病毒一直是我们网络管理员的天敌，而杀毒软件又总是有滞后性，纵观所有危害性大的病毒，无不一是利用系统漏洞来传播、感染的，而这时候，第一个提供解决方案的，往往是微软自己系统补丁。个人认为给客户端电脑打全系统补丁是防毒，而杀毒软件是“杀”毒，相对来说，防毒更为重要，将病毒堵在门外，而不是让杀毒软件来亡羊补牢。 如果是小企业，内网只有三五台或者七八台电脑倒还无所谓，自己手动下载并安装补丁，工作量相对来说并不是很大，但如果有几十台电脑怎么办呢？工作量大不说，也不容易记清到底哪台电脑打补丁了，哪台电脑没打补丁，都打了哪些补丁。也许有人提出开启自动更新服务不是可以很好的解决问题吗？微软发布补丁的日子基本上是固定的，这就会引起所有客户端都去微软网站下载补丁的问题，不仅会消耗大量带宽，还容易造成企业网络堵塞。微软提供的WSUS（Windows Server Update Services）无疑是最佳的解决方案，架设WSUS服务器，好比在企业内网中建立一个微软发布补丁的镜像服务器，这样，企业内所有电脑都从内网升级，每次更新补丁，只需要WSUS服务器到微软网站下载一次即可，所有客户端均从WSUS服务器下载，以内网百Mbps的速率，补丁再多，也能很快更新完毕。一、架设WSUS服务器的好处既然架设WSUS服务器，肯定就要准备服务器，无疑是企业另外一笔投资，如果没有很明显的好处，是很难打动企业领导增添不能产生显性价值的服务器的。第一：补丁更新速度快。因为所有客户端更新补丁时都是从内网服务器上下载，所以速度快是肯定的。第二：补丁更新时间自定义。Windows自动更新程序会不定时检测微软网站上的补丁发布情况，这就造成了时间不可控性。而架设WSUS服务器后，可以设定补丁更新的时间，服务器端下载完补丁后，可以在设定的时间点向客户端推送补丁。并且WSUS服务器与微软补丁服务器同步补丁时间也可以设定，这样可以保存不在工作时间因同步补丁而占用带宽，影响终端用户使用网络的情况。第三：补丁全。WSUS服务器会自动与微软补丁服务器同步，因此补丁全，不会造成漏更新某一补丁的情况发生。并且可以自动下载微软全系列的补丁，包括Windows、Office等。二、WSUS服务器的架设第一步：安装WSUS。首先从微软网站下载WSUS安装程序，目前最新版本为3.0，双击下载回来的安装程序，自解压完成后，会自动弹出安装向导，单击“下一步”按钮，选择“包括管理控制台和完整服务器安装”项（图1），接下来就按照提示进行相应的设置即可完成安装。图1需要注意的是，安装WSUS3.0，需要安装IIS服务和.net 2.0组件，否则将无法完成安装。另外MMC 3.0控制台程序也需要安装，否则将不能使用WSUS管理UI。第二步：配置WSUS。在完成WSUS的安装后，安装程序会自动跳转到“WSUS 配置向导”。根据此向导，我们就可以轻松完成WSUS的配置。连续单击“下一步”，直到选择“上游服务器”处，这里选择“从Microsoft Update”进行同步（图2）。图2如果是通过代理服务器上网的，接下来还需要“指定代理服务器”，然后依次选择“语言”、“产品”、“分类”以及“同步计划”，可以设置更新补丁的语言类型，微软的产品类型、补丁的类型以及是手动同步补丁还是自动同步补丁（图3）。图3至此，服务器端WSUS基本上算配置完毕了，在客户端进行一些简单设置即可享受到WSUS的好处了。三、客户端配置运行“Gpedit.msc”打开组策略编辑器。在组策略编辑器中，依次单击“计算机配置管理模板Windows组件Windows Update”。在右侧双击“配置自动更新”，将自动更新策略设置为“启用”，并设置为“自动下载并计划安装”（图4）。图4双击“指定Intranet Microsoft更新服务位置”，选择“已启用”项，在“为检测更新设置Intranet夹新服务”下方输入http:/WSUS服务器的机器名称或者IP地址（图5）。重新启动计算机机，这时客户端组策略便会刷新，设置便会起作用。图5如果网络环境是Active Directory的话，只要在域控制器上设置基于域的组策略对象，就可以一次性实现所有的域用户的客户端设置。如果是非域环境的话，就必须在每个客户端上进行本地组策略设置。当然无论是设置域控制器上的组策略对象还是设置客户端上的本地组策略，目的都是将客户端的自动更新指向我们架设的WSUS服务器上，让客户端自动更新的时候不再连接微软的网站，而是连接内网的WSUS服务器，不过用户还是可以直接登录微软自动更新页面去更新补丁。 域环境客户端设置。在“管理您的服务器”窗口中单击“管理Active Directory中的用户和计算机”，右键单击域名，选择属性，在打开的对话框中切换到组策略标签，新建一个组策略模板并进行编辑，具体的编辑操作同非域环境下客户端的操作完全一样（图6）。图6四、总结纵观WSUS服务器的整个架设过程以及客户端的设置过程均不复杂，但实实在在的可以更好的起到“补丁”的作用。特别是对于中、大型企业来说，这样做显得更为有必要。客户端都会自动进行系统补丁的升级，我们在方便、减少工作量的同时，也让整个企业内网的安全性得到了较大提高。