Patch-Manager für Windows mit Offline-Update-Spiegel und Schwachstellenbericht

Es gibt ein kleines Netzwerk mit 25-40 Windows 10/11 Pro-PCs ohne Domäne, einige Maschinen arbeiten periodisch ohne Internet. Derzeit werden Updates manuell angewendet und es gibt kein klares Bild über den Umfang der Patches und verbleibenden CVEs. Es ist eine vorgefertigte Windows-Desktopanwendung erforderlich, die es einem PC-Administrator ermöglicht, den Bestand und die Installation von Updates über einen lokalen Offline-Spiegel zu verwalten.

Technische Umgebung und Einschränkungen
- Es gibt keine Serverinfrastruktur, die Installation auf Clients ist nur als kleiner Windows-Dienstagent erlaubt.
- Windows 11-Verwaltungs-PC, Windows 10/11-Clients. Zugriff über lokales Netzwerk, manchmal nur über USB.
– SCCM/Intune und andere schwere Unternehmensplattformen können nicht verwendet werden. Es ist erlaubt, die offizielle Windows-API, WU-API, PowerShell, DISM, BITS, SQLite zu verwenden.
- Das Ergebnis sollte schlüsselfertig sein – Installationsprogramm, Startdokumentation und Quellcode.

Was genau soll das Programm tun?
1) Administratorkonsole (Desktop-GUI) mit lokaler Datenbank (SQLite) – Liste der PCs, deren Status, letzter Kontakt, Betriebssystemversion, Build, Liste der installierten KB, Neustartstatus.
2) Das Modul zum Erstellen eines lokalen Update-Repositorys – Herunterladen ausgewählter KB/SSU/LCU aus dem Microsoft Update-Katalog gemäß der Liste, Speichern in der Ordnerstruktur, Überprüfen von Hashes, Versionskontrolle.
3) Liefermodus aktualisieren
- Im Netzwerk – der Agent empfängt die Aufgabe, ruft Dateien aus der Repository-Ebene (SMB/HTTP lokal) ab, installiert das Update stillschweigend und erstellt ein Protokoll.
- Offline – Erstellen eines Pakets auf einem USB-Stick für einen bestimmten PC oder eine bestimmte Gruppe. Nach der Ausführung auf dem PC installiert der Agent den Bericht und exportiert ihn dann zurück auf den USB-Stick, um ihn in die Konsole zu importieren.
4) Melde- und Zulassungskriterien
– Export in CSV/JSON-Bericht: PC – neueste KB – fehlende KB in der Repository-Liste – Neustartstatus.
- Richtlinie „Mindestniveau an Patches“ – eine Liste der obligatorischen KBs wird angegeben; Das Programm berechnet den Prozentsatz der Einhaltung für den Park.
5) Protokolle und Diagnose
- Sammlung von Installationsprotokollen (WindowsUpdate.log, CBS, eigene Agentenprotokolle), Bindung an eine Aufgabe, minimale Anzeige in der Konsole.

Ein konkretes Ergebnis
- Sofort einsatzbereit: Konsoleninstallationsprogramm (MSI oder EXE) und eigenständiges Agenteninstallationsprogramm.
– Ein Update-Repository, das auf ein anderes Laufwerk/einen anderen PC verschoben werden kann, ohne dass Metadaten verloren gehen.
- Anleitung auf Ukrainisch: Installation, typische Szenarien, Wiederherstellung nach Fehlern.

Messbare Akzeptanzkriterien
- Auf einem Prüfstand mit 5 PCs inventarisiert das Programm die installierten KBs korrekt und zeigt die Differenz zum Repository mit nicht mehr als 1 Fehler pro 100 Datensätze an.
- Offline-Szenario: USB-Paketgenerierung, Installation auf 2 PCs ohne Internet, Berichtsimport – sollte den Aufgabenstatus schließen und die tatsächliche KB anzeigen.
- Netzwerkinstallation: Die Aufgabe auf 3 PCs parallel ausführen, den Fortschritt überwachen, Protokolle speichern, keine UI-Hänge.
- Wiederherstellung: Durch einen Neustart des Agenten/der Konsole wird die Aufgabenwarteschlange nicht unterbrochen, nicht abgeschlossene Aufgaben werden korrekt markiert.

Die Umsetzungsschritte stehen noch aus
- Kurze Analyse und Design (DB-Format, Konsole-Agent-Interaktionsprotokoll, Offline-Paketformat).
- Implementierung von Agent und Konsole, Montage von Installern.
- Prüfstandstests, Korrekturen, Abschlussdokumentation.

Bevorzugte Technologie: .NET 8 (WPF oder WinUI 3) für die Konsole, Windows Service + .NET für den Agenten. Wenn es bessere Argumente für einen anderen Stack gibt, können Sie diesen anbieten, jedoch ohne Abhängigkeit von Cloud-Diensten.