如何将客户端与主要更新服务器之间的通信强制使用 HTTPS 协议？

Question

入侵 WSUS 服务器让攻击者可以传播恶意补丁，以作为内置身份系统在 WSUS 客户端上运行。利用 WSUS 漏洞时会出现两种主要情形：

Man-in-the-Middle在 WSUS 服务器与客户端之间发起 (MitM) 攻击；

直接入侵 WSUS 服务器。

必须使用HTTPS协议吗？

Answer 1

您好，

通过强制使用 HTTPS，可以加密通信，从而保护数据的完整性和机密性。

以下是强制使用 HTTPS 的步骤：

1. 获取和安装 SSL 证书：

   - 首先，您需要从受信任的证书颁发机构 (CA) 获取一个 SSL 证书，并将其安装在 WSUS 服务器上。可以是公开的 CA 证书，也可以是您组织内部 CA 签发的证书。

2. 配置 IIS（Internet 信息服务）以支持 HTTPS：

   - 在 WSUS 服务器上，打开 IIS 管理器。

   - 选择 WSUS 网站（默认情况下是 "WSUS Administration"）。

   - 在右侧操作面板中选择 “绑定” (Bindings)，然后添加一个 https 绑定，并选择您的 SSL 证书。

3. 配置组策略：

   - 打开“组策略管理控制台”。

   - 导航到计算机配置 -> 管理模板 -> Windows 组件 -> Windows 更新。

   - 找到并编辑“指定Intranet Microsoft 更新服务位置”策略，使用https URL来指定WSUS服务器的位置（如https://wsus_server:8531）。

4. 验证配置：

• 在客户端运行gpupdate /force以强制组策略更新。
• 检查客户端和WSUS服务器上的Windows更新日志文件，确保通信通过HTTPS进行。

---

如果答案有帮助，请点击“接受答案”并点赞。