Puntos clave
- Define una línea base de parches: establece las KB o los CVE obligatorios para medir el cumplimiento de parches de forma coherente en todos los endpoints.
- Detecta el patch drift con PowerShell: compara las actualizaciones instaladas con tu línea base y exporta informes con los parches que faltan.
- Verifica con varios métodos: usa CMD, los registros CBS o DISM cuando los resultados de PowerShell sean incompletos o estén restringidos.
- Guarda los metadatos de parches para darles visibilidad en el RMM: escribe «MissingKBs» y las marcas de tiempo en el registro para que herramientas como NinjaOne supervisen el cumplimiento de forma centralizada.
- Automatiza el seguimiento de las desviaciones: programa auditorías periódicas o aprovecha la supervisión automatizada de parches de NinjaOne para un cumplimiento continuo.
- Prioriza con la lógica de reemplazo y el CVSS: ten en cuenta las actualizaciones reemplazadas y centra la remediación en las vulnerabilidades más graves para reducir el riesgo.
El patch drift (o desviación de parches) es la pérdida progresiva de cumplimiento de un endpoint frente a las políticas de seguridad: los parches que se pasan por alto, las implementaciones fallidas y la falta de control centralizado van deteriorando poco a poco tu postura de seguridad. La buena noticia es que puedes reducir ese riesgo si mides la desviación con las funciones nativas del sistema y con las mejores herramientas RMM del mercado.
En este artículo te explicamos cómo realizar una auditoría de parches para obtener soluciones e informes de responsabilidad a escala de toda la empresa.
Cómo diagnosticar la gravedad del patch drift
Sigue estos pasos para recopilar, analizar y supervisar el cumplimiento de parches a lo largo del tiempo con PowerShell.
📌 Requisitos previos:
- Privilegios de administrador
- Windows 10/11 o Server 2016+
- PowerShell 5.1 o posterior
- WSUS, Intune o Microsoft Update configurado
- Opcional: integración con NinjaOne RMM
- Opcional: lista del nivel de parches de referencia (números de KB, CVE o fechas de publicación)
- Política de parches basada en GPO para su aplicación
📌 Estrategias de implementación recomendadas:
| Haz clic para elegir un paso | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Paso 1: define una línea base de parches | ✓ | ✓ |
| Paso 2: consulta las actualizaciones instaladas con PowerShell | ✓ | ✓ |
| Paso 3: usa CMD para una verificación manual ligera | ✓ | |
| Paso 4: guarda los metadatos de patch drift en el registro para darles visibilidad en el RMM | ✓ | |
| Paso 5: sigue la evolución del cumplimiento de parches | ✓ |
🎥 Mira el resumen en vídeo de «Cómo medir el patch drift: informa de los dispositivos que se han saltado actualizaciones críticas».
Paso 1: define una línea base de parches (actualizaciones críticas que comprobar)
Empieza creando un script personalizado que represente el cumplimiento de parches.
📌 Casos de uso: establecer un estándar de cumplimiento.
- Pulsa Win + R, escribe powershell y pulsa Ctrl + Mayús + Intro.
- Crea o importa una lista de actualizaciones críticas de la Base de conocimientos (KB) que deben estar presentes en un sistema para considerarlo totalmente conforme.
Por ejemplo: $baselineKBs = @("KB5030211", "KB5029263", "KB5034122")
Una línea base puede definirse como 1) la lista de parches críticos que deben estar instalados (enfoque proactivo) o 2) la configuración de un endpoint de referencia o «imagen dorada» que sabemos que es correcta (enfoque reactivo).
- Exporta un archivo .txt con tus KB para dejar constancia.
Por ejemplo: $baselineKBs | Out-File "C:\Scripts\CriticalPatchBaseline.txt"
Paso 2: consulta las actualizaciones instaladas con PowerShell
Recupera las actualizaciones instaladas y compáralas con tus criterios de cumplimiento.
📌 Casos de uso: listar las actualizaciones correctas y compararlas con tu línea base.
- Pulsa Win + R, escribe powershell y pulsa Ctrl + Mayús + Intro.
- Para listar los parches instalados, ejecuta lo siguiente:
$installed = Get-HotFix | Select-Object -ExpandProperty HotFixID
- Para detectar el patch drift, ejecuta lo siguiente:
$missing = $baselineKBs | Where-Object { $installed -notcontains $_ }
if ($missing.Count -gt 0) {
$patchDriftReport = [PSCustomObject]@{
ComputerName = $env:COMPUTERNAME
MissingKBs = $missing -join ", "
Timestamp = (Get-Date).ToString("u")
}
}
- Para exportar un informe de patch drift, ejecuta lo siguiente:
$patchDriftReport | Export-Csv "C:\Reports\PatchDrift_$env:COMPUTERNAME.csv" -NoTypeInformation
Una vez generado el informe $missing, los profesionales de TI deben hacer una consulta adicional para asignar una puntuación de seguridad a cada KB ausente antes de priorizar la remediación.
💡 Consejo: consulta Sessions.xml en C:\Windows\Servicing\Sessions para incluir todos los tipos de actualización.
Las consultas de PowerShell sirven para listar los parches instalados, pero las plataformas RMM modernas como NinjaOne aportan una visión mucho más profunda y reúnen todos los detalles del patch drift en un único panel de control.
Paso 3: usa CMD para una verificación manual ligera
📌 Casos de uso: comprobar rápidamente endpoints con sistemas heredados cuando el acceso a PowerShell está restringido.
- Pulsa Win + R, escribe cmd y pulsa Ctrl + Mayús + Intro.
- Para listar las actualizaciones instaladas desde una shell ligera, ejecuta lo siguiente:
wmic qfe get HotFixID
💡 Nota: los comandos WMIC se están retirando progresivamente en favor de scripts de PowerShell más seguros.
Paso 4: guarda los metadatos de patch drift en el registro para darles visibilidad en el RMM
Aprovecha plataformas de gestión de endpoints como NinjaOne para extraer más información sobre el cumplimiento de tu línea base.
⚠️ Advertencia: editar el registro puede provocar problemas en el sistema. Crea una copia de seguridad antes de continuar.
📌 Casos de uso: crear metadatos en el registro para integrarlos con la monitorización y gestión remota (RMM).
- Pulsa Win + R, escribe powershell y pulsa Ctrl + Mayús + Intro.
- Para almacenar los metadatos de parches en el registro de un endpoint, ejecuta lo siguiente de forma secuencial:
New-Item -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "LastChecked" -Value (Get-Date).ToString("u")
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "MissingKBs" -Value ($missing -join "; ")
- Para verificar los valores añadidos, ejecuta lo siguiente en CMD:
reg query HKLM\SOFTWARE\Org\PatchDrift
Paso 5: sigue la evolución del cumplimiento de parches
Así puedes programar comprobaciones de patch drift sin intervención manual.
📌 Casos de uso: automatizar la detección de desviaciones y decidir dónde se guardan los informes.
- Pulsa Win + R, escribe powershell y pulsa Ctrl + Mayús + Intro.
- Usa NinjaOne o ejecuta manualmente los cmdlets del Programador de tareas para planificar las comprobaciones de patch drift (por ejemplo, a diario o cada semana):
schtasks /create /tn "PatchDriftAudit" /tr "powershell.exe -File C:\Scripts\PatchDriftAudit.ps1" /sc weekly /ru SYSTEM
- Para registrar los resultados en un archivo .csv almacenado, ejecuta lo siguiente:
$patchDriftReport | Export-Csv "\\server\compliancelogs\DriftLog.csv" -Append -NoTypeInformation
En lugar de programar tareas a mano con scripts, puedes incorporar a tu rutina las funciones de gestión unificada de endpoints (UEM) de NinjaOne para supervisar el cumplimiento de forma continua y avisar a los administradores en tiempo real.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlos |
| Lista de KB desactualizada | Patch drift sin detectar | Actualiza periódicamente las KB de la línea base a partir de fuentes fiables. |
| Registro del endpoint dañado | Datos incorrectos en las herramientas RMM | Restaura el registro y exporta archivos .reg de seguridad antes de aplicar cambios. |
| Fallo de la tarea programada | Brechas de cumplimiento por patch drift | Utiliza funciones de alertas en tiempo real para las ejecuciones fallidas. |
Consideraciones clave al medir el patch drift
Estos son los factores más importantes que debes tener presentes al controlar el patch drift en todo tu parque de dispositivos.
Actualizaciones reemplazadas
Cuando un parche antiguo se sustituye por otro nuevo, queda reemplazado. Al construir tu línea base de parches, incluye una lógica de reemplazo (supersedence) para evitar confusiones en el cumplimiento.
Priorización basada en CVSS
Proteger el sistema es fundamental, pero algunas aplicaciones tienen prioridad cuando sus proveedores acumulan un mal historial y publican actualizaciones con lentitud. La puntuación del Common Vulnerability Scoring System (CVSS) mide la gravedad de los posibles incidentes y orienta la priorización de los parches.
Parches de varios proveedores
La mayoría de las organizaciones utilizan varias aplicaciones de terceros para sus flujos de trabajo. Existen paneles unificados que permiten un control centralizado, pero también conviene preparar tus herramientas para aceptar datos de fuentes diversas.
Entornos híbridos
La convivencia de sistemas físicos y sistemas en el cloud complica la aplicación de parches. Gestiona y automatiza tu auditoría de parches con PowerShell apoyándote en soluciones rentables que te ahorran la mitad del trabajo.
Guía de inicio rápido
NinjaOne ofrece funciones completas de gestión de parches, con varias características que te ayudan a medir el patch drift y elaborar informes al respecto:
1. Panel de gestión de parches
Muestra los 10 dispositivos con:
- Más parches aprobados y pendientes
- Más parches fallidos
2. Seguimiento del patch drift
La información detallada de cada parche incluye:
- Nombre del parche
- Sistema operativo
- Número de KB
- Identificador CVE
- Puntuación CVSS
- Estado de la instalación
3. Opciones de filtrado
Filtra los datos de parches por:
- Tipo de SO (Windows, Linux, Mac)
- Tipo de dispositivo (estación de trabajo, servidor)
- Categoría del parche
- Estado del dispositivo (conectado/desconectado)
4. Patch Intelligence
- Análisis del sentimiento sobre los parches con IA
- Evalúa los riesgos y los problemas conocidos de cada parche
- Actualiza el estado de aprobación de los parches cada seis horas
5. Informes detallados
- Controla los dispositivos que se han saltado actualizaciones críticas
- Consulta el cumplimiento de parches en todo tu entorno
- Identifica los dispositivos con parches pendientes o fallidos
Resolución de errores en la auditoría de parches
Así se solucionan los problemas más habituales que encuentran hoy los profesionales de TI al supervisar el patch drift.
KB que aparecen como ausentes aunque están instaladas
A veces, una actualización instalada no se refleja en los scripts de Get-Hotfix. Ocurre cuando la instalación no quedó registrada por WMI o cuando faltan determinadas entradas del registro.
Cubre ese hueco revisando los registros CBS y los datos del registro ubicados en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages para encontrar información de parches que se te haya podido escapar.
Acceso denegado
Los scripts de PowerShell que trabajan con HKLM necesitan permisos elevados. Si te aparece este error, revisa la configuración del UAC y comprueba de nuevo que cumples todos los requisitos previos.
HotFixID devuelve una lista incompleta
Los productos que no se instalaron mediante herramientas de terceros pueden no aparecer al ejecutar Get-Hotfix o wmic qfe. Para tener una visión global, ejecuta DISM /Online /Get-Packages o consulta los registros CBS.
Errores de escritura en el registro
Los problemas de permisos o las claves bloqueadas pueden generar errores al guardar metadatos en el registro. Para resolverlo, utiliza Test-Path y bloques Try/Catch en PowerShell y así podrás ver y analizar los registros de los fallos de escritura.
También puedes comprobar los permisos con Get-Acl y verificar la herencia de las claves del registro.
Cómo te ayuda NinjaOne a controlar el patch drift
NinjaOne mejora tu cumplimiento de parches con menos de una hora de configuración. Funciones nativas como los paneles centralizados y los informes automatizados te permiten optimizar los procedimientos y posicionarte por delante de la competencia. Así lo consigue:
| Aspecto | Método manual (PowerShell, CMD, GPO) | Con NinjaOne RMM |
| Tiempo de configuración | Hacen falta horas para escribir y probar los scripts de la línea base y programar las tareas a mano | Solo necesitas 15 minutos para configurar flujos de trabajo automatizados con la biblioteca de scripts integrada. |
| Mantenimiento de la línea base | Las hojas de cálculo con el listado de dispositivos exigen actualizaciones manuales constantes. | Las líneas base se actualizan automáticamente dentro de la plataforma. |
| Programación | Los técnicos deben configurar las políticas de GPO y el Programador de tareas. | Programación de parches automatizada e integrada. |
| Visibilidad de los datos | Se necesitan exportaciones CSV o ediciones del registro. | Centraliza todas las métricas de los endpoints en un único panel simplificado. |
| Detección de desviaciones | Solo se produce al ejecutar el script. | Los dispositivos se supervisan de forma continua mediante agentes ligeros. |
| Contexto de los parches | Seguir los detalles asociados a mano durante meses resulta muy laborioso. | Patch Intelligence señala por adelantado los parches problemáticos a partir de datos globales. |
| Capacidad de actuación | Las revisiones y los seguimientos manuales ralentizan los flujos de trabajo. | Alertas automatizadas e informes de cumplimiento listos para la revisión trimestral (QBR). |
Por qué NinjaOne es la alternativa más inteligente
Los informes de cumplimiento de parches dan a los clientes mucho más contexto sobre el estado de salud de su infraestructura. Por eso, plataformas RMM como NinjaOne ofrecen una visión de 360 grados de la postura de seguridad de todo tu parque y lo condensan todo en un solo panel.
Además, Patch Intelligence de NinjaOne aprovecha las valoraciones y los problemas conocidos a escala mundial para señalar de forma proactiva los posibles riesgos de cumplimiento, lo que reduce la carga de recursos y mejora los flujos de trabajo.
Reduce las implementaciones fallidas con alertas en tiempo real
El patch drift es el enemigo silencioso de la salud del sistema, y adelantarse con medidas preventivas apoyadas en plataformas de primer nivel marca la diferencia. Prepara siempre copias de seguridad antes de modificar configuraciones de bajo nivel para gestionar el patch drift de forma segura y sostenible.
Temas relacionados:
