先确认补丁从哪来
在企业环境里，Windows 的补丁通常不是从微软公网直接下载，而是经 WSUS、Microsoft Intune 或配置管理器下发。这意味着“为什么这台机器没打上补丁”首先要看更新源与策略是否生效，而不是先怀疑补丁本身。判断顺序是：注册表里的更新源配置 → 策略是否被 GPO 覆盖 → 目标组是否正确 → 最后才看更新历史。
基本信息
| 适用平台 | Windows Server / Windows 10、11（域环境为主） |
|---|---|
| 关键注册表 | HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate 下的 WUServer、UseWUServer |
| 策略子键 | 同路径下的 AU 子键（自动更新行为） |
| 基线 | 更新源可控、策略生效、目标组正确 |
| 风险等级 | 中 |
典型使用场景
- 补丁未生效排查：确认机器是否指向正确的更新源
- 域内统一：用 GPO 指定 WSUS 服务器与目标组
- 离线上报问题：客户端长期无法连接更新源时定位网络或配置
- 分组治理：按角色划分目标组，避免拿到不适用的补丁
- 审计取证：记录更新源配置作为补丁管理证据
更新源与策略核查
更新源与策略核查
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' -ErrorAction SilentlyContinue | Select-Object WUServer, WUStatusServer, UseWUServer, TargetGroup
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU' -ErrorAction SilentlyContinue
gpresult /h C:\temp\gpo-report.html # 确认策略来源与优先级
Get-WindowsUpdateLog -LogPath C:\temp\wu.log -ErrorAction SilentlyContinue
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5字段读法
| 字段 | 含义 | 正常与异常 |
|---|---|---|
| WUServer | WSUS 服务器地址 | 为空但 UseWUServer=1 属配置不完整 |
| UseWUServer | 是否使用内网更新源 | 0 表示走公网，域内通常应为 1 |
| WUStatusServer | 上报统计地址 | 与 WUServer 不一致可能导致上报失败 |
| TargetGroup | 客户端目标组 | 配错会拿到不适用或过时的补丁 |
| AU 子键 | 自动更新行为设置 | 缺失时行为由默认策略决定 |
域内机器的更新源由 GPO 决定：本地“检查更新”无效时，先用 gpresult 确认策略来源，再判断是网络、服务器还是客户端问题。
落地要点
- 更新源变更属基础设施变更，需与网络放行规则同步调整
- 目标组按角色划分，域控与数据库服务器建议单独分组与窗口
- 定期核查客户端的更新源配置，避免域策略未覆盖的漏网机器
- 记录补丁安装率与失败率，长期为 0 的机器要单独排查
- 把更新源配置与补丁清单一起纳入月度安全报告
更新源配置错误会让机器长期停留在旧补丁状态，而且表面看不出故障：定期抽查是发现这类静默失效的唯一办法。