NinjaOne Patching: Windows OS Patch Management

NinjaOne bietet zwei Modi für die Windows-Patch-Verwaltung:

• NinjaOne verwaltet Betriebssystem-Patches: NinjaOne verwaltet vollständig die Zeitpläne für Patch-Scans und -Updates, den Genehmigungsstatus von Patch-Kategorien sowie Patch-Überschreibungen. Wir empfehlen diesen Modus, um die Einhaltung der Patch-Vorgaben auf allen Geräten in der Richtlinie durchzusetzen.
• Windows Update-Einstellungen über NinjaOne konfigurieren: Konfigurieren Sie NinjaOne so, dass Windows Update-Einstellungen über Registrierungseinstellungen an Geräte übertragen werden. Wenn Sie diese Einstellung auswählen, ersetzt NinjaOne die anderen sichtbaren Konfigurationsoptionen für Betriebssystem-Patches durch die folgenden Windows Update-Optionen:
  • Empfohlene Updates herunterladen, aber dem Benutzer die Wahl lassen, wann sie installiert werden
  • Empfohlene Updates herunterladen und nach einem Zeitplan installieren
  • Benutzer über empfohlene Updates benachrichtigen, aber nicht herunterladen
  • Windows-Updates deaktivieren

Wenn Sie Ihre Richtlinie auf „Windows Update-Einstellungen über NinjaOne konfigurieren“ setzen, kann NinjaOne keine Patch-Updates auf dem Gerät installieren. 

Diese Parametersätze legen fest, wann das Gerät nach verfügbaren neuen Patches sucht und wann diese Updates angewendet werden.

• Zeitplan: Wählen Sie über das Dropdown-Menü die Scan- oder Update-Häufigkeit aus.
• Tage: Wenn Ihr Scan- oder Update-Intervall länger als täglich ist, wählen Sie aus, an welchen Wochentagen das System die Aktion ausführen soll. NinjaOne patcht Geräte nur an den ausgewählten Tagen. Wenn Sie keine Tage auswählen, zeigt das System eine Fehlermeldung an.
• Uhrzeit und Zeitzone: Wählen Sie die Tageszeit und die entsprechende Zeitzone für die Ausführung der Aktion aus. Standardmäßig beginnen Scans um 8 Uhr morgens Ortszeit des Geräts und Updates um 17 Uhr Ortszeit des Geräts. Diese Standardeinstellungen gelten nur für neue Richtlinien.
• Staffelung: Legen Sie ein Staffelungsintervall fest, um die Patch-Installationszeiten auf Ihre Geräte zu verteilen und gleichzeitige Updates zu vermeiden. Weitere Informationen finden Sie unter NinjaOne Patch Management: Lastenausgleich bei Patch-Installationen mit der Staffelungsfunktion.
• Dauer: Geben Sie an, wie lange die Scan- oder Update-Aktionen laufen sollen, bevor NinjaOne sie beendet.
• Scan sofort ausführen, falls verpasst: Wählen Sie diese Option, um einen Scan oder ein Update sofort auszuführen, wenn das System eine geplante Aktion verpasst.
• System automatisch aktivieren: Diese Option schaltet das System für Scan- und Update-Zyklen ein. Bei Aktivierung legt eine Windows-API-Funktion eine Aktivierungszeit für Geräte im Ruhezustand fest. Damit diese Funktion funktioniert, müssen im System Aktivierungstimer aktiviert sein.
• Updates vor dem geplanten Start vorbereiten: Aktivieren Sie dieses Kontrollkästchen, damit das System Updates vor der geplanten Update-Zeit vorbereitet und bereitstellt. Treiber-Updates unterstützen die Vorbereitungsfunktion nicht.
• Bei getakteten Verbindungen überspringen: Wenn diese Option aktiviert ist, zeigt NinjaOne im Aktivitätsfeed eine Fehlermeldung an, wenn ein Update-Zyklus auf einem Gerät versucht wird, das eine getaktete Verbindung nutzt.
• Wartungsmodus: Benachrichtigungen unterdrücken: Aktivieren Sie diese Option, um zu verhindern, dass NinjaOne Warnmeldungen sendet, die durch während des Updates auftretende Aktionen (z. B. Geräte-Neustarts) verursacht werden. Sie können diese Einstellung verfeinern, indem Sie die Kontrollkästchen „Warnmeldungen zu Bedingungen unterdrücken“ und „Benachrichtigungskanäle unterdrücken“ aktivieren. Weitere Informationen finden Sie unter NinjaOne-Plattform: Wartungsmodus.

Mit dieser Einstellung können Sie Automatisierungen hinzufügen, die vor (vor) oder nach (nach) der Patch-Installation ausgeführt werden.

• Verwenden Sie Skripte vor dem Patchen, um Voraussetzungen zu überprüfen oder das System vorzubereiten, bevor das Patchen beginnt.
• Verwenden Sie Skripte nach dem Patchen, um anschließend Bereinigungs- oder Überprüfungsaufgaben durchzuführen.

Klicken Sie auf „Hinzufügen“, um Automatisierungen aus der Automatisierungsbibliothek auszuwählen. Weitere Informationen finden Sie unter NinjaOne-Richtlinien: Geplante Automatisierungen.

Wählen Sie „Patch-Update abbrechen“, wenn das Pre-Skript eine Fehlermeldung zurückgibt, um den Patch-Auftrag automatisch abzubrechen, falls das Pre-Skript fehlschlägt.

Legen Sie fest, wie NinjaOne Benutzer benachrichtigt, wenn Software aktualisiert werden muss, die nicht im Hintergrund gepatcht werden kann. Die aktuelle Einstellung wird in diesem Abschnitt als Link angezeigt. Klicken Sie auf den Link, um die folgenden zusätzlichen Optionen anzuzeigen:

• Benutzer benachrichtigen, dann die Software schließen und aktualisieren
• Software automatisch schließen und aktualisieren
• Geöffnete Software nicht schließen

Mit diesen Einstellungen können Sie das Neustartverhalten und die Aufforderung für Benutzer festlegen, die auf einem neu gepatchten Gerät angemeldet sind:

• Aufforderung zum Neustart, bis dieser akzeptiert wird: NinjaOne zeigt eine Bildschirmmeldung an, in der der Benutzer aufgefordert wird, einen Neustart durchzuführen und das Update abzuschließen.
  • Verwenden Sie die Planungsoptionen, um die Häufigkeit der Aufforderungen festzulegen.
  • Aktivieren Sie das Kontrollkästchen „Neustart erzwingen nach“, um die Anzahl der Aufforderungen festzulegen, bevor NinjaOne das Gerät automatisch neu startet.
  • Aktivieren Sie das Kontrollkästchen „Benutzerdefinierter Neustartdialog“ , um die Standardaufforderung durch Ihren eigenen Text zu ersetzen.
• Benutzer benachrichtigen, dann neu starten: Wählen Sie diese Option, um dem Benutzer eine Benachrichtigung zu senden, das Gerät anschließend automatisch neu zu starten und das Update abzuschließen. Weitere Informationen finden Sie unter NinjaOne Endpoint Management: Benachrichtigungskanäle und Warnmeldungen. Legen Sie mithilfe der Planungsoptionen fest, wie lange NinjaOne warten soll, bevor die Benachrichtigung gesendet und der Neustart ausgelöst wird.
• Automatisch neu starten: Diese Option weist NinjaOne an, das Gerät nach Abschluss der Update-Installation neu zu starten. Verwenden Sie die Planungsoptionen, um festzulegen, wie lange NinjaOne warten soll, bevor das Gerät neu gestartet wird.
• Keine Aktion: NinjaOne führt keine automatischen Neustartaktionen auf dem Gerät durch.
• Zeitraum: Wenn Sie „Benutzer zum Neustart auffordern, bis der Neustart akzeptiert wird“ ausgewählt haben, legen Sie in diesen Feldern die Häufigkeit der Aufforderungen fest. Aktivieren Sie das Kontrollkästchen, um nach einer bestimmten Anzahl von Aufforderungen einen Neustart zu erzwingen.
• Neustart-Dialog: Aktivieren Sie dieses Kontrollkästchen, um der Neustart-Aufforderung einen benutzerdefinierten Text hinzuzufügen.

Wenn ein Endbenutzer auf eine Neustartaufforderung reagiert, zeigt NinjaOne eine Aktivität im Aktivitätsfeed an. Weitere Informationen finden Sie unter Geräte- und Systemaktivitäten “.

Mit diesen Einstellungen können Sie das Neustart- und Aufforderungsverhalten für neu gepatchte Geräte ohne angemeldete Benutzer festlegen:

• Neustartversuche bis zum Erfolg: NinjaOne versucht weiterhin, das Gerätneu zu starten, auch wenn die Neustarts fehlschlagen, bis die Aktion abgeschlossen ist. Verwenden Sie die Planungsoptionen, um die Häufigkeit der Neustartversuche festzulegen.

• Sofort neu starten: NinjaOne startet das Gerät neu, sobald das Update bereit ist.

• Keine Aktion: NinjaOne unternimmt keine Schritte, um das Gerät neu zu starten.

Konfigurieren Sie die Genehmigungs-Einstellungen für produktspezifische, sicherheitsrelevante Schwachstellen.

Microsoft stuft Sicherheitslücken in seinem Sicherheitsbulletin als „Kritisch“, „Wichtig“, „Mäßig“ oder „Gering“ ein. Wir empfehlen, „Kritische“ und „Wichtige“ Korrekturen sofort anzuwenden. Bei „Mäßigen“ Korrekturen raten wir dazu, vor dem Patchen den entsprechenden KB-Artikel zu lesen.

Klicken Sie auf „Bearbeiten“, um NinjaOne so einzustellen, dass Patches automatisch genehmigt, abgelehnt oder manuell genehmigt werden müssen.

Konfigurieren Sie die Genehmigungs-Einstellungen für Fehler, die nicht sicherheitsrelevant sind, nach der von Microsoft festgelegten Kategorie. Weitere Informationen finden Sie im Artikel von Microsoft zur Terminologie von Software-Updates (externer Link).

Klicken Sie auf „Bearbeiten“, um die folgenden Parameter festzulegen:

• Wichtige Patches/Updates: Legen Sie für jede Kategorie fest, ob sie genehmigt, abgelehnt, manuell oder nach einer bestimmten Zeitspanne (in Tagen) genehmigt werden soll. Wir empfehlen, wichtige Updates auf „Genehmigen“ zu setzen, damit NinjaOne alle Patches automatisch anwendet.
• Optionale Patches/Updates: Legen Sie für jede Kategorie fest: „Genehmigen“, „Ablehnen“ oder „Manuell“. Wir empfehlen, optionale Patches und Updates auf „Ablehnen“ zu setzen. Viele optionale Patches erfordern eine Benutzereingabe, was dazu führt, dass die Installation fehlschlägt, wenn sie über die Web-Patch-Verwaltung ausgeführt wird. Diese Patches sind weiterhin auf bestimmten Rechnern verfügbar, falls Sie sie anwenden möchten.

Aktivieren Sie erweiterte Genehmigungen und legen Sie den Genehmigungsstatus für Gerätetreiber und Windows-Funktionsupdates fest. Klicken Sie in diesem Abschnitt auf „Bearbeiten“, um erweiterte Genehmigungen zu aktivieren oder zu deaktivieren.

• Treiber aktivieren: Legen Sie eine Standardaktion für vom Hersteller genehmigte Updates für installierte Gerätetreiber fest. 
• Funktionsupgrades aktivieren: Funktionsupdates beziehen sich auf wesentliche Ergänzungen und Änderungen, die vollständige Windows-Versionsupgrades umfassen können. 

Wir empfehlen die folgenden Einstellungen, sofern Ihr Anwendungsfall keine andere Konfiguration erfordert:

• Wichtige Patches: Setzen Sie die Option auf „Genehmigen“, damit NinjaOne alle Patches automatisch anwendet.
• Optionale Patches: Setzen Sie die Einstellung auf „Ablehnen“. Viele optionale Patches erfordern eine Benutzeraktion, was dazu führt, dass die Installation fehlschlägt, wenn sie über die automatisierte Patch-Verwaltung durchgeführt wird. 

Als alternative Methode zur Bereitstellung von Feature-Updates können Sie das folgende benutzerdefinierte Skript installieren: Benutzerdefiniertes Skript: Windows 10-Build aktualisieren.

Konfigurieren Sie NinjaOne so, dass Ihre Patch-Richtlinie für bestimmte Patches außer Kraft gesetzt wird. Klicken Sie auf „Hinzufügen“, um das Fenster „Genehmigungsüberschreibungen bearbeiten“ zu öffnen, und suchen Sie dann nach dem Namen des Patches. Wählen Sie im zweiten Dropdown-Menü aus, ob der Patch genehmigt oder abgelehnt werden soll.

Beispiele für Szenarien, in denen Patches im Abschnitt „Überschreibungen“ erscheinen würden:

• Wenn die Kategoriegenehmigung auf „Manuell“ gesetzt ist und Sie den Patch für die Richtlinie anschließend genehmigen oder ablehnen.
• Wenn die Kategoriegenehmigung auf „Genehmigen“ gesetzt ist und Sie den Patch für die Richtlinie anschließend manuell ablehnen.
• Wenn die Kategoriegenehmigung auf „Ablehnen“ gesetzt ist und Sie den Patch anschließend manuell für die Richtlinie genehmigen.

Patches mit Status, die Sie überschreiben möchten, werden im Abschnitt „Überschreibungen“ angezeigt. Klicken Sie im Feld „Überschreibungen“ auf „Hinzufügen“, um Überschreibungen nach Bedarf hinzuzufügen oder zu entfernen.

Seien Sie vorsichtig, wenn Sie die Seite „Überschreibungen“ der Patch-Richtlinie mit aktivierten Filtern anzeigen. Wenn Sie einen Filter verwenden und dann auf die Schaltfläche „Alle löschen“ klicken, werden durch diese Aktion alle Überschreibungen (sowohl abgelehnte als auch genehmigte) gelöscht, nicht nur die gefilterten.