Update eines frischen Windows7 Home Premium 32 mit SP1

[rolfie]

Ich habe das Win7 letzte Woche in einer virtuellen Maschine installiert und dann per Offline-Update auf Stand gebracht. Die Option Einzelupdates statt der Rollups war beim Erstellen gesetzt.

Jetzt zeigt mir Windows Update noch 8 wichtige und 63 optionale Updates an. Dazu hätte ich ein paar Fragen.

1.) Droht mir zum jetzigen Zeitpunkt eigentlich noch ein Zwangsupdate auf Win10? Wenn ja, was muss ich da abwählen?
2.) Windows Update will das SQ-Rollup Dezember = KB3207752 installieren. Das sollte ich doch schon als Einzelupdates haben, oder? Das heisst doch einfach ausblenden, oder?
3.) Ähnliches für das SQ-Rollup zu .net 3.5.1 von Oktober, KB3188740.
4.) Die optionalen Updates kann man doch einfach laufen lassen, oder versteckt sich da eventuell auch was nicht erwünschtes wie Win10?

Mfg Rolfie

[boco]

Zuerst mal: Die Sache mit den Einzelupdates bezog sich auf das "Convenience-Rollup", welches komplett optional ist und bleibt. Es ist also kein Service Pack 2, wie immer gern behauptet wird. Zwei Gründe: Zum einen ist ein SP immer eine neue "servicing baseline", also wird irgendwann Voraussetzung, zum anderen würde ein SP die Lebenszeit von Windows 7 verlängern. Das nur als Info.
Nun gibt es aber eine neue Situation seit Oktober '16. Microsoft hat die Einzelupdates von Windows 7, 8.1 und deren Server-Varianten komplett eingestellt. In anderen Worten: Es gibt nur noch Rollups wie in Windows 10, keine Einzelupdates mehr! Die alten Updates (vor Oktober '16) werden nach und nach in die Rollups eingepflegt werden und dann wohl verschwinden.

1. Nein, GWX ("Get Windows X" Zwangsupdate) wurde nach dem Ende der kostenlosen Update-Kampagne im Juli '16 von MS zurückgezogen und wird nicht mehr angeboten. Es ist nichtsdestotrotz immer noch manuell möglich.
2 und 3. Da es nur noch Rollups gibt, ist die Frage hinfällig. Die neue Frage lautet: "Security and Quality" oder "Security-only"? WSUSOU erlaubt es, in der GUI oder per Parameter auf der Kommandozeile, den einen oder anderen Weg einzuschlagen.

2 und 3.1. SQ Rollups - Der 'normale' Weg. SQ Rollups sind kumulativ und nur das neueste muß installiert werden. Besonders nach einer Update-Bereinigung kann es aber sein, das WU ältere Rollups oder Updates noch einmal anbietet. Die Gründe lasse ich hier mal weg, kann aber getrost angehakt werden, da die älteren Updates nicht installiert, sondern nur noch einmal registriert werden. Das gilt auch für DotNet.
2 und 3.2. Security-only Packs sind nicht kumulativ, es müssen alle installiert werden, beginnend Oktober '16. Hier sind nur Sicherheitsupdates drin. Wichtig: Diese Packs werden nicht auf Windows Update angeboten, sondern nur über den Online-Updatekatalog oder den WSUS-Katalog (wir nutzen letzteren). SQ-Updates, falls angeboten, immer verstecken. Gilt auch für DotNet.
4. Aber hallo. In manchen Einzelupdates (seit Mai '15 glaube ich) und in den SQ-Rollups steckt die Telemetrie von Windows 10. Ein System, welches Nutzer gnadenlos ausspioniert. Kommt drauf an, ob das "was nicht Erwünschtes" ist? Falls ja, ist der einzige Weg die konsequente Verfolgung der Security-only-Linie.

[rolfie]

Danke für die umfassende Antwort. Trotzdem ist mir nicht alles klar.

Thema WinX: gut das das Thema Zwangsupdate erst mal durch ist. Ich habe kein Interesse an WinX, der Kachelei und den damit verbundenen "Telemetrie"-Problemen. Die will ich mir auch über Umwege wie optionale Updates nicht einfangen.

Konkrete verbliebene Fragen:
1.) Dezember 2016 - monatliches Sicherheitsqualitätsrollup für Windows 7 (KB3207752)
Habe etwas tiefer gegraben und festgestellt das das o.a. Paket aus einem Sicherheitspaket KB3205394 und irgendwelchen Verbesserungen zum Novemberpaket besteht. In meinem Download ist KB3205394 enthalten und somit auch installiert. Dann sollte ich doch das angeblich fehlende KB3207752 ausblenden können? Was macht dann der MSBA dadraus? Ist der überhaupt so noch brauchbar?
2.) Oktober 2016 Sicherheits- und Qualitätsrollup für .net-Framework 3.5.1 für Windows 7 (KB3188740)
Hier finde ich im zugehörigen KB-Artikel keinen Split. Im Offline-Download ist weder das Komplettpaket noch ein für mich erkennbarer Sicherheitsanteil drin. Habe auch kein neueres Paket zu .net 3.5.1 gefunden. Wie lautet die Empfehlung in diesem Fall? Installieren oder ausblenden? Die Beschreibung is MS16-120 liest sich für mich jedenfalls harmlos.

Beide Punkte nennen sich Rollup. Mir ist jedoch die etwas andere Schreibweise aufgefallen. Hat das was zu sagen?

Gruss, Rolfie

[boco]

Wegen "Telemetrie". Die Windows 10 Telemetrie (DiagTrack) wird mit jedem "Security and Quality Rollup" auf Windows 7 und Windows 8.1 nachgerüstet. Wer also mindestens ein SQ Rollup installiert hat, hat den Spaß mit Sicherheit schon auf dem Rechner, da der Telemetrie-Client enthalten ist.

1.) Neuere Updates machen oft alte obsolet ("superseded"), das wird in WU registriert. Oft gibt es lange Ketten von solchen Beziehungen ("supersedance chains"). Wird nun durch einen Bug (oft in der Updatebereinigung) ein Glied dieser Kette gelöscht, weiß WU nicht mehr, daß das alte Update bereits ersetzt wurde, und bietet es wieder an. Wichtig zu wissen ist, daß eine Installation dieses alten Updates keine neueren Komponenten überschreibt. Es registriert lediglich erneut die Informationen und stellt damit die Kette wieder her. Deshalb wurde auch teilweise "Service Pack 1" mit ein paar KB Größe auf vielen Systemen wieder angeboten.

2.) Die .NET Rollups werden in der Regel unter einer einzigen KB-Nummer geführt und haben alle Versionen zusammengefaßt. Die Download-Pakete können dann schon wieder ganz anders heißen. Das führt teilweise zu absurden Situationen (WSUSOU will ein Update KBxxxxxxx laden, aber der Download heißt gar nicht so). Wie man das persönlich hält, ist jedem selbst überlassen (mir ist noch kein Fall von Telemetrie in .NET bekannt). WSUSOU folgt bei .NET dem selben Weg wie bei Windows. Wenn seconly aktiv ist, werden nur seconly Windows und seconly .NET Updates geladen und installiert.

Wegen der anderen Schreibweise: Nö. Die Update Geschichten werden von Menschen erstellt. Vielen Menschen. Diskrepanzen können vorkommen und tun es. Täglich. Keine Sorge.

[Joe]

Wegen "Telemetrie". Die Windows 10 Telemetrie (DiagTrack) wird mit jedem "Security and Quality Rollup" auf Windows 7 und Windows 8.1 nachgerüstet. Wer also mindestens ein SQ Rollup installiert hat, hat den Spaß mit Sicherheit schon auf dem Rechner, da der Telemetrie-Client enthalten ist.

Gibt es eigentlich schon Malware-Scanner mit fertigen Signaturen für sowas?

[boco]

Nein, nicht daß ich wüßte. Nicht nur, daß so ein Scanner dann nahezu überall anschlagen würde, sondern MS hat auch mit Sicherheit die Anti-Malware-Firmen geschmiert.

Allerdings reicht es eigentlich, den DiagTrack-Dienst und dessen Einträge im Taskplaner zu beenden und zu löschen (oder abzuschalten). Bei Bedarf wiederholen (Patchday).


Bester Weg: WOU mit Security-only Packs nutzen und WU links (oder rechts) liegen lassen.