Como integrar atualizações de segurança na imagem do Windows (ISO/WIM)

Para garantir que a imagem do Windows implantada nos computadores da sua rede sempre tenha as atualizações de segurança mais recentes, você pode adicionar novos pacotes de atualização à imagem de instalação offline do Windows usando DISM. Neste guia, mostrarei como injetar patches de segurança na imagem de instalação ISO/WIM do Windows 11/10 e do Windows Server 2022/2019/2016.

Conteúdo:

• Como adicionar atualizações do Windows a uma imagem offline?
• Montando arquivo de imagem do Windows (WIM) com DISM
• DISM: Adicionando atualizações MSU e CAB à imagem WIM do Windows

Neste exemplo, mostraremos como integrar a atualização de segurança cumulativa mais recente (abril de 2023) para uma imagem de instalação do Windows 11 22H2. Vamos adicionar a atualização cumulativaKB5025239para a imagem. O suporte nativo para a solução de senha de administrador local (Windows LAPS) foi adicionado ao Windows 11 com a atualização KB5025239.

Como adicionar atualizações do Windows a uma imagem offline?

Você precisará dos seguintes arquivos:

• A imagem de instalação do Windows em formato ISO ou seu arquivo install.WIM;
• Um arquivo de atualização .MSU que pode ser baixado do Catálogo do Microsoft Update (Como baixar manualmente os arquivos do Windows Update?). Basta baixar a atualização cumulativa mais recente para sua versão do Windows e Service Stack Update (SSU).

Verifique se o número de bits e a versão da sua distribuição do Windows correspondem às atualizações que você baixou. Caso contrário, você verá a seguinte mensagem ao instalar a atualização: “A atualização não se aplica ao seu computador”.

Crie a seguinte estrutura de diretórios em seu computador:

• C: atualizações– é a pasta onde montaremos o arquivo install.wim contendo a imagem de instalação do Windows;
• C: atualizaçõesmsu– é o diretório para o qual você precisa copiar os arquivos de atualização para sua versão do Windows no formato MSU;
• C: atualizaçõesWinImage– copie o arquivo install.wim (ou install.esd) doFontesdiretório da imagem de instalação do Windows 11 22H2 neste diretório. Você também pode copiar a imagem WIM de um servidor WDS, MDT, SCCM ou qualquer outra ferramenta de implantação de sistema operacional usada para instalar o Windows usando inicialização de rede PXE.
  

Montando arquivo de imagem do Windows (WIM) com DISM

As imagens ISO de instalação moderna do Windows criadas com a ferramenta de criação de mídia usam o formato compactado ESD em vez do arquivo WIM. Você não pode modificar diretamente uma imagem do Windows no formato ESD. Portanto, você deve primeiro converter o arquivo ESD para o formato WIM usando a ferramenta DISM.

Monte a imagem ISO em uma unidade virtual:

Mount-DiskImage –ImagePath "C:DIstrisoWindows1122h2.iso"

Liste as edições do Windows no arquivo de imagem ESD/WIM:

DISM /Get-WimInfo /WimFile:"E:sourcesinstall.esd"

Neste exemplo, exportaremos apenas um arquivo WIM do Windows 11 Pro Edition da imagem ESD (seu índice é6, então vamos especificar/SourceIndex:6no próximo comando):

dism /export-image /SourceImageFile:"E:sourcesinstall.esd" /SourceIndex:6 /DestinationImageFile:C:UpdatesWInImagewin11pro.wim /Compress:max /CheckIntegrity

Monte o arquivo install.wim que contém a imagem de instalação do Windows no diretório C:updatesmnt usando DISM:

dism /mount-wim /wimfile:C:UpdatesWinImagewin11pro.wim /index:1 /mountdir:C:updatesmnt

Dica.Neste caso, especificamos/index:1porque a imagem WIM contém apenas uma edição do Windows 11 Pro. Se sua imagem WIM contiver diversas edições do Windows, você deverá especificar o índice da edição necessária ou executar a integração de atualização em cada edição por vez.

DISM: Adicionando atualizações MSU e CAB à imagem WIM do Windows

Agora você pode iniciar o processo de integração das atualizações MSU adequadas do diretório de origem especificado em sua imagem offline do Windows.

dism /image:C:updatesmnt /add-package /packagepath:C:updatesmsu

Mais leitura:Plano de continuidade de negócios de segurança cibernética: como integrar um BCP e mitigar riscos

Se o DISM detectar uma atualização errada (não corresponde à versão do sistema operacional, ao número de bits ou se a atualização já estiver instalada), ele irá ignorá-la e gravar as informações emC:WindowsLogsDISMdism.log.

Se não quiser baixar manualmente os arquivos de atualização do MSU do Microsoft Update, você pode usar um computador de referência com a mesma versão do Windows que já possui as atualizações de segurança mais recentes instaladas como fonte e obter todos os arquivos de atualização necessários diretamente dele. O Windows salva todos os patches (arquivos CAB) que recebe dos servidores Windows Update ou do servidor WSUS noC:WindowsSoftwareDistributionDownloaddiretório.

O comando a seguir inicia a integração dos arquivos de atualização que já foram baixados e instalados no computador remoto (chamado PC1234) na imagem install.wim:

Start /w for /R \PC1234C$WindowsSoftwareDistributionDownload %f in (*.cab) do dism /image:C:updatesmnt /add-package /packagepath:"%f"

Aprenda como instalar manualmente atualizações do Windows a partir de arquivos CAB e MSU.

Neste exemplo, acessaremos o diretório de atualização no computador remoto através do compartilhamento administrativo C$. Uma janela aparecerá permitindo que você acompanhe o processo de instalação da atualização para uma imagem offline do Windows. O DISM tentará adicionar todos os arquivos CAB encontrados no computador remoto à imagem WIM do Windows.

Você pode reduzir o tamanho da imagem WIM excluindo arquivos de atualização não utilizados (leia o artigo Limpeza da pasta WinSxS no Windows). Execute o comando:

dism /image:C:updatesmnt /Cleanup-Image /StartComponentCleanup /ResetBase /ScratchDir:C:Temp

A última etapa é salvar as alterações e desmontar a imagem WIM do Windows.

dism /unmount-wim /mountdir:C:updatesmnt /commit
dism /Cleanup-Wim

Depois que as atualizações forem instaladas, você poderá verificar se elas foram integradas com êxito à imagem do Windows. Liste as atualizações que foram instaladas hoje em uma imagem WIM do Windows montada

DISM /Image:C:updatesmnt /Get-Packages /format:table | select-string "4/20/2023"

Você também pode visualizar uma lista de atualizações instaladas em uma imagem WIM offline:

Dism /image:C:UpdatesWinImagewin11pro.wim /Get-Packages

Se o arquivo install.wim resultante for maior que 4 GB, você não poderá usá-lo para instalar o Windows em uma máquina baseada em UEFI. Na verdade, para instalar o Windows em um dispositivo UEFI, você deve formatar sua mídia de instalação em FAT32. Arquivos maiores que 4 GB não são suportados pelo sistema de arquivos FAT32 (Como criar uma unidade flash USB inicializável UEFI para instalar o Windows?).

Nesse caso, você deve dividir o install.wim original em arquivos SWM menores:

dism /split-Image /imagefile:C:UpdateWinmageinstall.wim /swmfile:C:UpdateWinImageinstall.swm /filesize:4096

Tudo o que resta é copiar a imagem install.wim resultante (ou arquivos SWM) para o diretório de origem em sua mídia ou para uma máquina virtual, ou reconstruir a imagem ISO de instalação usando ferramentas como oscdimg/UltraISO/Dism++.

Um exemplo de comando para criar uma imagem ISO de instalação do Windows com suporte a UEFI e BIOS a partir de uma pasta local (oscdimg.exe faz parte do Windows ADK, Assessment and Development Kit):

oscdimg.exe -h -m -o -u2 -udfver102 -bootdata:2#p0,e,bc:win11isobootetfsboot.com#pEF,e,bc:win11isoefimicrosoftbootefisys.bin -lWin10 c:iso c:win11.iso

O DISM também pode ser usado para adicionar drivers à imagem de instalação do Windows. Por exemplo, você pode injetar drivers de controlador PCI Express (NVMe) ou USB 3.0 na mídia de instalação do Windows.