WINDOWS UPDATES ΜΕΣΩ INTUNE: UPDATE RINGS VS AUTOPATCH

Όλοι ξέρουμε ότι πρέπει να εγκαθιστούμε τα Windows Updates.

Διορθώνουν vulnerabilities, επιλύουν προβλήματα και πολλές φορές προσθέτουν καινούριες δυνατότητες.

Αν όμως διαχειριζόμαστε 100 ή 1.000 εταιρικούς υπολογιστές, το να εγκαταστήσουμε μια ενημέρωση παντού την ίδια στιγμή μπορεί να μην είναι η καλύτερη ιδέα.

Τι γίνεται αν η τελευταία ενημέρωση δημιουργεί πρόβλημα σε μια κρίσιμη εφαρμογή;

Τι γίνεται αν οι χρήστες αρχίσουν να κάνουν restart στη μέση μιας παρουσίασης;

Και, κυρίως, πώς εξασφαλίζουμε ότι οι υπολογιστές παραμένουν ενημερωμένοι χωρίς να περνάμε τη μισή μας ημέρα κυνηγώντας Windows Updates;

Εδώ έρχονται τα Update Rings και το Windows Autopatch.

Ας δούμε πώς λειτουργούν και ποια είναι η διαφορά τους.

ΠΡΩΤΑ ΑΠ’ ΟΛΑ, ΤΙ ΕΙΔΟΥΣ UPDATES ΕΧΟΥΜΕ;

Πριν ξεκινήσουμε, πρέπει να ξεχωρίσουμε δύο σημαντικές κατηγορίες ενημερώσεων.

QUALITY UPDATES

Είναι οι τακτικές ενημερώσεις των Windows, που περιλαμβάνουν διορθώσεις ασφαλείας, αξιοπιστίας και άλλων προβλημάτων.

Οι γνωστές μηνιαίες ενημερώσεις ασφαλείας δημοσιεύονται συνήθως τη δεύτερη Τρίτη κάθε μήνα, το λεγόμενο Patch Tuesday.

Αυτές θέλουμε να εγκαθίστανται σχετικά γρήγορα, επειδή συχνά διορθώνουν γνωστά vulnerabilities.

FEATURE UPDATES

Αυτές αφορούν νέες εκδόσεις των Windows, όπως μια μετάβαση από Windows 11 24H2 σε 25H2.

Μπορεί να περιλαμβάνουν νέες λειτουργίες και μεγαλύτερες αλλαγές στο λειτουργικό σύστημα.

Επομένως, δεν είναι απαραίτητο να ακολουθούν ακριβώς την ίδια στρατηγική deployment με τα μηνιαία security updates.

1. ΤΙ ΕΙΝΑΙ ΤΑ UPDATE RINGS;

Τα Update Rings μας επιτρέπουν να καθορίζουμε πώς και πότε οι Windows συσκευές εγκαθιστούν ενημερώσεις.

Αντί να ενημερώνουμε όλους τους υπολογιστές ταυτόχρονα, μπορούμε να δημιουργήσουμε διαφορετικά στάδια deployment.

Ας υποθέσουμε ότι έχουμε μια εταιρεία με 100 υπολογιστές.

Θα μπορούσαμε να τους χωρίσουμε σε τρεις ομάδες:

Ring	Συσκευές	Σκοπός
Test	5	Πρώτος έλεγχος ενημερώσεων
Pilot	15	Έλεγχος σε αντιπροσωπευτικούς χρήστες
Production	80	Υπόλοιπος οργανισμός

Στο Test ring θα τοποθετούσα μερικούς υπολογιστές του IT.

Στο Pilot ring θα συμπεριλάμβανα χρήστες από διαφορετικά τμήματα, για να ελέγξουμε πραγματικές εταιρικές εφαρμογές και διαφορετικούς τύπους συσκευών.

Και στο Production ring θα βρίσκονταν οι υπόλοιποι υπολογιστές.

Έτσι, δεν χρειάζεται να ανακαλύψουμε ότι ένα update δημιουργεί προβλήματα αφού το έχουν εγκαταστήσει όλοι.

2. ΠΩΣ ΔΗΜΙΟΥΡΓΟΥΜΕ ΕΝΑ UPDATE RING;

Ανοίγουμε το Microsoft Intune admin center και πηγαίνουμε:

Devices → Windows → Windows updates → Update rings

Επιλέγουμε Create profile και δίνουμε ένα όνομα.

Για παράδειγμα:

WIN - Updates - Test

Στις ρυθμίσεις θα συναντήσουμε μερικές επιλογές που αξίζει να κατανοήσουμε.

QUALITY UPDATE DEFERRAL

Το deferral καθορίζει πόσες ημέρες μετά τη δημοσίευση μιας ενημέρωσης θα περιμένει η συσκευή πριν της προσφερθεί.

Για παράδειγμα:

Test: 0 ημέρες.
Pilot: 1 ημέρα.
Production: 2 ημέρες.

Αν η Microsoft δημοσιεύσει ένα update την Τρίτη, το Test ring μπορεί να το λάβει άμεσα, το Pilot μετά από μία ημέρα και το Production μετά από δύο.

Αυτές είναι ενδεικτικές ρυθμίσεις για το παράδειγμά μας, όχι καθολική σύσταση για κάθε οργανισμό.

Στην πράξη πρέπει να λαμβάνουμε υπόψη το επίπεδο κινδύνου και πόσο γρήγορα θέλουμε να κλείνουμε vulnerabilities.

DEADLINE

Εδώ πολλοί μπερδεύονται.

Το deferral καθορίζει πότε μπορεί να προσφερθεί η ενημέρωση.

Το deadline βοηθά να επιβληθεί η ολοκλήρωσή της μέσα σε συγκεκριμένο χρονικό διάστημα.

Ας υποθέσουμε ότι έχουμε:

Quality update deferral: 2 ημέρες.
Quality update deadline: 2 ημέρες.

Η συσκευή περιμένει αρχικά να ολοκληρωθεί το deferral και στη συνέχεια ισχύει ο μηχανισμός του deadline.

Δεν σημαίνει ότι το update θα εγκατασταθεί ακριβώς τέσσερις ημέρες μετά τη δημοσίευσή του. Ο πραγματικός χρόνος εξαρτάται από την ανακάλυψη της ενημέρωσης από τη συσκευή, τη συνδεσιμότητα και άλλους παράγοντες.

GRACE PERIOD

Τι γίνεται αν η ενημέρωση εγκαταστάθηκε, αλλά απαιτεί restart;

Το grace period παρέχει ένα ελάχιστο χρονικό περιθώριο από τη στιγμή που απαιτείται επανεκκίνηση, ώστε να αποφευχθεί ένας άμεσος αναγκαστικός τερματισμός.

Το deadline και το grace period συνεργάζονται για να καθορίσουν πότε θα επιβληθεί τελικά το restart.

Αυτό είναι ιδιαίτερα χρήσιμο όταν ένας χρήστης επιστρέφει από άδεια και ο υπολογιστής του έχει μείνει κλειστός αρκετές ημέρες.

3. ΤΙ ΘΑ ΡΥΘΜΙΖΑ ΣΤΟ ΠΑΡΑΔΕΙΓΜΑ ΜΑΣ;

Για τους 100 υπολογιστές, θα ξεκινούσα δοκιμαστικά με την παρακάτω στρατηγική για τα Quality Updates:

Ρύθμιση	Test	Pilot	Production
Quality deferral	0	1	2
Quality deadline	2	2	2
Grace period	1	1	2
Auto restart before deadline	Yes	Yes	Yes

Οι παραπάνω τιμές είναι ένα παράδειγμα σχεδιασμού για την κατανόηση των ρυθμίσεων και χρειάζονται προσαρμογή και έλεγχο πριν χρησιμοποιηθούν σε production.

Προσωπικά, δεν θα καθυστερούσα τις ενημερώσεις ασφαλείας για εβδομάδες μόνο και μόνο για να έχω περισσότερο χρόνο δοκιμών.

Όσο περισσότερο καθυστερούμε τα security updates, τόσο περισσότερο παραμένουν οι συσκευές εκτεθειμένες σε γνωστά vulnerabilities.

4. ΚΑΙ ΤΙ ΚΑΝΟΥΜΕ ΜΕ ΤΑ FEATURE UPDATES;

Εδώ θα χρησιμοποιούσα ξεχωριστή πολιτική.

Το Intune διαθέτει Feature Update Policies, με τις οποίες μπορούμε να επιλέξουμε την έκδοση Windows που θέλουμε να χρησιμοποιούν οι συσκευές.

Για παράδειγμα, αν έχουμε ολοκληρώσει τις δοκιμές μας για μια συγκεκριμένη έκδοση Windows 11, μπορούμε να στοχεύσουμε αυτή την έκδοση.

Έτσι διαχωρίζουμε δύο διαφορετικά πράγματα:

Update Ring: Ελέγχει κυρίως τη συμπεριφορά των Windows Updates, όπως deferrals, deadlines και restarts.

Feature Update Policy: Καθορίζει ποια έκδοση Windows θέλουμε να προσφέρεται στις συσκευές.

Μάλιστα, όταν χρησιμοποιούμε Feature Update Policies, πρέπει να είμαστε προσεκτικοί με τυχόν feature update deferrals στα Update Rings, επειδή μπορούν να δημιουργήσουν ανεπιθύμητες καθυστερήσεις.

5. ΤΙ ΕΙΝΑΙ ΤΟ WINDOWS AUTOPATCH;

Μέχρι τώρα δημιουργήσαμε μόνοι μας τα Update Rings και αποφασίσαμε πώς θα μοιράσουμε τις συσκευές.

Τι γίνεται όμως αν θέλουμε να αυτοματοποιήσουμε μεγαλύτερο μέρος αυτής της διαδικασίας;

Εδώ έρχεται το Windows Autopatch.

Το Windows Autopatch είναι μια υπηρεσία της Microsoft που βοηθά στη διαχείριση και στη σταδιακή διάθεση ενημερώσεων.

Ανάλογα με τις διαθέσιμες δυνατότητες και τις άδειές μας, μπορούμε να διαχειριστούμε Quality Updates, Feature Updates, Drivers και άλλα υποστηριζόμενα update scenarios.

Μια ιδιαίτερα χρήσιμη δυνατότητα είναι τα Autopatch Groups.

Αντί να δημιουργήσουμε χειροκίνητα κάθε Update Ring και να διαχειριζόμαστε τα αντίστοιχα assignments, μπορούμε να ορίσουμε ένα Autopatch Group με διαφορετικά deployment rings.

Το Windows Autopatch μπορεί να δημιουργήσει και να διαχειριστεί τις αντίστοιχες πολιτικές.

Αυτό μειώνει τη χειροκίνητη εργασία και μας προσφέρει μια πιο οργανωμένη προσέγγιση στο update management.

6. UPDATE RINGS VS AUTOPATCH: ΠΟΙΑ ΕΙΝΑΙ Η ΔΙΑΦΟΡΑ;

Εδώ υπάρχει μια σημαντική λεπτομέρεια.

Τα Update Rings και το Autopatch δεν είναι δύο εντελώς ανεξάρτητες τεχνολογίες.

Το Windows Autopatch χρησιμοποιεί και διαχειρίζεται Update Ring policies ως μέρος του deployment.

Η πραγματική διαφορά βρίσκεται στο πόσο χειροκίνητα ή αυτοματοποιημένα οργανώνουμε τις ενημερώσεις μας.

	Χειροκίνητα Update Rings	Autopatch Groups
Δημιουργία rings	Από τον administrator	Μέσω Autopatch Group
Assignment ομάδων	Χειροκίνητα	Αυτοματοποιημένη κατανομή με δυνατότητα ελέγχου
Deferrals / deadlines	Τα ρυθμίζουμε εμείς	Μπορούν να οριστούν μέσω Autopatch
Update reporting	Διαθέσιμο μέσω Intune	Επιπλέον Autopatch reporting
Διαχείριση	Περισσότερη χειροκίνητη εργασία	Περισσότερος αυτοματισμός

Αυτό δεν σημαίνει ότι το Autopatch εγκαθιστά updates χωρίς καμία δική μας παρέμβαση ή ότι εξαφανίζει κάθε πρόβλημα.

Εξακολουθούμε να χρειαζόμαστε monitoring, σωστό σχεδιασμό και διαδικασίες αντιμετώπισης αποτυχημένων ενημερώσεων.

7. ΤΙ ΓΙΝΕΤΑΙ ΑΝ Η MICROSOFT ΒΓΑΛΕΙ ΕΝΑ ΠΡΟΒΛΗΜΑΤΙΚΟ UPDATE;

Ας υποθέσουμε ότι την Τρίτη κυκλοφορεί ένα Quality Update.

Το Test ring το λαμβάνει πρώτο.

Την επόμενη ημέρα διαπιστώνουμε ότι δημιουργεί πρόβλημα σε μια κρίσιμη εταιρική εφαρμογή.

Τι κάνουμε;

Αρχικά, επιβεβαιώνουμε ότι το πρόβλημα προκαλείται πράγματι από τη συγκεκριμένη ενημέρωση.

Στη συνέχεια μπορούμε να εξετάσουμε το ενδεχόμενο να κάνουμε Pause Quality Updates στα κατάλληλα Update Rings, ώστε να αποτρέψουμε την προσφορά νεότερων quality updates για ένα χρονικό διάστημα.

Προσοχή όμως!

Το Pause δεν σημαίνει ότι απεγκαθιστά μια ενημέρωση που έχει ήδη εγκατασταθεί.

Αν χρειάζεται rollback, πρέπει να εξετάσουμε τις υποστηριζόμενες δυνατότητες rollback ή uninstall και τις προϋποθέσεις τους.

Επίσης, το pause δεν αποτελεί μόνιμη λύση. Καθυστερώντας ενημερώσεις μπορεί να αφήσουμε τις συσκευές χωρίς σημαντικά security fixes.

Γι’ αυτό χρειάζεται να παρακολουθούμε την εξέλιξη του προβλήματος και να συνεχίσουμε το deployment μόλις υπάρχει ασφαλής λύση.

8. ΠΩΣ ΒΛΕΠΟΥΜΕ ΑΝ ΟΙ ΣΥΣΚΕΥΕΣ ΕΙΝΑΙ ΕΝΗΜΕΡΩΜΕΝΕΣ;

Δεν αρκεί να δημιουργήσουμε τις πολιτικές μας.

Πρέπει να παρακολουθούμε τα αποτελέσματα.

Το Intune και το Windows Autopatch παρέχουν reports για την κατάσταση των ενημερώσεων.

Ανάλογα με την πολιτική και το report, μπορούμε να εξετάσουμε:

Ποιες συσκευές έχουν εγκαταστήσει την ενημέρωση.
Ποιες εμφανίζουν αποτυχίες.
Ποιες έχουν εκκρεμή επανεκκίνηση.
Ποιες δεν πληρούν τις προϋποθέσεις.
Ποιες έχουν μείνει πίσω σε εκδόσεις Windows.

Για παράδειγμα, αν 95 από τους 100 υπολογιστές έχουν ενημερωθεί, δεν σημαίνει ότι τελειώσαμε.

Πρέπει να βρούμε τι συμβαίνει με τους υπόλοιπους πέντε.

Μπορεί να είναι συσκευές που δεν έχουν συνδεθεί για αρκετές ημέρες, προβλήματα compatibility ή αποτυχίες εγκατάστασης.

Και αυτό μας οδηγεί πάλι στο troubleshooting!

9. ΤΙ ΘΑ ΕΠΕΛΕΓΑ ΕΓΩ;

Αν διαχειριζόμουν ένα μικρό περιβάλλον με λίγες δεκάδες υπολογιστές και απλές απαιτήσεις, τα χειροκίνητα Update Rings θα μπορούσαν να είναι μια απολύτως λογική λύση.

Αν όμως είχα εκατοντάδες συσκευές, διαφορετικές ομάδες χρηστών και ανάγκη για σταδιακά deployments, θα εξέταζα σοβαρά το Windows Autopatch.

Όχι επειδή δεν μπορούμε να πετύχουμε κάτι αντίστοιχο χειροκίνητα.

Αλλά επειδή η αυτοματοποίηση μπορεί να μειώσει τον χρόνο που αφιερώνουμε στη συντήρηση των πολιτικών και στην κατανομή των συσκευών.

Θα απέφευγα όμως να εφαρμόζω ταυτόχρονα ανεξάρτητα, αλληλοεπικαλυπτόμενα Update Rings στις ίδιες συσκευές που διαχειρίζεται το Autopatch.

Θέλουμε μια σαφή και συνεπή στρατηγική update management.

ΤΕΛΙΚΑ, ΤΙ ΚΡΑΤΑΜΕ;

Το σημαντικότερο δεν είναι αν χρησιμοποιούμε χειροκίνητα Update Rings ή Autopatch.

Είναι να έχουμε μια στρατηγική που εξασφαλίζει ότι:

Οι ενημερώσεις εγκαθίστανται έγκαιρα.
Τα προβλήματα εντοπίζονται όσο το δυνατόν νωρίτερα.
Οι χρήστες δεν διακόπτονται αδικαιολόγητα.
Οι συσκευές δεν παραμένουν εκτεθειμένες σε γνωστά vulnerabilities.
Γνωρίζουμε ανά πάσα στιγμή ποιες συσκευές είναι ενημερωμένες και ποιες όχι.

Γιατί το να έχουμε 100 υπολογιστές στο Intune είναι εύκολο.

Το να γνωρίζουμε ότι και οι 100 ενημερώνονται σωστά και με ασφάλεια είναι το πραγματικό ζητούμενο.