Inkonsistenz zwischen Offline-Scan (wsusscn2.cab) und Live-Windows-Update-Dienstergebnissen

Question

Inkonsistenz zwischen Offline-Scan (wsusscn2.cab) und Live-Windows-Update-Dienstergebnissen

Leon Schmidt 20

Hallo zusammen, ich arbeite mit vom Internet getrennten Workstations. Ich habe die wsusscn2.cab-Datei verwendet, um sie auf Patches zu prüfen, aber die Ergebnisse sind völlig unbrauchbar. Mein Scan markiert nur vier Elemente, aber sobald ich ein Testsystem in das Produktions-VLAN verschiebe und die Live-Server teste, werden sofort zehn fehlende Updates gefunden. Diese Lücke macht unseren Sicherheitsbericht unbrauchbar, und ich brauche dringend eine Möglichkeit, eine vollständige und genaue Liste ohne Internetverbindung zu erhalten. Gibt es neben dieser CAB-Datei noch andere offizielle Scan-Pakete oder Tools von Microsoft, die tatsächlich eine vollständige Offline-Erkennung ermöglichen?

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo,

das Problem liegt nicht an Ihrer Umgebung, sondern an der Natur der wsusscn2.cab. Diese Datei enthält nur die Metadaten für Sicherheitsupdates, die über Microsoft Update veröffentlicht wurden, und ist primär für den Einsatz mit dem Microsoft Baseline Security Analyzer (MBSA) oder dem Offline Scan mit Windows Update Agent (WUA) gedacht. Sie deckt aber nicht alle Update-Klassen ab, insbesondere keine Feature-Updates, Servicing Stack Updates oder kumulative Updates, die nicht als „Security“ klassifiziert sind. Deshalb sehen Sie die Diskrepanz zwischen den vier gefundenen Updates offline und den zehn Updates, die ein Online-Scan meldet.

Microsoft hat offiziell keine alternative „vollständige“ Offline-Datenbank außer der wsusscn2.cab. Wenn Sie eine wirklich vollständige Erkennung ohne Internet benötigen, gibt es nur zwei praktikable Wege:

WSUS-Server im isolierten Netz: Sie können einen internen WSUS-Server aufsetzen, der die Updates aus dem Internet synchronisiert und dann Ihre Workstations dagegen scannen lässt. Das ist der einzige von Microsoft unterstützte Weg, um eine vollständige Offline-Erkennung und Verteilung zu gewährleisten.

Configuration Manager (SCCM/MECM): Falls Sie System Center im Einsatz haben, können Sie die Software Update Point-Rolle nutzen. Diese synchronisiert ebenfalls die komplette Update-Metadatenbank und erlaubt Offline-Scans gegen Clients im isolierten Netz.

Die wsusscn2.cab bleibt ein eingeschränktes Werkzeug, das nur für Sicherheits-Baseline-Scans gedacht ist. Für Compliance-Reporting oder vollständige Patch-Listen ist sie nicht ausreichend. Microsoft selbst weist in der Dokumentation darauf hin, dass die CAB-Datei nicht alle Updates enthält und nicht als Ersatz für WSUS oder MECM gedacht ist.

Kurz gesagt: Es gibt keine andere offizielle „Scan-Pakete“ von Microsoft, die offline eine vollständige Erkennung ermöglichen. Wenn Sie eine lückenlose Liste brauchen, müssen Sie entweder einen WSUS-Server in Ihr isoliertes Netz bringen oder mit MECM arbeiten. Alles andere wird Ihnen immer nur Teilmengen liefern.

Ich hoffe, Sie haben hier etwas Nützliches gefunden. Wenn es Ihnen hilft, mehr Einblick in das Problem zu bekommen, wäre es schön, die Antwort zu akzeptieren. Sollten Sie weitere Fragen haben, hinterlassen Sie gerne eine Nachricht. Einen schönen Tag!

Domic Vo.