Патч-менеджер для Windows с офлайн-зеркалом обновлений и отчетностью по уязвимости

Есть небольшая сеть из 25-40 Windows 10/11 Pro ПК без домена, часть машин периодически работает без интернета. Сейчас обновления относятся вручную, и нет понятной картины по уровню патчей и остаточным CVE. Требуется готовая десктоп-программа под Windows, которая позволит с одного ПК-администратора управлять инвентаризацией и установкой обновлений через локальное офлайн-зеркало.

Техническая среда и ограничение
- Серверной инфраструктуры нет, установка на клиенты допускается только как небольшой агент-служба Windows.
– Админский ПК Windows 11, клиенты Windows 10/11. Доступ по локальной сети, иногда только через USB-носитель.
- Нельзя использовать SCCM/Intune и другие тяжелые корпоративные платформы. Разрешено использовать официальные Windows API, WU API, PowerShell, DISM, BITS, SQLite.
- Результат должен быть под ключ - установщик, документация запуска и исходный код.

Что именно должно делать программа
1) Консоль администратора (desktop GUI) с локальной БД (SQLite) – список ПК, их состояние, последний контакт, версия ОС, build, перечень установленных KB, статус перезагрузки.
2) Модуль создания локального репозитория обновлений – загрузка выбранных KB/SSU/LCU из Microsoft Update Catalog по списку, хранение в структуре папок, проверка хешей, контроль версий.
3) Режим доставки обновлений
- по сети – агент получает задание, тянет файлы из слоя репозитория (SMB/HTTP локально), ставит обновление тихо, отдает лог.
- Оффлайн – формирование пакета на USB для конкретного ПК или группы, после запуска на ПК агент устанавливает, а затем экспортирует отчет обратно на USB для импорта в консоль.
4) Отчетность и критерии соответствия
- Экспорт в CSV/JSON отчета: ПК – последние KB – отсутствуют KB из списка репозитория – состояние перезагрузки.
- Политика "минимальный уровень патчей" - задается список обязательных KB; программа считает % соответствия по парку.
5) Логи и диагностика
- сбор логов установки (WindowsUpdate.log, CBS, собственные логи агента), привязка к задаче, минимальный просмотр в консоли.

Конкретный результат
- Готовая программа: установщик для консоли (MSI или EXE) и отдельный установщик агента.
- Репозиторий обновления, который можно перенести на другой диск/ПК без потери метаданных.
- Инструкция на украинском: установка, типовые сценарии, восстановление после ошибок.

Измеряемые критерии приемки
- на тестовом стенде из 5 ПК программа корректно инвентаризирует установленные KB и показывает разницу с репозиторием не более чем с 1 ошибкой на 100 записей.
- Офлайн-сценарий: формирование USB-пакета, установка на 2 ПК без интернета, импорт отчета – должно закрывать статус задач и отображать фактические KB.
- Сетевая установка: запуск задачи на 3 ПК параллельно, контроль прогресса, сохранение логов, отсутствие зависаний UI.
- Восстановление: перезапуск агента/консоли не ломает очередь задач, незавершенные задачи корректно сказываются.

Этапы исполнения ожидаются
- краткий анализ и дизайн (формат БД, протокол взаимодействия консоль-агент, офлайн-формат пакетов).
- реализация агента и консоли, сборка инсталляторов.
- тестирование на стенде, исправление, финальная документация.

Желательная технология: .NET 8 (WPF или WinUI 3) для консоли, Windows Service + .NET для агента. Если есть лучшие доводы под другой стек, можно предложить, но без зависимости от облачных сервисов.