新装 Windows Server 后须通过 WSUS 实现可控补丁管理：分组审批、自动下载不自动安装、补丁前备份与兼容性验证、安装后多维度验证、禁用自动重启并计划低峰时段滚动重启。
新装 Windows Server 后，安全更新和补丁升级不能只靠“点几下自动更新”应付。真正有效的配置，是把补丁变成可验证、可回溯、有节奏的运维动作，尤其在护网行动这类高强度对抗场景下，延迟或遗漏一个关键更新，可能直接成为突破口。
用 WSUS 实现可控的补丁分发
不建议所有服务器直连微软更新服务器——既难审计，又易受网络波动影响。WSUS 是企业级首选：
- 部署一台 WSUS 服务器，同步微软官方更新源（建议启用“仅同步安全更新+累积更新”）
- 按角色分组：测试组 → 预发布组 → 生产核心组 → 边缘服务组，每组设置不同审批策略
- 对“安全更新”设置自动审批（72 小时内生效），对“功能更新”或“驱动更新”一律手动审核
- 客户端组策略指向 WSUS 服务器地址，并启用“检测到更新后自动下载但不安装”，由运维统一触发部署
补丁前必须做的三件事
打补丁不是技术动作，而是风险控制动作：
- 备份快照：Hyper-V 或 VMware 环境下，打补丁前必须创建完整快照；物理机则需系统状态备份 + 关键服务数据备份
- 查兼容性：访问 Microsoft Update Catalog，搜索 KB 编号，重点看“已知问题”和“受影响产品”列表，确认是否与你使用的 SQL Server、.NET Framework 或第三方驱动冲突
- 选窗口期：避免在业务高峰期重启；对高可用集群，启用“滚动更新”模式——一次只更新一个节点，确保服务持续在线
验证更新是否真正生效
安装完成≠防护到位。要主动验证：
- 执行 Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object HotFixID, Description, InstalledOn -First 10，确认最新 KB 已列在顶部
- 用 systeminfo | findstr "KB" 检查系统信息中是否包含该补丁标识
- 对关键漏洞（如 PrintNightmare、Zerologon），运行对应 CVE 的公开 PoC 脚本（在隔离环境），验证是否已修复
- 检查 Windows Event Log → System 日志中是否有 ID 19、20 类事件（表示更新成功应用）
禁用自动重启，改用计划任务统一重启
Windows 默认可能半夜重启，导致服务中断。更稳妥的做法是：
- 组策略禁用“配置自动更新时自动重启”（路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新）
- 用 PowerShell 创建计划任务，在业务低峰时段（如凌晨 2:00）执行：Restart-Computer -Force
- 重启前自动调用脚本，先停止 IIS、SQL Server 等服务，重启后再逐个启动并检查监听端口
