Patch-Check-Referenz

Plattformübergreifender Patch-Check (Windows, Linux, macOS). Konfigurationsfelder, MSRC-Schweregrade, Ausgabeschema und plattformspezifische Erkennungsdetails.

Geschrieben von Erdinc Akay

Zuletzt aktualisiert Vor etwa 1 Monat

Patch-Check-Referenz

Im Check-Katalog erscheint dieser Check als Systemupdates (EN: System Updates).

Plattformübergreifend: Der Patch-Check läuft unter Windows, Linux und macOS (jeweils x64 und ARM64). Unter Windows nutzt er die Windows Update API; unter Linux fragt er den nativen Paketmanager ab (apt, dnf, yum, zypper oder pacman); unter macOS nutzt er softwareupdate. Der Agent erkennt das Betriebssystem automatisch.

Konfigurationsfelder

FeldTypErforderlichStandardBeschreibung
WarnschwelleintegerNein1Anzahl ausstehender Updates, ab der eine Warnung ausgelöst wird
Kritische SchwelleintegerNein10Anzahl ausstehender Updates, ab der ein kritischer Alarm ausgelöst wird
Nur Sicherheitsupdates zählen (Linux/macOS)booleanNeinfalseUnter Linux/macOS nur sicherheitsrelevante Updates zählen (das Security-Repository unter Linux, empfohlene Updates unter macOS). Keine Auswirkung unter Windows, das stattdessen den Schweregradfilter nutzt.
Schweregradfilter (Windows)array (Mehrfachauswahl: Critical, Important, Moderate, Low)Nein["Critical", "Important"]Nur Windows: MSRC-Schweregrade, die beim Zählen ausstehender Updates berücksichtigt werden. Updates, deren Schweregrad nicht in dieser Liste steht, werden ignoriert. Leer lassen, um alle zu zählen. Unter Linux/macOS ignoriert. Nur sichtbar unter Erweiterte Optionen anzeigen.
Mindestalter der Updates (Tage, Windows)integerNein3Nur Windows: Updates, die jünger als diese Anzahl Tage sind, werden ignoriert, damit neu veröffentlichte Patches reifen können, bevor sie auf die Schwellenwerte angerechnet werden. Linux/macOS-Updates tragen kein zuverlässiges Veröffentlichungsdatum pro Update, daher hat dies dort keine Auswirkung. Nur sichtbar unter Erweiterte Optionen anzeigen.

MSRC-Schweregrade (Windows)

Unter Windows werden ausstehende Updates anhand ihres Schweregrads vom Microsoft Security Response Center (MSRC) klassifiziert, und das Feld Schweregradfilter steuert, welche Schweregrade auf die Schwellenwerte angerechnet werden. Linux und macOS kennen keine MSRC-Schweregrade — dort bestimmt stattdessen die Option Nur Sicherheitsupdates zählen, welche Updates gezählt werden.

SchweregradBedeutung
CriticalEine Ausnutzung könnte Codeausführung ohne Benutzerinteraktion ermöglichen
ImportantEine Ausnutzung könnte Vertraulichkeit, Integrität oder Verfügbarkeit von Daten beeinträchtigen
ModerateAuswirkungen werden durch Standardkonfiguration, Auditierung oder die Schwierigkeit der Ausnutzung gemindert
LowAuswirkungen werden durch Eigenschaften der betroffenen Komponente umfassend gemindert

Ausgabe

Jeder Lauf liefert:

FeldBeschreibung
platformErkannte Agent-Plattform: windows, linux oder macos
pendingCountGesamtzahl ausstehender Updates, die die Update-Quelle der Plattform meldet (vor Schweregrad- und Altersfilter)
criticalUpdateCountWindows: Anzahl ausstehender Updates mit MSRC-Schweregrad Critical nach dem Mindestalter-Filter
importantUpdateCountWindows: Anzahl ausstehender Updates mit MSRC-Schweregrad Important nach dem Mindestalter-Filter
securityUpdateCountLinux/macOS: Anzahl sicherheitsrelevanter ausstehender Updates. Unter Windows entspricht dies Critical + Important
updates[]Details je Update. Unter Windows enthält die Liste nur die Updates, die den Schweregrad- und Mindestalter-Filter passieren, gekürzt auf die ersten 20. Jeder Eintrag enthält title, severity und kbId (nur Windows — Linux- und macOS-Einträge tragen keine KB-Nummer).

Wie Updates erkannt werden

PlattformVerwendetes ToolWas geprüft wird
WindowsPowerShell-Skript (powershell.exe), das die Windows Update COM API über New-Object -ComObject Microsoft.Update.Session instanziiertFragt den Windows Update Agent ab. Berücksichtigt die WSUS-Maschinenrichtlinie — wenn das Gerät an einen WSUS-Server meldet, werden nur WSUS-freigegebene Updates angezeigt
LinuxDer erste verfügbare native Paketmanager: apt, dnf, yum, zypper oder pacmanListet aktualisierbare Pakete aus den konfigurierten Repositories. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur sicherheitsrelevante Updates gezählt (Security-Repository bei apt, Security-Advisories bei dnf/yum, Security-Patches bei zypper). pacman (Arch) kennt keine Sicherheitsklassifizierung — dort zählt diese Option keine Updates
macOSsoftwareupdate -lListet verfügbare macOS-Softwareupdates. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur empfohlene Updates gezählt

Der octoja Agent erkennt das Betriebssystem automatisch. Es ist keine manuelle Konfiguration erforderlich.

Update-Verwaltung

Unabhängig vom gerätebezogenen Patch-Check stellt octoja im Update-Katalog eine umgebungsweite Übersicht über jedes Update bereit. Beim Öffnen eines Updates werden seine Hinweise, sein Blockierungsstatus und ob der Hersteller es zurückgezogen hat angezeigt.

Ein Update blockieren

Auf der Detailseite eines Updates kannst du es mit Update blockieren und einem optionalen Grund blockieren. Eine Blockierung gilt mandantenweit: Sie greift überall in der Umgebung, nicht pro Patch-Richtlinie. Ein blockiertes Update wird keinem Gerät mehr zugewiesen, bis es freigegeben wird.

FeldBeschreibung
Update blockieren / Update freigebenFügt eine mandantenweite Blockierung hinzu oder entfernt sie, anhand der KB-Nummer des Updates
Grund (optional)Freitext-Notiz, die mit der Blockierung gespeichert wird
Blockiert-AbzeichenWird im Katalog und auf der Detailseite angezeigt, solange das Update blockiert ist; das Update wird keinem Gerät zugewiesen, bis es freigegeben wird

Hinweise zu Updates

octoja führt für jedes Update Hinweisinformationen zusammen, sodass ein problematisches Update vor dem Ausrollen erkannt werden kann.

HinweisQuelle
Bekannte ProblemeVon Microsoft zum Update veröffentlichte Probleme, jeweils mit einem Status wie Bestätigt, Entschärft, Wird untersucht, Workaround verfügbar oder Behoben
Community-MeldungenAus der breiteren Community gesammelte Problemmeldungen
Von anderen octoja-Nutzern gemeldetEin mandantenübergreifendes Signal, das zeigt, wie viele andere octoja-Nutzer das Update markiert oder bereits blockiert haben

Zurückgezogene Updates

Wenn der Hersteller ein Update zurückzieht, kennzeichnet octoja es mit dem Status Zurückgezogen, sodass es nicht zur Installation angeboten wird.

Hinweise

  • Der Check nutzt denselben Update-Mechanismus wie die Windows Update-Einstellungen.
  • Wenn deine Organisation Updates über WSUS (Windows Server Update Services) verwaltet, meldet der Check nur Updates, die von deinem WSUS-Administrator freigegeben wurden.
  • Auto-Patching kann separat auf dem Tab „Updates" des Geräts konfiguriert werden.
  • Wenn die Warnschwelle höher konfiguriert ist als die kritische Schwelle, tauscht der Check die beiden Werte zur Laufzeit, sodass die kritische Schwelle die Obergrenze bleibt.
  • Standardmäßig läuft der Check alle 6 Stunden.
  • Wenn der Check gar nicht laufen kann — kein unterstützter Paketmanager unter Linux, softwareupdate unter macOS nicht verfügbar, eine nicht unterstützte Plattform oder nicht auswertbare Tool-Ausgabe — meldet er statt einer Update-Anzahl ein Fehler-Ergebnis mit passender Meldung.

Siehe auch: Einen Patch-Check konfigurieren