Mich würde mal interessieren wie eure Update Strategie mit WSUS aussieht.

Ich bin eigentlich ein alter Hase und war schon mit dem SUS dabei. Damals durfte man ja dank fehlender Gruppenfunktion mehrere SUS Server betreiben.



Nach all den Jahren bin ich aber immer noch unzufrieden mit der Update-Strategie, da sie einfach zu viel Arbeit macht und daher nicht immer zeitnah erledigt werden kann. Ich überlege mir bei jedem Update ob ich es freigebe oder nicht. So würde ich kein Update für den IE auf unseren Servern installieren, da keiner auf einem Server im Internet surft (Terminalserver ausgenommen). Jeder Server bekommt nur Updates für Schwachstellen, die auch ausgenutzt werden könnten.

Ich teste die Updates dann noch in verschiedenen VMs. In all den Jahren hatte ich (abgesehen von Service Packs) nur bei einem Update ein Problem. Dies brachte eine Fehlermeldung wenn die Software Realtek HD Audio Control Panel installiert war. Da ich diese nicht in meiner Testumgebung installiert hatte, verteilte ich das Update und musste dann auf einen Patch von MS warten.

Da es wenig bis keine Probleme mit den Updates gibt und man mit einer Testumgebung sowieso nicht alle möglichen Konfigurationen abdecken kann, stellt sich die Frage ob der Test von Updates überhaupt Sinn macht. Die strenge Auswahl von Updates kostet viel Zeit und führt dazu das man eher zu spät ein Update freigibt und damit ggf. mehr Schaden als Nutzen hat.

Meine Idee wäre nun folgende:

Bei Service Packs und Security Rollup Packages erstmal andere ihre Erfahrungen machen lassen und dann bei unkritischen Systemen testen.

Alle Security Updates für die Clients automatisch und ohne Test freigeben.

Security Updates für die Server bei unkritischen Systemen testen, dann bei allen Systemen installieren. Keine vorherige Auswahl treffen.