的其他还原技术）将客户端还原回安装更新前的上此已知正常状态。

部署阶段–传达滚动计划

安全并成功地部署更新之前，需要通知用户，这是因为可能有些特定的操作需要他们执行，以协助更新安装过程。有关背景信息，请参阅模块修补程序管理阶段 4 –部署。

?清楚地传达滚动计划

1.

向用户和管理员发送内容清楚且显眼的电子邮件，通知他们将进行更新并提供有关如何安装的信息。如果要在非重要工作时间以外的时间内更新桌面，应当向最终用户发送电子邮件，通知他们在特定日期不要关闭计算机。

2.

应当对此邮件进行标记，以提醒用户和管理员为安装软件更新所需执行的操作。这些操作取决于对特定SUS 客户端强制的下载和安装策略设置。

?通知下载和通知安装

使用本地管理员权限登录的用户将收到有关将应用于客户端计算机的新批准的更新的通知，他们需要在工具栏上出现“可以下载新的更新通知”时选择下载更新的选项。要完成安装，用户需要在下载完成后显示“可以安装新的更新通知”时选择安装软件更新的选项。

只要尚未安装当前已检测的更新，自动更新客户端就不会与SUS 服务器联系来获取进一步的更新信息。

?自动下载并通知安装

新批准的、应用于客户端计算机的更新将由自动更新客户端自动下载。为了安装软件更新，使用本地管理员权限登录的用户需要在出现“可以安装新的软件更新”通知时选择进行安装

的选项。

只要尚未安装当前已检测的更新，自动更新客户端就不会与SUS 服务器联系来获取进一步的更新信息。

?自动下载并安排安装

如果选择此选项，则使用本地管理员权限登录的用户将收到新更新可用的通知，并获得在预定安装时间之前安装更新的选项，或在安装完成后延迟重新启动（如果被要求）的选项。没有本地管理员权限的用户将不会获得此选项，更新将在预定时间在后台安装。仅当启用“不自动重新启动预定的自动更新安装”策略设置时，这些用户才可以选择延迟计算机的重新启动。如果不启用此设置，则自动更新客户端将通知用户系统将在5 分钟之内关闭，并在这段时间过去后自动重新启动系统。

注意：还应该使用“重新安排自动更新预定的安装”GPO 设置，使得错过预定安装的计算机可以将安装重新安排到在自动更新服务启动时进行。

部署阶段–在SUS 服务器上暂存更新

客户端要想安装新的更新，这些更新必须位于客户端的本地SUS 服务器上。有关背景信息，请参阅模块修补程序管理阶段 4 –部署。为避免影响正常的业务操作，应当将SUS 子站点安排为在网络空闲时同步更新（和已批准更新的列表）。需要检查每个子服务器上的同步日志，以检查服务器上是否有特定的更新。图11 演示了此过程。

图11

检查服务器上是否有该更新

如果SUS 子服务器上没有该更新，则应该运行手动同步以下载更新，然后检查同步日志以确认更新是否已收到。

注意：如果外围网络中有SUS 服务器，则必须将来自SUS 下载服务器的与SUS 有关的内容复制到脱机介质中，将其传输至外围网络，然后将其复制到配置本地SUS 服务器被配置为从中获取源文件的服务器中。

?通过分阶段滚动发布更新

1.

在SUS 父服务器上禁用更新“审批”列表同步。虽然子服务器具有更新中的文件的副本，但是该副本不会被部署到客户端，这是因为审批列表尚未同步。

2.

应当随后启用审批列表同步，以将滚动内容发布到不同的站点。

部署阶段–向客户端计算机通告软件更新

将软件更新部署到产品环境中所必需的第一步是向客户端计算机通告软件更新。滚动可以是分阶段的，也可以使所有的客户端在同一部署期间收到更新。有关背景信息，请参阅模块修补程序管理阶段4 –部署。

开放式滚动

如果不要求分阶段滚动，则应该执行以下过程。

?实现开放式滚动

1.

在SUS 父服务器上审批更新。这将使更新可用于使用SUS 父服务器获取更新的客户端，如图12 所示。

图12

在SUS 父服务器上审批更新

2.

如果将自动更新客户端配置为可在有新的更新时通知本地管理员，SUS 客户端将在下一个检测周期内或在本地管理员提示时开始下载新批准的更新。

SUS 客户端每隔17 到22 小时轮询SUS 服务器一次，查找新的更新。假设有一个新的更新已被批准，并且已存储到本地SUS 服务器上，则将自动下载该新更新，并向已登录的用户（如果该用户具有本地管理员权限）发送通知，告知他们新的更新可用。下载完成时，将根据为该自动更新客户端选择的安装选项执行安装。

注意：如果选择了通知下载和通知安装的选项，将不会自动下载更新。已登录的本地管理员必须请求下载，才能实际执行下载。

自动更新安装选项包括:

?预定安装：

更新将自在预定的安装时间安装，除非本地管理员已提前安装。在预定的时间，计算机必须处于联机状态，才能进行安装。但是，“重新安排自动更新预定安装”GPO 设置允许错过预