NinjaOne Patching: Windows OS Patch Management

NinjaOne bietet zwei Modi für die Windows-Patch-Verwaltung:

• NinjaOne verwaltet Betriebssystem-Patches: NinjaOne verwaltet vollständig die Zeitpläne für Patch-Scans und -Updates, den Genehmigungsstatus von Patch-Kategorien sowie Patch-Überschreibungen. Wir empfehlen diesen Modus, um die Einhaltung der Patch-Vorgaben auf allen Geräten in der Richtlinie durchzusetzen.
• Windows-Update-Einstellungen über NinjaOne konfigurieren: Legen Sie fest, dass NinjaOne die Windows-Update-Einstellungen über Registrierungseinstellungen an die Geräte überträgt. Wenn Sie diese Einstellung auswählen, ersetzt NinjaOne die anderen sichtbaren Konfigurationsoptionen für Betriebssystem-Patches durch die folgenden Windows-Update-Optionen:
  • Empfohlene Updates herunterladen, dem Benutzer jedoch die Wahl lassen, wann sie installiert werden sollen
  • Empfohlene Updates herunterladen und nach einem Zeitplan installieren
  • Benutzer über empfohlene Updates benachrichtigen, diese jedoch nicht herunterladen
  • Windows-Updates deaktivieren

Wenn Sie Ihre Richtlinie auf „Windows-Update-Einstellungen über NinjaOne konfigurieren“ einstellen, kann NinjaOne keine Patch-Updates auf dem Gerät installieren.

Diese Parametersätze legen fest, wann das Gerät nach verfügbaren neuen Patches sucht und wann es diese Updates anwendet.

• Zeitplan: Verwenden Sie das Dropdown-Menü, um die Scan- oder Update-Häufigkeit auszuwählen. Wählen Sie je nach ausgewähltem Intervall die Tage, Wochen oder Monate aus, an denen NinjaOne die Aktion ausführt. NinjaOne patcht Geräte nur an den ausgewählten Tagen. Wenn Sie keine Tage auswählen, zeigt NinjaOne eine Fehlermeldung an.
• Uhrzeit und Zeitzone: Wählen Sie die Tageszeit und die entsprechende Zeitzone für die Durchführung der Aktion aus. Standardmäßig beginnen die Scans um 8:00 Uhr Ortszeit des Geräts und die Updates um 17:00 Uhr Ortszeit des Geräts. Diese Standardeinstellungen gelten nur für neue Richtlinien.
• Staffelung: Legen Sie ein Staffelungsintervall fest, um die Installationszeiten der Patches auf Ihre Geräte zu verteilen und gleichzeitige Updates zu vermeiden. Weitere Informationen finden Sie unter „NinjaOne-Patch-Management: Lastenausgleich bei Patch-Installationen mit der Staffelungsfunktion“.
• Dauer: Geben Sie an, wie lange die Scan- oder Update-Aktionen laufen sollen, bevor NinjaOne sie beendet.
• Scan sofort ausführen, falls versäumt: Wählen Sie diese Option, um einen Scan oder ein Update sofort auszuführen, wenn das Gerät eine geplante Aktion versäumt hat.
• Updates vor dem geplanten Start vorbereiten: Aktivieren Sie dieses Kontrollkästchen, damit NinjaOne Updates bereits vor dem geplanten Update-Zeitpunkt vorbereitet und bereitstellt. Treiber-Updates unterstützen die Vorbereitungsfunktion nicht.
• System automatisch aktivieren: Diese Option schaltet das Gerät für Scan- und Update-Zyklen ein. Bei Aktivierung legt eine Windows-API-Funktion eine Aktivierungszeit für Geräte im Ruhezustand fest. Damit diese Funktion funktioniert, müssen auf dem Gerät die Aktivierungstimer aktiviert sein.
• Bei getakteten Verbindungen überspringen: Wenn diese Option aktiviert ist, zeigt NinjaOne im Aktivitäts-Feed eine Fehlermeldung an, wenn ein Update-Zyklus auf einem Gerät versucht wird, das eine getaktete Verbindung nutzt.
• Wartungsmodus: Benachrichtigungen unterdrücken: Wählen Sie diese Option aus, um zu verhindern, dass NinjaOne Warnmeldungen sendet, die durch während des Updates auftretende Aktionen (wie z. B. Geräte-Neustarts) ausgelöst werden. Sie können diese Einstellung verfeinern, indem Sie die Kontrollkästchen „Warnmeldungen zu Bedingungen unterdrücken“ und „Benachrichtigungskanäle unterdrücken“ aktivieren. Weitere Informationen finden Sie unter „NinjaOne-Plattform: Wartungsmodus “.

Mit dieser Einstellung können Sie Automatisierungen hinzufügen, die vor (vor) oder nach (nach) der Patch-Installation ausgeführt werden.

• Verwenden Sie Skripte vor der Patch-Installation, um Voraussetzungen zu überprüfen oder das Gerät vor Beginn der Patch-Installation vorzubereiten.
• Verwenden Sie Skripte nach der Patch-Installation, um anschließend Bereinigungs- oder Überprüfungsaufgaben durchzuführen.

Klicken Sie auf „Hinzufügen“, um Automatisierungen aus der Automatisierungsbibliothek auszuwählen. Weitere Informationen finden Sie unter „NinjaOne-Richtlinien: Geplante Automatisierungen “.

Wählen Sie „Patch-Update abbrechen“, wenn das Vorskript eine Fehlermeldung zurückgibt, um den Patch-Auftrag automatisch abzubrechen, falls das Vorskript fehlschlägt.

Legen Sie fest, wie NinjaOne Benutzer benachrichtigt, wenn Software aktualisiert werden muss, die nicht im Hintergrund gepatcht werden kann. Die aktuelle Einstellung wird in diesem Abschnitt als Link angezeigt. Klicken Sie auf den Link, um die folgenden zusätzlichen Optionen anzuzeigen:

• Benutzer benachrichtigen, dann die Software schließen und aktualisieren
• Software automatisch schließen und aktualisieren
• Geöffnete Software nicht schließen

Mit diesen Einstellungen können Sie das Neustartverhalten und die Aufforderung für Benutzer festlegen, die auf einem neu gepatchten Gerät angemeldet sind:

• Aufforderung zum Neustart, bis dieser akzeptiert wird: NinjaOne zeigt eine Bildschirmmeldung an, in der der Benutzer aufgefordert wird, einen Neustart durchzuführen und das Update abzuschließen. 
  • Verwenden Sie die Planungsoptionen, um die Häufigkeit der Aufforderungen festzulegen. 
  • Aktivieren Sie das Kontrollkästchen „Neustart erzwingen nach“, um die Anzahl der Aufforderungen festzulegen, bevor NinjaOne das Gerät automatisch neu startet. NinjaOne zeigt in diesem Abschnitt den von Ihnen gewählten Zeitplan für die Aufforderungen an. 
  • Aktivieren Sie das Kontrollkästchen „Benutzerdefinierter Neustart-Dialog“ , um die Standardaufforderung durch Ihren eigenen Text zu ersetzen.
• Benutzer benachrichtigen, dann neu starten: Wählen Sie diese Option, um dem Benutzer eine Benachrichtigung zu senden, anschließend das Gerät automatisch neu zu starten und das Update abzuschließen. Weitere Informationen finden Sie unter „NinjaOne Endpoint Management: Benachrichtigungskanäle und Warnmeldungen “. Legen Sie mithilfe der Zeitplanoptionen fest, wie lange NinjaOne warten soll, bevor die Benachrichtigung gesendet und der Neustart ausgelöst wird.
• Automatisch neu starten: Diese Option weist NinjaOne an, das Gerät nach Abschluss der Update-Installation neu zu starten. Verwenden Sie die Zeitplanoptionen, um festzulegen, wie lange NinjaOne warten soll, bevor das Gerät neu gestartet wird.
• Keine Aktion: NinjaOne führt keine automatischen Neustartvorgänge auf dem Gerät durch.
• Zeitraum: Wenn Sie „Benutzer zum Neustart auffordern, bis der Neustart akzeptiert wird“ ausgewählt haben, legen Sie in diesen Feldern die Häufigkeit der Aufforderung (in Minuten) fest.
• Neustart erzwingen nach: Aktivieren Sie das Kontrollkästchen, um nach einer bestimmten Anzahl von Aufforderungen einen Neustart zu erzwingen. Wenn Sie beispielsweise die Anzahl der Aufforderungen auf drei festlegen, kann der Benutzer zweimal ablehnen. Bei der dritten Aufforderung zwingt NinjaOne den Benutzer zum Neustart.
• Benutzerdefinierter Neustart-Dialog: Aktivieren Sie dieses Kontrollkästchen, um der Neustart-Aufforderung einen benutzerdefinierten Text hinzuzufügen. Weitere Informationen finden Sie im Abschnitt „Erstellen einer benutzerdefinierten Neustart-Aufforderung“ dieses Artikels.

Wenn ein Endbenutzer auf eine Neustart-Aufforderung reagiert, zeigt NinjaOne eine Aktivität im Aktivitäts-Feed an. Weitere Informationen finden Sie unter Geräte- und Systemaktivitäten “.

Mit diesen Einstellungen können Sie das Neustart- und Aufforderungsverhalten für neu gepatchte Geräte festlegen, bei denen kein Benutzer angemeldet ist:

• Neustart so lange versuchen, bis er erfolgreich ist: NinjaOne versucht weiterhin, das Gerät neu zu starten, auch wenn die Neustarts fehlschlagen, bis die Aktion abgeschlossen ist. Verwenden Sie die Planungsoptionen, um die Häufigkeit der Neustartversuche festzulegen.
• Sofort neu starten: NinjaOne startet das Gerät neu, sobald das Update bereitsteht.
• Keine Aktion: NinjaOne unternimmt keine Schritte, um das Gerät neu zu starten.

Konfigurieren Sie die Genehmigungs-Einstellungen für produktspezifische, sicherheitsrelevante Schwachstellen.

Microsoft stuft Sicherheitslücken in seinen Sicherheitsbulletins als „kritisch“, „wichtig“, „mäßig“ oder „gering“ ein. Wir empfehlen, Korrekturen für „kritische“ und „wichtige“ Sicherheitslücken sofort anzuwenden. Bei „mäßigen“ Korrekturen raten wir dazu, vor der Installation den entsprechenden KB-Artikel zu lesen.

Klicken Sie auf „Bearbeiten“, um NinjaOne so einzustellen, dass Patches automatisch genehmigt, abgelehnt oder eine manuelle Genehmigung erforderlich ist.

Konfigurieren Sie die Genehmigungs-Einstellungen für Fehler, die nicht sicherheitsrelevant sind, gemäß der von Microsoft festgelegten Kategorie. Weitere Informationen finden Sie im Microsoft-Artikel zur Terminologie für Software-Updates(externer Link).

Klicken Sie auf „Bearbeiten“, um die folgenden Parameter festzulegen:

• Wichtige Patches/Updates: Legen Sie für jede Kategorie die Option „Genehmigen“, „Ablehnen“, „Manuell“ oder „Nach einer bestimmten Zeitspanne (in Tagen) genehmigen “ fest. Wir empfehlen, wichtige Updates auf „Genehmigen“ zu setzen, damit NinjaOne alle Patches automatisch anwenden kann.
• Optionale Patches/Updates: Legen Sie für jede Kategorie die Option „Genehmigen“, „Ablehnen“ oder „Manuell“ fest . Wir empfehlen, optionale Patches und Updates auf „Ablehnen“ zu setzen. Viele optionale Patches erfordern eine Benutzeraktion, was dazu führt, dass die Installation fehlschlägt, wenn sie über die Web-Patch-Verwaltung ausgeführt wird. Diese Patches sind weiterhin auf bestimmten Rechnern verfügbar, falls Sie sie anwenden möchten.

Aktivieren Sie erweiterte Genehmigungen für Gerätetreiber und Windows-Funktionsupdates und legen Sie deren Genehmigungsstatus fest. Klicken Sie in diesem Abschnitt auf „Bearbeiten“, um erweiterte Genehmigungen zu aktivieren oder zu deaktivieren.

• Treiber aktivieren: Legen Sie eine Standardaktion für vom Hersteller genehmigte Updates für installierte Gerätetreiber fest.
• Funktionsupgrades aktivieren: Funktionsupdates beziehen sich auf wesentliche Ergänzungen und Änderungen, zu denen auch vollständige Windows-Versionsupgrades gehören können.

Wir empfehlen die folgenden Einstellungen, sofern Ihr Anwendungsfall keine andere Konfiguration erfordert:

• Wichtige Patches: Stellen Sie die Option auf „Genehmigen“ ein, damit NinjaOne alle Patches automatisch anwendet.
• Optionale Patches: Stellen Sie die Option auf „Ablehnen“ ein. Viele optionale Patches erfordern eine Benutzerbestätigung, was dazu führt, dass die Installation fehlschlägt, wenn sie über die automatisierte Patch-Verwaltung erfolgt.

Als alternative Methode zur Bereitstellung von Funktionsupdates können Sie das folgende benutzerdefinierte Skript installieren: Benutzerdefiniertes Skript: Windows 10-Build aktualisieren.

Konfigurieren Sie NinjaOne so, dass Ihre Patching-Richtlinie für bestimmte Patches außer Kraft gesetzt wird. Klicken Sie auf „Hinzufügen“, um das Fenster „Genehmigungsausnahmen bearbeiten“ zu öffnen, und suchen Sie dann nach dem Namen des Patches. Wählen Sie im zweiten Dropdown-Menü aus, ob der Patch genehmigt oder abgelehnt werden soll.

Beispiele für Szenarien, in denen Patches im Abschnitt „Überschreibungen“ erscheinen würden:

• Wenn die Kategoriegenehmigung auf „Manuell“ eingestellt ist und Sie den Patch für die Richtlinie anschließend genehmigen oder ablehnen.
• Wenn die Kategoriegenehmigung auf „Genehmigen“ eingestellt ist und Sie den Patch anschließend manuell für die Richtlinie ablehnen.
• Wenn die Kategoriegenehmigung auf „Ablehnen“ eingestellt ist und Sie den Patch anschließend manuell für die Richtlinie genehmigen.

Patches mit Status, die Sie überschreiben möchten, werden im Abschnitt „Überschreibungen“ angezeigt. Klicken Sie im Feld „Überschreibungen“ auf „Hinzufügen“, um Überschreibungen nach Bedarf hinzuzufügen oder zu entfernen.

Seien Sie vorsichtig, wenn Sie die Seite „Überschreibungen“ der Patch-Richtlinie mit aktivierten Filtern anzeigen. Wenn Sie einen Filter verwenden und anschließend auf die Schaltfläche „Alle löschen“ klicken, werden durch diese Aktion alle Überschreibungen (sowohl abgelehnte als auch genehmigte) gelöscht, nicht nur die gefilterten.