2016年10月以降のMicrosoft定例パッチについて 個人的まとめ
Microsoft Technet Blog に掲載されたこの文書
"2016 年 10 月からのロールアップ リリースに伴う WSUS 運用の注意点"
https://blogs.technet.microsoft.com/jpwsus/2016/10/10/wsus_rollup_start/
非常に重要な文書なのですが、当初これを読んでも意味がさっぱり分かりませんでした（私だけ？）。
いろいろ調べた結果ですが、いきなり結論から書くとこうなります。
「セキュリティのみの品質更新プログラムはWindows(Microsoft)Updateからは適用できず、パッチを手動で取得して実行するか、資産管理ソフト等の機能を使って配布する必要がある。」
じゃあ、WindowsUpdate って役に立たないのかというと、セキュリティマンスリー品質ロールアップを提供してくれます。
ここでは略して「セキュリティのみパッチ」と「マンスリーロールアップ」と書くことにしますが、マンスリーロールアップにはセキュリティ修正以外のパッチが含まれるということ以上に、システム管理者にとって一番重要な違いは、パッチの累積度合いです。
セキュリティのみパッチは、当月に修正されるパッチは累積しているが前月までのパッチは累積しません。マンスリーロールアップは2016年10月以降前月までのパッチも累積しています。
★リリースポリシー変更前のパッチは累積されていないことにも注意★
これにより、適用ポリシーによって使い分けが大事になってきます。
SCCM 等の資産管理ソフトによりインベントリ管理をしながら大量のクライアントに毎月パッチを適用するのであればセキュリティのみ更新がおすすめで（ネットワーク帯域も節約できますし）、必ずしも毎月パッチを適用するわけではないイントラサーバなどではWindowsUpdate でマンスリー品質ロールアップ適用がおすすめということになります。
では、WSUS や SCCM の管理コンソールから見たこれらの違いはどうなのでしょうか。
WSUSもカタログファイルの情報としてはセキュリティのみ更新の情報を提供しています。しかし、WindowsUpdateクライアントでWSUSを参照しても
セキュリティのみ更新は取得できません（仕様です）。
SCCMの管理コンソールから、ミドルウェアとして内蔵しているWSUSの情報を参照すると
このようにどちらの形のパッチもカタログ上に存在します。セキュリティのみパッチの配信テストもしてみましたが、SCCMを使っているとファイルを画面上でダウンロードでき、特に手でパッチの実体を引っ張ってくる必要もなく配布できました。
↓パッチの実行結果
すでに書いたとおり、SCCM等でセキュリティのみパッチを配信する場合、インベントリ情報を確認して過去のパッチが歯抜けになっていないか必須カウントを見ながら適切に対処することが求められます。
セキュリティのみ更新のもう１つの入手方法は Microsoft Update カタログです。
http://www.catalog.update.microsoft.com/
ここからパッチの個別取得が可能です。
検索フォームにKB番号などを入れて検索します。たとえば5月のセキュリティのみ更新であるKB4019263で検索すると
このようにプラットフォームごとのパッチが取得可能になっています。個別に毎月パッチを行うのであればこちらから取得すればよいということになります。
なお他のOSは別のKB番号が割り当てられています。月例パッチでのKB番号の割り当てと修正点については Technet blog 日本のセキュリティチーム が公開している記事が最も分かりやすいと思います。
https://blogs.technet.microsoft.com/jpsecurity/
最後にMBSAについて。
原稿執筆時点でMBSAの最新版は2.3 です。
これまではあまり意識する必要のなかった詳細オプションの設定が重要になってきます。
一番上の選択は、当該WSUSサーバにある（正確にはWSUSサーバで承認されている）パッチから該当Windowsマシンに必要なパッチを表示します。
SCCMクライアントで実行するとデフォルトでSCCMの同期ポイントへアクセスに行きますが、通常同期ポイントのWSUSはパッチ配信の自動承認設定が入っていないため（というか、意図せず入れてはいけません）、必要パッチがからっぽという残念な結果になりますが、これは今回のパッチリリースポリシーの変更とは関係なく、これまでどおりの動きです。
試験をするのであればSCCMクライアントでないPCでローカルポリシーを入れて適切なWSUSサーバを指定するのがよいでしょう。
そうすればSCCMコンソールでお見せしたように、セキュリティのみパッチとマンスリーロールアップパッチどちらも未適用と検出されるであろうことが確かめられます。
2番目の選択肢は会話的にWindowsUpdateを行ったときと同じ結果が得られるはずで、セキュリティのみパッチは表示されないというのが正しい結果です。
この違いが分かれば、WSUSサーバそのものの試験や、わけあってWSUSのカタログファイルをオフライン取得＋インポートするようなケース以外に3番目を使うことはほぼないと思われます。
余談：
分かる人にはわかると思いますが、執拗なほどにWSUS管理コンソールを操作することを避けています。これはWSUS管理コンソールは多数の製品のカタログを取るよう設定するとすぐ応答なしになって切断され使い物にならないからです。
DBの最適化をしても直らないこいつの話はまた機会がありましたら。