Windows Autopatch og patching av tredjepartsprogrammer løser to ulike problemer, og IT-avdelinger som behandler dem som ett, ender opp med et hull de ikke ser. Autopatch holder Microsofts programvare oppdatert i hele enhetsparken, og hotpatch har fjernet de fleste omstartene som gjorde de månedlige oppdateringene forstyrrende. Ingen av dem endrer hvem som eier nettleserne, PDF-leserne, kjøretidsmiljøene og fagsystemene som Microsoft ikke leverer. Det laget blir liggende hos IT-avdelingen, og det er der mesteparten av den upatchede programvaren i et typisk Windows-miljø befinner seg.
Dette oppdaterer Windows Autopatch
Windows Autopatch er en skytjeneste som automatiserer oppdateringer på registrerte enheter. Ifølge Microsofts dokumentasjon dekker den fire ting: kvalitets- og funksjonsoppdateringer for Windows, Microsoft 365 Apps for enterprise, Microsoft Edge og Microsoft Teams. Den kan også levere Windows-drivere og fastvare som publiseres via Windows Update.
Tjenesten ruller ut oppdateringer i utrullingsringer i faser, slik at en liten testgruppe får oppdateringen før resten av enhetsparken. Når telemetrien viser et problem, stanser utrullingen automatisk. For programvaren den dekker, fjerner Autopatch det meste av planleggings- og overvåkingsarbeidet IT-avdelingen tidligere gjorde manuelt.
Omfanget er bevisst valgt. Autopatch oppdaterer Microsofts egen programvare. Alt annet på enheten hører til en annen prosess.
Slik endrer hotpatch rytmen for omstarter
Hotpatch er den nyeste endringen, og den løser et reelt problem i driften: En enhet er ikke beskyttet når oppdateringen lastes ned, men når den trer i kraft – og det betydde tidligere å vente på at brukeren godtok en omstart.
Kvalifiserte enheter går nå i en kvartalsvis syklus. Microsofts versjonsmerknader angir januar, april, juli og oktober som baseline-måneder: Enheten installerer en kumulativ sikkerhetsoppdatering og starter på nytt. I de to månedene etter hver baseline installeres sikkerhetsoppdateringer uten omstart og trer i kraft umiddelbart. Åtte av tolv måneder ser ingen en melding om omstart.
Kravene for å kvalifisere er konkrete. En enhet trenger Windows 11 Enterprise versjon 24H2 eller nyere på en x64-prosessor, virtualiseringsbasert sikkerhet i drift og gjeldende baseline installert. Intune må administrere den via en policy for kvalitetsoppdateringer med hotpatch slått på. Mangler ett av kravene, får enheten den vanlige kumulative oppdateringen i stedet – fortsatt patchet, men med omstarten tilbake.
For IT-avdelingen er den praktiske gevinsten kortere vei fra «oppdatering lansert» til «enheten er faktisk beskyttet». Den gevinsten gjelder programvaren Autopatch dekker.
Her hører tredjepartspatching hjemme
Et typisk Windows-endepunkt kjører programvare fra et dusin leverandører. Chrome eller Firefox ved siden av Edge. Acrobat Reader. Java- eller .NET-kjøretidsmiljøer. 7-Zip, Notepad++, PuTTY, VLC. Og de fagsystemene virksomheten er avhengig av. Ingenting av dette går via Windows Update, og dermed går ingenting av det via Autopatch.
Hvert av disse programmene leverer sine egne oppdateringer etter sin egen tidsplan. Noen oppdaterer seg selv i det stille, noen ber brukeren om å gjøre det, og noen gjør ingenting før en administrator griper inn. Resultatet i enhetsparken blir ujevnt: En virksomhet kan ha en ren samsvarsrapport fra Autopatch og likevel ha hundre utdaterte Acrobat-installasjoner.
Det er denne ujevnheten som er vanskelig å rapportere på. Patchstatus for Windows er ett tall fra én kilde. Patchstatus for tredjepartsprogrammer er et spørsmål som må besvares program for program – med mindre noe automatiserer både oppdateringen og dokumentasjonen av den. Uten det ender du opp i gapet i patch-etterlevelse på endepunktene: manuell patching, og manuell dokumentasjon av den.
Slik dekker CapaOne tredjepartslaget
CapaOne Application Manager automatiserer patching av tredjepartsprogrammer fra en styrt katalog. Den oppdager installerte og utdaterte programmer via en agent på endepunktet, ruller ut oppdateringer trinnvis til eksisterende Entra ID-grupper og skriver et eksporterbart revisjonsspor for hver utrulling. Programmer utenfor katalogen pakkes uten kode i stedet for med håndlagde skript.
Security Monitor tilfører innsikten: hvilke endepunkter som har en kjent sårbarhet, hvilke som har avveket fra policy, og hvordan eksponeringen ser ut for hele enhetsparken i stedet for enhet for enhet.
De to tjenestene deler ansvaret tydelig. Autopatch eier Microsofts programvare; CapaOne eier alt annet, med én konsoll og én agent for både oppdateringene og dokumentasjonen. Virksomheter som bruker Intune, kan lese mer om denne fordelingen på siden om patchehåndtering med Intune, og artikkelen om Intunes hull i tredjepartspatchingen forklarer hvorfor grensen finnes i utgangspunktet. Team som vurderer hotpatch spesielt, bør lese kravene til hotpatch-baseline og kvalifisering før de planlegger en utrulling.
CapaOne fungerer frittstående for virksomheter uten Intune eller Autopatch og administrerer hele programvareporteføljen fra den samme konsollen. CapaOne lagrer alle endepunktdata i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon.
Dette endrer seg for IT-avdelingen
Når de to lagene er tydelig adskilt, gir det resultater som merkes i den vanlige driften.
- Én rapport dekker begge lagene. Windows-status fra Autopatch, tredjepartsstatus fra CapaOne – uten at den andre rapporten må settes sammen manuelt.
- Tredjepartsoppdateringer er ikke lenger avhengige av brukeren. Trinnvise utrullinger styres av policy, ikke av om noen klikket på en oppdateringsmelding.
- Revisjonsdokumentasjon oppstår som et biprodukt. Hver utrulling blir dokumentert, noe som støtter et sikkerhetsnivå i tråd med NIS2 uten en egen dokumentasjonsøvelse.
- Ingen kø av programmer som venter på pakking. Katalogprogrammer oppdaterer seg selv; resten pakkes uten kode i stedet for med skript som må vedlikeholdes.
Autopatch gjør det den er laget for, og hotpatch har gjort den merkbart mindre forstyrrende. Spørsmålet du bør stille, er ikke om Microsofts verktøy er gode nok – men hvilket lag de dekker, og hva som dekker det andre. Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se tredjepartspatching og innsikt i sårbarheter fungere sammen, eller start en gratis prøveperiode og sjekk ditt eget miljø.