Como montar um SOP de gerenciamento de patches para MSPs

Um procedimento operacional padrão bem definido para gerenciamento de patches é obrigatório em qualquer organização — e não, isso não é exagero nem frase de clickbait. Já tratamos do gerenciamento de patches a fundo em vários outros artigos (links no fim deste texto). Neste guia, o foco é montar um SOP de gerenciamento de patches para MSPs, especificamente em Windows, macOS e aplicativos de terceiros.

O objetivo aqui é ajudar a estabelecer um processo de patch repetível, escalável e seguro para os endpoints sob gerenciamento, com detalhes técnicos de implementação para automação, auditoria e conformidade.

Quer informações extras? Assista a “Como montar um SOP de gerenciamento de patches para MSPs” para ver a explicação completa.

📌 Estratégias de implantação recomendadas:

Clique para escolher um método	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Método 1: scripts manuais	✓
Método 2: Política de Grupo e Registro (só Windows)		✓
Método 3: plataformas de RMM, como NinjaOne	✓	✓

Uma observação sobre escolher o método e seguir as etapas do SOP

Antes de continuar, é importante entender a diferença entre métodos de implantação e etapas do SOP. Eles funcionam juntos, mas têm finalidades distintas.

As etapas são o que se faz no SOP. São ações universais, presentes em qualquer processo de gerenciamento de patches.

Os métodos são como o SOP é colocado em prática. São abordagens de implementação que dependem das ferramentas, do tamanho do ambiente e da configuração técnica. As estratégias de implantação abaixo mostram os métodos disponíveis para executar um SOP de gerenciamento de patches eficaz. Lembre-se: basta escolher um método (usar uma plataforma de RMM, por exemplo), conforme o que melhor se encaixa no seu ambiente.

Vale notar também que haverá alguma sobreposição entre etapas e métodos.

📌 Pré-requisitos:

• Os dispositivos precisam estar inscritos em uma plataforma de RMM, MDM ou de patch centralizado.
• Privilégios de administrador nos endpoints de destino.
• Acesso à internet para os serviços de atualização dos fornecedores (Microsoft, Apple, fornecedores de aplicativos de terceiros)
• PowerShell 5.1+ no Windows (veja Como verificar a versão do PowerShell)
• Acesso ao Terminal ou shell nos endpoints macOS
• Opcional: acesso a WSUS, JAMF, Munki ou a uma ferramenta multiplataforma como NinjaOne

Como criar um SOP de gerenciamento de patches: guia passo a passo

Etapa 1: inventário e classificação dos alvos de patch

Não dá para aplicar patch no que você nem sabe que existe. Nesta etapa, você vai descobrir todos os endpoints do ambiente e classificá-los por tipo de sistema operacional, versão e versão instalada.

A. Para dispositivos Windows

1. Abra o PowerShell e execute este comando:

Get-HotFix

Esse comando detalha todas as atualizações e patches (hotfixes) do Windows instalados no sistema do endpoint, incluindo HotFixID, descrição, data de instalação e quem instalou.

2. Abra o Prompt de Comando e execute este comando:

systeminfo | findstr /B /C:"OS Name" /C:"OS Version"

B. Para macOS

1. Abra o Terminal

2. Execute os seguintes comandos:

sw_vers – Mostra a versão atual do macOS e informações de build

softwareupdate –history – Mostra todas as atualizações de software instaladas pelo sistema de atualização da Apple

ls /Applications – Lista os aplicativos instalados

C. Para aplicativos de terceiros

1. No Windows:
Get-WmiObject -Class Win32_Product | Select-Object Name, Version

2. No macOS (execute no Terminal):
Use ls /Applications ou o Munki para inventariar

💡 Dica: marque os endpoints por grupo de patch ou criticidade para escalonar as atualizações com eficiência.

Etapa 2: defina categorias e frequência de patch

Agora é hora de classificar os patches e definir com que frequência cada tipo de atualização é aplicado.

Categoria	Frequência (recomendada)	Alvos
Atualizações críticas de segurança	Semanal	Todos os endpoints
Patches cumulativos do sistema operacional	Mensal	Dispositivos Windows e macOS
Atualizações de recursos	Trimestral	Conforme a necessidade ou com aprovação do cliente
Aplicativos de terceiros	Semanal	Exemplos: navegadores, Java, Zoom, Adobe

💡 Dica: use ferramentas como NinjaOne para garantir o cumprimento dos prazos de patch.

Etapa 3: dispare as atualizações do Windows

Disparar as atualizações do Windows é um jeito simples e eficaz de reduzir o erro humano, principalmente em frotas grandes. Listamos alguns métodos para testar e indicamos quais realmente automatizam o processo e quais apenas executam uma atualização do Windows uma única vez.

1. Pelo PowerShell – atualização única

1. Abra o PowerShell.
2. Execute estes comandos para baixar e instalar as atualizações do Windows automaticamente:

Install-Module PSWindowsUpdate

Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. Pelo caminho da Política de Grupo – automação completa

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Navegue até Configuração do Computador > Modelos Administrativos > Componentes do Windows > Windows Update.
3. Ative:
   • Configurar Atualizações Automáticas
   • Dia/hora de instalação agendada
   • Sem reinicialização automática com usuários conectados

💡 Observação: dependendo da versão do Windows, essas políticas podem aparecer em subpastas como Políticas Herdadas, Usuários Finais Gerenciados ou Atualizações Gerenciadas, dentro da pasta Windows Update.

3. Pelo Registro – automação completa

⚠️ Aviso: faça backup do Registro antes de prosseguir. Configurações incorretas podem deixar o sistema instável.

1. Pressione Win + R, digite regedit e pressione Enter.
2. Selecione: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Defina os valores assim:
   • AUOptions = 4 (download automático e instalação agendada)
   • ScheduledInstallDay = 2 (terça-feira)
   • ScheduledInstallTime = 3 (3h)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 Observação: ajuste os valores conforme a necessidade.

4. Pelo Prompt de Comando – execução única

1. Abra o Prompt de Comando como administrador.
2. Rode o seguinte comando do PowerShell direto no CMD:

powershell -Command "(New-Object -ComObject Microsoft.Update.AutoUpdate).DetectNow()"

Esse comando faz o Windows Update Agent procurar atualizações disponíveis. Lembre-se de que ele não as instala: para a instalação, use o PowerShell (etapa A) ou os métodos de automação das etapas B/C.

Observação: comandos antigos como wuauclt /detectnow e usoclient StartScan eram usados em versões anteriores do Windows, mas hoje estão obsoletos ou não são confiáveis no Windows 10/11. O CMD não oferece mais um método nativo para baixar e instalar atualizações diretamente do Windows Update.

⚠️ Pontos de atenção

• Reinicializações e impacto no usuário: mesmo com “Sem reinicialização automática com usuários conectados”, algumas atualizações ainda exigem reinicialização para concluir. Planeje as janelas de manutenção pensando nisso.
• Diferenças entre edições: alguns caminhos ou nomes de política variam conforme a edição/versão do Windows; confira as subpastas, como indicado.
• Ambientes gerenciados: se você usa WSUS/Intune, garanta que essas configurações estejam alinhadas às suas políticas de gerenciamento para evitar conflitos.

Etapa 4: aplique as atualizações do macOS

Esta etapa garante que os dispositivos Apple sejam atualizados de forma confiável e segura. Repare que ela não automatiza o processo: aplica as atualizações em uma execução única.

1. Execute estes comandos no Terminal para procurar atualizações, instalá-las e reiniciar o dispositivo depois:

softwareupdate --list

softwareupdate -i -a

sudo shutdown -r now

Etapa 5: aplique patches nos aplicativos de terceiros

Aplicativos como navegadores, Zoom e Java são superfícies de ataque enormes e precisam de patches frequentes.

1. No Windows (desinstalação/instalação via PowerShell ou com o Chocolatey)

1. Instale o Chocolatey.
2. Execute este comando:

Set-ExecutionPolicy Bypass -Scope Process -Force

iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))

choco upgrade all -y

2. No macOS (com o Homebrew)

1. Instale o Homebrew.
2. Execute este comando:

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

brew upgrade

💡 Observação: se quiser, monitore logs ou códigos de saída em busca de falhas e configure novas tentativas automáticas.

Etapa 6: fluxo de aprovação e teste de patches

Testes e implantação em fases são essenciais para garantir que todos os patches sejam estáveis.

• Defina um grupo de teste (5 a 10% da frota)
• Implante nos dispositivos de teste e documente os resultados
• Escalone em ondas de patch para a distribuição maior
  Acompanhe os KBs ou as versões dos aplicativos em cada onda
• Use NinjaOne ou SharePoint para acompanhar as exceções de patch

Etapa 7: estratégia de reversão

Às vezes, os patches dão errado. Quando isso acontece, é preciso desfazê-los rápido e com segurança, sem perder dados nem produtividade.

1. No Windows

1. Abra o Prompt de Comando como administrador.
2. Execute este comando:

wusa /uninstall /kb:XXXXXXX /quiet /norestart – Remove uma atualização específica do Windows

Checkpoint-Computer -Description "Pre-Patch Restore" -RestorePointType "MODIFY_SETTINGS" – Cria um ponto de restauração do sistema antes de alterar o sistema.

💡 Observação: lembre-se de substituir “XXXXXXX” pelo número KB real da atualização que deseja remover.

2. No macOS

• Use o Time Machine ou snapshots.
• Fazer um backup completo antes de grandes atualizações é altamente recomendável.

Etapa 8: relatórios, conformidade e alertas

Os alertas ajudam a identificar patches com falha logo no início, e os relatórios mostram a clientes e à gestão que tudo segue seguro e em conformidade.

1. No Windows

Esse comando cria um arquivo CSV com a lista detalhada das atualizações instaladas. Com esse arquivo, fica fácil revisar o histórico de atualizações, compartilhar informações de patch e usar os dados em verificações de conformidade ou na solução de problemas.

1. Abra o PowerShell.
2. Execute este comando:

Get-HotFix | Export-Csv "patch_report.csv"

Get-WindowsUpdateLog

2. No macOS

1. Execute este comando:

softwareupdate --history

3. Use NinjaOne ou outro RMM de terceiros

• Para alertar sobre falhas de patch
• Para gerar resumos de conformidade
• Para acompanhar o status dos patches de terceiros
• Para produzir relatórios executivos de patch

Métodos de implantação

Método 1: scripts manuais

📌 Casos de uso: ambientes sem gerenciamento centralizado ou cenários de teste e implantações pequenas.

📌 Pré-requisitos:

• Privilégios de administrador local nos endpoints
• PowerShell 5.1+ instalado no Windows ou acesso ao Terminal no macOS
• Acesso à internet para os serviços de atualização dos fornecedores
• (Opcional) Se a instalação do módulo PSWindowsUpdate falhar, pode ser necessário instalar antes o provedor NuGet e registrar o repositório PowerShell Gallery.

Etapas:

1. No Windows (via PowerShell)

1. Abra o PowerShell.
2. Execute estes comandos nesta ordem:

1. • Instale o módulo PSWindowsUpdate: Install-Module PSWindowsUpdate
   • Rode uma varredura de atualizações e instale todos os patches disponíveis: Get-WindowsUpdate -AcceptAll -Install -AutoReboot
   • Force a varredura manualmente, se necessário.

wuauclt /detectnow

usoclient StartScan

2. No macOS (via Terminal)

1. Execute estes comandos nesta ordem:
   • Liste as atualizações disponíveis: softwareupdate --list
   • Instale todas as atualizações disponíveis: softwareupdate -i -a
   • Reinicie depois da atualização, se necessário: sudo shutdown -r now

Método 2: Política de Grupo e Registro (só Windows)

📌 Casos de uso: ideal para ambientes Windows que dependem de gerenciamento de domínio e precisam aplicar políticas de forma consistente.

📌 Pré-requisitos:

• Dispositivos Windows ingressados no domínio
• Acesso ao Console de Gerenciamento de Política de Grupo
• (Opcional) Acesso de administrador para alterar o Registro

Etapas:

1. Pela Política de Grupo

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Navegue até:
   Configuração do Computador > Modelos Administrativos > Componentes do Windows > Windows Update
3. Ative e configure:
   • Configurar Atualizações Automáticas = Ativado.
   • Defina o dia e a hora da instalação.
   • Ative “Sem reinicialização automática com usuários conectados”.
   • (Opcional) Especifique a origem interna de atualizações via WSUS.

💡 Observação: dependendo da versão do Windows, essas políticas podem aparecer em subpastas como Políticas Herdadas, Usuários Finais Gerenciados ou Atualizações Gerenciadas, dentro da pasta Windows Update.

2. Pela aplicação via Registro (legado ou fora de domínio)

1. Pressione Win + R, digite regedit e pressione Enter.
2. Navegue até: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Defina os valores:
   • AUOptions = 4 (download automático e instalação agendada)
   • ScheduledInstallDay = 2 (terça-feira)
   • ScheduledInstallTime = 3 (3h)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 Ajuste os valores conforme a necessidade.

Método 3: plataformas de RMM, como NinjaOne

📌 Casos de uso: ideal para patches automatizados e escaláveis em ambientes grandes, com painéis, alertas, reversão e relatórios de conformidade.

📌 Pré-requisitos:

• Endpoints inscritos em uma plataforma de RMM como NinjaOne
• Políticas de patch criadas e atribuídas a grupos
• Acesso de administrador para definir regras de automação e agendamentos

Etapas:

1. Faça login no console do NinjaOne.
2. Crie uma política de patch que cubra Windows, macOS e aplicativos de terceiros.
3. Organize os dispositivos por tags, grupos ou níveis de urgência.
4. Defina agendamentos recorrentes de patch com janelas de manutenção definidas.
5. Ative alertas para falhas, patches atrasados ou reinicializações necessárias.
6. Acompanhe painéis e relatórios de conformidade em tempo real.
7. Implante scripts de reversão ou correção quando precisar.

💡 Dica: combine os patches com tarefas pós-implantação, como scripts de limpeza, adiamento de reinicializações ou reinício de serviços, usando a automação do NinjaOne. Isso deixa as atualizações mais tranquilas e reduz as interrupções. Veja também instruções mais detalhadas aqui:

• Como ativar e gerenciar as atualizações do Windows com NinjaOne
• Gerenciamento de patches do macOS com NinjaOne

Como NinjaOne apoia seu SOP de gerenciamento de patches

• Automatiza os patches de sistema operacional e aplicativos em Windows/macOS: NinjaOne simplifica a implantação de patches em sistemas operacionais e aplicativos de terceiros com políticas personalizáveis e automação sem toque. Ou seja, os patches são implantados automaticamente, sem intervenção manual, o que reduz o erro humano e melhora a eficiência operacional.
• Define janelas de patch, grupos de teste e exceções: é possível criar agendamentos recorrentes, atribuir dispositivos a grupos de teste e definir regras de exceção para atender a necessidades específicas de conformidade ou de negócio.
• Oferece painéis e relatórios de conformidade: painéis visuais em tempo real e relatórios exportáveis permitem acompanhar o status dos patches, ver as taxas de conformidade dos dispositivos e comprovar o alinhamento com SLAs ou exigências regulatórias.
• Alerta sobre falhas, reinicializações pendentes ou atrasos nos patches: NinjaOne avisa os técnicos automaticamente quando um patch falha, um endpoint precisa reiniciar ou uma janela de atualização agendada é perdida.
• Permite reversão ou correção por script: os administradores podem rodar scripts personalizados de PowerShell ou shell dentro do NinjaOne para desinstalar atualizações problemáticas, reiniciar serviços ou corrigir softwares quebrados sem intervenção manual.
• Agrupa e marca endpoints por urgência de patch ou ambiente: os dispositivos podem receber tags por local, função ou criticidade, o que permite aplicar prioridades diferentes de patch e reduzir o risco para sistemas críticos para o negócio.

Como montar um SOP de gerenciamento de patches eficaz

Um bom SOP de gerenciamento de patches garante ciclos de atualização seguros, consistentes e eficientes em todos os ambientes. Não subestime esse procedimento: até organizações menores precisam de um SOP de gerenciamento de patches sólido para reduzir o risco de malware e outras ameaças.

Temas relacionados:

• O que é gerenciamento de patches? Definição, benefícios e boas práticas
• Por que o gerenciamento de patches é importante para MSPs
• Processo de gerenciamento de patches: boas práticas
• Como criar uma política de gerenciamento de patches: definição e etapas
• Gerenciamento de patches – um guia para leigos [download]
• Revolucione o gerenciamento de patches com a Patch Intelligence AI do NinjaOne
• Processo de gerenciamento de patches: boas práticas
• O ciclo de vida do gerenciamento de patches explicado