补丁合规报表是什么
补丁合规月报要回答一个具体问题：现在还有哪些漏洞敞口。做法是把更新状态分层统计——应装、已装、待重启、不适用，再叠加以超期清单与失联主机。分层里最容易被漏掉的是「已安装但未重启」：内核与驱动类更新在重启前并不生效，漏洞依然可利用，只看安装记录会高估合规水平。
基本信息
| 加固项 | 合规度量与敞口统计 |
|---|---|
| 适用平台 | Windows 企业环境（WSUS、Intune 等） |
| 风险等级 | 低 |
| 基线 | 月度合规报告加超期清单 |
| 关键口径 | 应装、已装、待重启、不适用四分层 |
典型使用场景
- 月度汇报：给出敞口数字与环比趋势，替代主观描述
- 变更排期：按业务批次规划重启窗口，减少集中停机
- 审计举证：证明补丁流程在持续运行且有记录
- 异常发现：从上报时间找出失联或上报异常的主机
- 例外管理：为业务系统维护不适用与豁免名单，并注明原因
分层统计思路
分层统计思路
# WSUS / Intune 控制台导出，或从报表库直接查询：
# - 已安装更新百分比（按分类：安全更新、关键更新）
# - 待重启主机清单（安装完成但未生效）
# - 上次上报时间超过 7 天的主机（失联或状态异常）
# - 未安装的严重级更新，精确到 KB 粒度
Get-CimInstance Win32_QuickFixEngineering | Measure-Object | Select-Object Count状态分层判读
| 状态 | 含义 | 报表注意点 |
|---|---|---|
| 已装 | 安装完成且已重启生效 | 只看安装记录会高估合规 |
| 待重启 | 已安装但未生效 | 最容易在统计里被漏掉 |
| 不适用 | 该主机确实不需要此更新 | 需填原因并进入例外台账 |
| 失联 | 超过 7 天未上报状态 | 意味着你不掌握该主机状态 |
报表里的失联主机比未打补丁更值得先处理：前者意味着监控与台账同时失效，敞口完全不可见。
百分比之外要同时给关键 KB 清单：合规率好看但关键更新缺失，是常见的报表假象。