域环境下如何通过组策略推送 Windows 漏洞修复补丁？
核心结论：通过组策略配置 Windows 更新，可将企业内所有计算机的补丁管理效率提升，默认安装计划时间为每天 03:00，支持 Windows 10 版本 1809 及更高版本的已知问题回滚 (KIR) 技术。
原因分析
在域环境中手动逐台配置 Windows 更新设置非常耗时。根据 Microsoft Learn 文档（收录于 2026 年 4 月 30 日），组策略使用 Microsoft Active Directory 目录服务 (AD DS) 启用基于策略的管理，可从中央管理点应用设备和用户配置。传统做法存在以下问题：
1. 统一管理缺失：不使用 AD 域控制器时，公司需要逐台手动操作所有计算机的补丁和更新，时间和人力成本高昂
2. 安全性风险：无法确保所有计算机都及时应用最新的安全补丁，系统漏洞修复延迟会增加遭受恶意攻击的风险
3. 合规性压力：许多行业标准和法规要求组织保持系统和软件更新到最新版本，手动管理难以满足合规要求
解决方案
步骤一：创建组策略对象 (GPO)
在域控制器上打开组策略管理编辑器 (GPMC.msc)，导航到路径：计算机配置/管理模板/Windows 组件/Windows 更新。根据 2024 年 3 月 15 日的实战配置指南，补丁策略属于计算机策略，需新建组策略并编辑。
步骤二：配置自动更新策略
启用"配置自动更新"策略设置，从以下四个选项中选择其一（来源：Microsoft Learn，2026 年 4 月 30 日）：
- 选项 2：通知下载并通知安装。当 Windows 找到更新时，状态区域显示图标和消息，用户可选择下载特定更新
- 选项 3：自动下载并通知安装。Windows 在后台下载更新不中断用户，下载完成后通知用户安装
- 选项 4：自动下载并计划安装。如未指定计划，所有安装的默认计划为每天 03:00
- 选项 5：允许本地管理员选择设置。本地管理员可使用自动汇报控制面板选择配置选项，但无法禁用自动汇报配置
步骤三：策略应用到组织单位 (OU)
将配置好的 GPO 链接到相应的组织单位。根据 2024 年 3 月 15 日的配置过程，第二步是策略应用到 OU，第三步是检测是否成功。可使用 gpresult 命令确认策略应用情况。
步骤四：部署 WSUS 服务器（可选）
根据 2015 年 6 月 5 日的实践经验，架设一个 WSUS 服务器足以满足需要。WSUS 服务器自己打好补丁做好防护，每个月接入互联网和微软同步一下，其余时间可以断网使用，这样能降低出口带宽占用。
步骤五：特殊漏洞的注册表修复
对于 SMBv1 等特定漏洞，可通过组策略首选项配置注册表。根据 2024 年 10 月 31 日的 CSDN 博客，路径为：计算机配置->首选项->Windows 设置->注册表，创建注册表项到 SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters。
注意事项
1. KIR 策略限制：根据 Microsoft Learn（2026 年 2 月 13 日），已知问题回滚 (KIR) 仅适用于非安全更新，因为回滚非安全更新的修复不会导致潜在的安全漏洞。必须重启受影响的计算机才能应用此组策略更改。
2. SYSVOL 安全风险：根据 2021 年 6 月 24 日的内网渗透分析，所有域组策略存储在 \\
3. 证书验证配置：根据 CVE-2005-1794 修复指南（撰于 2026 年 4 月 20 日），Windows Server 2012 及以上版本需在组策略编辑器里设置加密级别为 FIPS 标准，证书绑定服务器证书指纹，安全层要求 TLS，Legacy 加密禁用。
4. 策略生命周期：KIR 策略定义具有有限的寿命（几个月最多）。Microsoft 发布修订后的更新以解决原始问题后，不再需要 KIR，可从组策略基础结构中删除策略。
参考来源
来源：Microsoft Learn - 使用组策略设置配置 Windows 更新（收录于 2026 年 4 月 30 日）
来源：CSDN 博客 - 通过 GPO 完全解决 SMBv1 漏洞（2024 年 10 月 31 日）
来源：Microsoft Learn - 使用组策略部署已知问题回滚（2026 年 2 月 13 日）
来源：技术博客 - AD 域控如何做补丁策略（截至 2024 年 3 月 15 日）