微软安全补丁的基础知识
微软会公开其产品中存在的安全漏洞信息并提供安全更新程序。本文将解释微软漏洞和安全更新程序的基本知识。
微软产品的漏洞信息在哪里？
微软产品的漏洞信息汇总在**安全更新指南（Security Update Guide）**中。该指南集中公开了每个漏洞的详细信息、修复漏洞的安全更新程序以及产品版本等信息。
通过安全更新指南的门户网站，可以按目标产品和发布日期范围搜索相关漏洞。此外，还可以使用 PowerShell 脚本等工具轻松获取所需信息。有关安全更新指南的详细信息，请参考之前发布的文章《尝试使用安全更新指南（Security Update Guide）》。
修复漏洞的更新程序信息可以通过安全更新指南中各漏洞的详细信息页面（每个以 CVE 开头的 CVE-ID 都有单独的详细信息页面）上链接的支持技术文章进行确认。微软提供的更新程序都会分配一个以“KB”开头的支持技术文章编号（例如：2020 年 1 月 14 日发布的 Windows 10 Version 1803 更新程序是 KB4534293）。
修复漏洞的安全更新程序何时发布？
考虑到用户的负担，微软会按计划日期提供更新程序。
安全相关的修复会在美国时间的每月第二个星期二发布月度安全更新程序。因此，在美国，这个发布日期也被称为 Patch Tuesday（补丁星期二）。由于时差关系，日本会在“每月第二个星期二的次日星期三”开始提供。请注意，由于有些月份是从星期三开始的，因此在日本并不一定是第二个星期三。
此外，如果需要紧急修复漏洞，或者需要与其他组织（如 Adobe Flash Player 或 Edge Chromium（包含 Chromium 项目的安全修复））协作修复漏洞时，微软可能会在月度安全更新日之外的其他日期开始提供安全更新程序。
如何接收安全更新程序的通知？
当安全更新程序发布或已有信息发生变更时，微软免费提供电子邮件通知服务。请注意，该服务仅提供英文通知。
希望接收通知的用户可以在 Microsoft Technical Security Notifications 进行注册。这里提供三种通知服务：
- Security Update Email Alerts：当有新漏洞信息、安全公告、安全更新程序发布，或现有公开信息有重大更新（Major Revision）时，会发送通知。
- Security Advisories Alerts：当现有公开信息有较小更新（Minor Revision）时，会发送通知。
- Microsoft Security Response Center Blog Alerts：当 Microsoft Security Response Center 博客（英文信息）发布新内容时，会发送通知。
从哪里获取安全更新程序？
在 Windows 的默认设置中，微软的产品和服务会通过 Windows Update/Microsoft Update 自动安装安全更新程序。
Windows Update/Microsoft Update 会分发包括安全更新程序在内的各种更新程序。通过 Windows Update/Microsoft Update 分发的更新程序也会在 Microsoft Update Catalog 中公开，用户可以下载更新程序的安装程序。
在企业环境中，如果需要统一管理多台 Windows 设备的更新程序，可以使用 Windows Server Update Services (WSUS) 或 Windows Update for Business 进行管理。
详细信息请参考《Microsoft Windows Server Update Services 概述》和《使用 Windows Update for Business 部署更新程序》。
Windows Update 和 Microsoft Update 有什么区别？
顺便提一下，Windows 的更新有时被称为 Windows Update，有时被称为 Microsoft Update。你知道它们的区别吗？Windows Update，顾名思义，是自动更新 Windows 功能的服务。而其他微软产品（如 Microsoft Office）则各自具备自我更新功能。因此，Microsoft Update 是指不仅更新 Windows，还包括其他微软产品的全面更新功能。在 Windows Update 的设置中，有一个“在更新 Windows 时获取其他 Microsoft 产品的更新程序”选项，请确保该选项已勾选（默认已勾选）。
有关更新程序的使用步骤，请参考《Windows Update 使用步骤 – Windows 10 篇》。
[网络安全月 2020] 系列连载文章请参考此处。
安全响应团队安全程序经理 垣内由梨香