Patch drift meten: rapporteren welke devices in de loop van de tijd kritieke updates hebben gemist

Patch drift verwijst naar het feit dat een endpoint in de loop van de tijd niet meer voldoet aan het beveiligingsbeleid: gemiste patches, mislukte implementaties en een gebrek aan centrale controle tasten uw beveiligingsbeleid geleidelijk aan. U kunt dat risico beperken door drift te volgen met ingebouwde functies en de beste RMM-tools die er zijn.

In dit artikel leest u hoe u een patch-audit uitvoert voor oplossingen en verantwoordingsrapportages binnen de hele organisatie.

Zo bepaalt u de ernst van patch drift

Volg de onderstaande stappen om patch compliance met PowerShell te verzamelen, te analyseren en in de loop van de tijd te monitoren.

📌 Vereisten:

• Beheerdersrechten
• Windows 10/11 of Server 2016+
• PowerShell 5.1+ of hoger
• WSUS, Intune of Microsoft Update geconfigureerd
• Optioneel: NinjaOne RMM-integratie
• Optioneel: lijst met het baseline-patchniveau (KB-nummers, CVE’s of releasedatums)
• Op GPO gebaseerd patchbeleid voor handhaving

📌 Aanbevolen implementatiestrategieën:

🎥 Bekijk de video-samenvatting van “Patch drift meten: rapporteren welke devices in de loop van de tijd kritieke updates hebben gemist”.

Stap 1: definieer een patch-baseline (kritieke updates om te controleren)

Begin met het maken van een eigen script dat patch compliance weergeeft.

📌 Gebruikssituaties: een compliance-standaard vastleggen.

1. Druk op Win + R, typ powershell en druk op Ctrl + Shift + Enter.
2. Stel een lijst samen of importeer een lijst met kritieke Knowledge base-updates (KB) die op een systeem aanwezig moeten zijn voor volledige compliance.

Bijv. $baselineKBs = @("KB5030211", "KB5029263", "KB5034122")

Een baseline kan worden gedefinieerd als 1) de lijst met kritieke patches die geïnstalleerd moeten zijn (proactief) of 2) de configuratie van een bekend goed endpoint, een “golden image” (reactief).

3. Exporteer een .txt-bestand met uw KB’s voor later gebruik.

Bijv. $baselineKBs | Out-File "C:\Scripts\CriticalPatchBaseline.txt"

Stap 2: vraag geïnstalleerde updates op met PowerShell

Haal geïnstalleerde updates op en vergelijk ze met uw compliance-criteria.

📌 Gebruikssituaties: geslaagde updates weergeven en vergelijken met uw baseline.

1. Druk op Win + R, typ powershell en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit om geïnstalleerde patches weer te geven:

$installed = Get-HotFix | Select-Object -ExpandProperty HotFixID

3. Voer het volgende uit om patch drift te detecteren:

$missing = $baselineKBs | Where-Object { $installed -notcontains $_ }

if ($missing.Count -gt 0) {

$patchDriftReport = [PSCustomObject]@{

ComputerName = $env:COMPUTERNAME

MissingKBs = $missing -join ", "

Timestamp = (Get-Date).ToString("u")

}

}

4. Voer het volgende uit om een rapport over patch drift te exporteren:

$patchDriftReport | Export-Csv "C:\Reports\PatchDrift_$env:COMPUTERNAME.csv" -NoTypeInformation

Na het genereren van het $missing-rapport moeten IT-professionals een opzoekstap uitvoeren om elke ontbrekende KB een beveiligingsscore te geven voordat ze de remediatie prioriteren.

💡 Tip: vraag Sessions.xml op in C:\Windows\Servicing\Sessions om alle updatetypen mee te nemen.

PowerShell-query’s kunnen geïnstalleerde patches weergeven, maar moderne RMM-platforms zoals NinjaOne bieden diepere inzichten en bundelen alle details over patch drift in één dashboard.

Stap 3: gebruik CMD voor een lichte handmatige controle

📌 Gebruikssituaties: snel endpoints met verouderde systemen controleren wanneer toegang tot PowerShell beperkt is.

1. Druk op Win + R, typ cmd en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit om geïnstalleerde updates weer te geven in een lichte shell:

wmic qfe get HotFixID

💡 Opmerking: WMIC-commando’s worden uitgefaseerd ten gunste van veiligere PowerShell-scripts.

Stap 4: sla metadata over patch drift op in het register voor zicht vanuit RMM

Benut platforms voor Endpoint management zoals NinjaOne om meer inzicht te krijgen in de naleving van uw baseline.

⚠️ Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.

📌 Gebruikssituaties: op het register gebaseerde metadata maken voor integratie met Monitoring en beheer op afstand (RMM).

1. Druk op Win + R, typ powershell en druk op Ctrl + Shift + Enter.
2. Voer het volgende achtereenvolgens uit om patch-metadata op te slaan in het register van een endpoint:

New-Item -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "LastChecked" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "MissingKBs" -Value ($missing -join "; ")

3. Voer het volgende uit met CMD om de toegevoegde waarden te controleren:

reg query HKLM\SOFTWARE\Org\PatchDrift

Stap 5: volg trends in patch compliance door de tijd heen

Zo plant u controles op patch drift die vanzelf verlopen.

📌 Gebruikssituaties: driftdetectie automatiseren en bepalen waar rapporten worden opgeslagen.

1. Druk op Win + R, typ powershell en druk op Ctrl + Shift + Enter.
2. Gebruik NinjaOne of voer handmatig cmdlets van Taakplanner uit om controles op patch drift in te plannen (bijv. dagelijks, wekelijks):

schtasks /create /tn "PatchDriftAudit" /tr "powershell.exe -File C:\Scripts\PatchDriftAudit.ps1" /sc weekly /ru SYSTEM

3. Voer het volgende uit om uw resultaten in een opgeslagen .csv-bestand te loggen:

$patchDriftReport | Export-Csv "\\server\compliancelogs\DriftLog.csv" -Append -NoTypeInformation

In plaats van geplande taken met de hand te scripten kunt u de unified endpoint management (UEM)-functies van NinjaOne in uw routine opnemen om compliance continu te monitoren en systeembeheerders in realtime te waarschuwen.

⚠️ Waar u op moet letten

Belangrijke aandachtspunten bij het meten van patch drift

Dit zijn de belangrijkste factoren om in gedachten te houden terwijl u patch drift in uw hele machinepark volgt.

Vervangen updates

Wanneer oude patches worden vervangen door nieuwe, worden ze superseded. Bouw bij het opstellen van uw patch-baseline logica voor supersedence in om verwarring over compliance te voorkomen.

Prioritering op basis van CVSS

Het beschermen van uw systeem is essentieel, maar bepaalde applicaties hebben voorrang als hun leveranciers een slechte reputatie hebben en traag updates uitbrengen. Een score volgens het Common Vulnerability Scoring System – oftewel CVSS – geeft de ernst van mogelijke incidenten aan en stuurt de prioritering van patches.

Patches van meerdere leveranciers

De meeste organisaties gebruiken meerdere applicaties van derden om hun workflows te ondersteunen. Er bestaan gestroomlijnde dashboards voor centrale controle, maar u doet er goed aan uw tools zo te programmeren dat ze gegevens uit uiteenlopende bronnen accepteren.

Hybride omgevingen

Systemen die zowel fysiek als cloud-based naast elkaar bestaan, maken het patchen van systemen complexer. Beheer en automatiseer uw PowerShell-patch-audit met kostenefficiënte oplossingen die het halve werk voor u doen.

Fouten in patch-audits oplossen

Zo lost u de meest voorkomende problemen op bij het monitoren van patch drift waar IT-professionals vandaag mee te maken krijgen.

Ontbrekende KB’s die wel geïnstalleerd zijn

Soms wordt een geïnstalleerde update niet weergegeven in Get-Hotfix-scripts. Dat gebeurt wanneer de installatie niet door WMI is bijgehouden of wanneer bepaalde registervermeldingen ontbreken.

Vul dat gat door CBS-logs en registergegevens onder HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages te controleren op patchgegevens die u mogelijk hebt gemist.

Toegang geweigerd

PowerShell-scripts die HKLM benaderen vereisen verhoogde rechten. Komt u deze fout tegen, controleer dan de UAC-instellingen en ga na of u aan alle juiste vereisten voldoet.

HotFixID geeft een onvolledige lijst

Producten die niet via tools van derden zijn geïnstalleerd, verschijnen mogelijk niet bij het uitvoeren van Get-Hotfix of wmic qfe. Voor een totaaloverzicht voert u DISM /Online /Get-Packages uit of raadpleegt u de CBS-logs.

Schrijffouten in het register

Rechtenproblemen of vergrendelde sleutels kunnen fouten veroorzaken bij het opslaan van metadata in het register. Gebruik hiervoor Test-Path en Try/Catch-blokken in PowerShell om logs van mislukte registerschrijfacties te bekijken en te analyseren.

U kunt ook de rechten controleren met Get-Acl en de overerving van registersleutels verifiëren.

Zo helpt NinjaOne bij het volgen van patch drift

NinjaOne verbetert uw patch compliance na minder dan een uur installeren. Met ingebouwde functies zoals centrale dashboards en geautomatiseerde rapportage optimaliseert u procedures en zet u zich af tegen de concurrentie. Zo werkt dat:

Waarom NinjaOne het slimmere alternatief is

Rapporten over patch compliance geven klanten meer inzicht in de gezondheid van hun infrastructuur. RMM-platforms zoals NinjaOne bieden daarmee een 360 graden-beeld van het beveiligingsbeleid van uw machinepark en brengen alles samen in één dashboard.

Patch Intelligence van NinjaOne benut bovendien wereldwijde feedback en bekende problemen om mogelijke compliance-risico’s proactief voor u te markeren. Dat ontlast uw resources en verbetert uw workflows.

Beperk mislukte implementaties met realtime notificaties

Patch drift is de stille sluipmoordenaar van de systeemgezondheid en vroegtijdig preventieve maatregelen nemen met platforms van topniveau maakt het verschil. Zorg altijd voor back-ups voordat u instellingen op laag niveau wijzigt, zodat u patch drift veilig en duurzaam beheert.

Gerelateerde onderwerpen:

• Een problematische patch verwijderen: een stapsgewijze handleiding
• Windows Update-logs lezen – een handleiding
• Third Party Patch Management-software
• Wat is een computerpatch?
• Wat is patch compliance?
• Patch-retrylogica automatiseren via PowerShell om handmatig ingrijpen te beperken (videohandleiding)