Software Patch Management met Intune en Patch My PC Cloud

Waarom Windows-updates alleen niet voldoende zijn

defender

Wanneer organisaties spreken over patchmanagement gaat het vaak direct over Windows Updates.

Dat is logisch. Windows vormt immers de basis van vrijwel iedere werkplek.

Maar hier ontstaat tegelijkertijd een veelvoorkomende misvatting.

De meeste kwetsbaarheden bevinden zich tegenwoordig niet in Windows zelf.

Ze bevinden zich juist in applicaties zoals:

  • Google Chrome
  • Mozilla Firefox
  • Adobe Acrobat Reader
  • Zoom
  • Notepad++
  • 7-Zip
  • Microsoft Visual C++ Redistributables
  • Java
  • VLC Media Player

Wanneer deze applicaties niet tijdig worden bijgewerkt ontstaan beveiligingsrisico’s die vaak groter zijn dan een ontbrekende Windows-update.

Tijdens security assessments zie ik regelmatig organisaties die Windows volledig up-to-date hebben, terwijl tientallen applicaties maanden achterlopen.

Daarom is software patchmanagement minstens zo belangrijk als het beheer van Windows Updates.


De uitdaging van third-party applicaties

Windows Updates worden tegenwoordig relatief eenvoudig beheerd via:

  • Windows Update for Business
  • Windows Autopatch
  • Microsoft Intune

Maar third-party applicaties vormen een ander verhaal.

Veel organisaties zijn nog afhankelijk van:

  • Handmatige updates
  • Zelfgeschreven scripts
  • Configuratiebeheer via SCCM
  • Gebruikers die zelf moeten updaten

Dat levert verschillende problemen op:

Gebrek aan overzicht

Welke applicaties zijn geïnstalleerd?

Welke versies zijn aanwezig?

Welke apparaten lopen achter?


Hoge beheerlast

Iedere applicatie vereist:

  • Detectieregels
  • Installatiebestanden
  • Testwerkzaamheden
  • Deployments

Verhoogd beveiligingsrisico

Hoe langer software niet wordt bijgewerkt, hoe groter het aanvalsoppervlak wordt.

Juist daarom is geautomatiseerd software patchmanagement belangrijk.


Wat is Patch My PC Cloud?

Patch My PC Cloud is een cloud-native oplossing voor third-party patchmanagement die volledig integreert met Microsoft Intune.

Het platform automatiseert:

  • Applicatie-installaties
  • Applicatie-updates
  • Applicatieverwijderingen
  • Vulnerability remediation

zonder dat beheerders zelf packages hoeven te bouwen.

In plaats daarvan onderhoudt Patch My PC een centrale catalogus met honderden veelgebruikte applicaties.

Wanneer een leverancier een nieuwe versie publiceert zorgt Patch My PC automatisch voor:

  • Nieuwe installatiebestanden
  • Nieuwe Intune packages
  • Nieuwe detectieregels
  • Nieuwe deployment updates

Hierdoor hoeft de beheerder zich niet meer bezig te houden met het pakketbeheer zelf.


Waarom Patch My PC Cloud?

Persoonlijk zie ik Patch My PC als een van de meest waardevolle uitbreidingen op Microsoft Intune.

Microsoft beheert uitstekend:

  • Windows Updates
  • Feature Updates
  • Driver Updates

Maar third-party patching blijft grotendeels buiten scope.

Patch My PC vult precies dat gat op.


Hoe werkt Patch My PC Cloud?

De werking is relatief eenvoudig.

Stap 1 – Koppel Intune

Patch My PC krijgt toegang tot je Intune-omgeving via Microsoft Graph.

Hierdoor kan het platform:

  • Applicaties publiceren
  • Applicaties updaten
  • Assignments beheren

Stap 2 – Selecteer applicaties

Vervolgens kies je welke applicaties je wilt beheren.

Bijvoorbeeld:

  • Google Chrome
  • Mozilla Firefox
  • Adobe Reader
  • Zoom
  • Notepad++
  • 7-Zip
  • WinSCP

Stap 3 – Configureer deployment rings

Net zoals bij Windows Autopatch kun je werken met verschillende fasen:

  • Test
  • Pilot
  • Productie

Nieuwe applicatie-updates worden eerst uitgerold naar testgebruikers.

Pas daarna volgt de rest van de organisatie.


Stap 4 – Automatische updates

Zodra een leverancier een update uitbrengt:

  1. Patch My PC detecteert de release.
  2. Een nieuw Intune pakket wordt gebouwd.
  3. De update wordt gepubliceerd.
  4. Intune verzorgt de uitrol.

Volledig geautomatiseerd.


Welke applicaties worden ondersteund?

Een van de grootste voordelen van Patch My PC is de omvang van de catalogus.

Ondersteunde applicaties zijn onder andere:

Browsers

  • Google Chrome
  • Mozilla Firefox
  • Microsoft Edge
  • Brave Browser

PDF Software

  • Adobe Acrobat Reader
  • Foxit PDF Reader

Communicatie

  • Zoom
  • Cisco Webex
  • Slack
  • TeamViewer

Development

  • Visual Studio Code
  • Git
  • Node.js
  • Python

Utilities

  • 7-Zip
  • Notepad++
  • WinSCP
  • FileZilla

En honderden andere applicaties.

Daardoor hoeft vrijwel nooit meer handmatig software verpakt te worden.


Integratie met Microsoft Intune

Patch My PC werkt volledig binnen de bestaande Intune-architectuur.

Dat betekent dat je kunt blijven werken met:

  • Device Groups
  • User Groups
  • Filters
  • Assignments
  • Reporting

Voor gebruikers verandert er vrijwel niets.

Updates worden geleverd via dezelfde Intune Management Extension die ook andere Win32-applicaties beheert.


Integratie met Windows Autopatch

Een interessante combinatie ontstaat wanneer je Windows Autopatch combineert met Patch My PC.

Windows Autopatch verzorgt:

  • Windows Updates
  • Feature Updates
  • Driver Updates

Patch My PC verzorgt:

  • Chrome Updates
  • Adobe Updates
  • Zoom Updates
  • Overige third-party software

Samen ontstaat een vrijwel volledig geautomatiseerd patchmanagementplatform.


Integratie met Microsoft Defender for Endpoint

Hier wordt het pas echt interessant.

Defender Vulnerability Management detecteert bijvoorbeeld:

Google Chrome is 3 versies achter.

Of:

Adobe Reader bevat een kritieke kwetsbaarheid.

Patch My PC kan vervolgens zorgen voor de daadwerkelijke update.

Hierdoor ontstaat een gesloten beveiligingsketen:

  1. Defender detecteert het risico.
  2. Patch My PC publiceert de update.
  3. Intune installeert de update.
  4. Defender valideert de oplossing.

Dit sluit perfect aan op een Zero Trust-strategie.


Cloud versus On-Premises

Patch My PC biedt tegenwoordig twee benaderingen:

Publisher (traditioneel)

Gebaseerd op:

  • Configuration Manager
  • WSUS
  • On-premises infrastructuur

Cloud

Gebaseerd op:

  • Microsoft Intune
  • Microsoft Graph
  • Cloud-native beheer

Voor organisaties die volledig richting Intune bewegen heeft de Cloud-variant mijn duidelijke voorkeur.

Minder infrastructuur.

Minder onderhoud.

Meer automatisering.


Mijn aanbevolen aanpak

Wanneer ik vandaag een nieuwe Intune-omgeving zou implementeren, zou mijn patchstrategie er ongeveer als volgt uitzien:

Windows Updates

Via:

  • Windows Autopatch

Microsoft 365 Apps

Via:

  • Microsoft 365 Apps Update Channels

Third-Party Software

Via:

  • Patch My PC Cloud

Kwetsbaarheidsbeheer

Via:

  • Microsoft Defender Vulnerability Management

Toegangscontrole

Via:

  • Device Compliance Policies
  • Conditional Access

Samen vormen deze onderdelen een volwassen modern endpointmanagementplatform.


Veelgemaakte fouten

Alleen Windows patchen

Een volledig bijgewerkt Windows-systeem met een kwetsbare browser blijft een risico.


Geen testgroep gebruiken

Ook applicatie-updates kunnen problemen veroorzaken.

Gebruik altijd een pilotgroep.


Handmatig software verpakken

Dit kost veel tijd en is vaak foutgevoelig.


Geen koppeling met Defender

Daardoor ontbreekt inzicht in welke applicaties daadwerkelijk risico vormen.


Geen rapportages controleren

Automatisering betekent niet dat monitoring overbodig wordt.


Mijn visie

Patchmanagement verandert snel.

Waar organisaties vroeger afhankelijk waren van:

  • WSUS
  • SCCM
  • Handmatige softwaredeployments

verschuift het beheer steeds verder richting cloud-native oplossingen.

Windows Autopatch automatiseert Windows.

Patch My PC automatiseert third-party software.

Defender valideert de beveiliging.

Intune verzorgt de distributie.

Samen ontstaat een modern platform waarin patchmanagement grotendeels geautomatiseerd verloopt zonder dat beheerders de controle verliezen.

Dat is precies waar modern endpointbeheer om draait.


Conclusie

Windows Updates alleen zijn niet voldoende om een moderne werkplek veilig te houden.

Juist third-party applicaties vormen tegenwoordig een van de grootste aanvalsvectoren binnen organisaties.

Patch My PC Cloud biedt een elegante oplossing door softwarepatching volledig te integreren binnen Microsoft Intune. In combinatie met Windows Autopatch, Microsoft Defender for Endpoint en Conditional Access ontstaat een krachtig beveiligingsmodel waarin updates grotendeels automatisch worden beheerd.

Minder handmatig werk.

Minder kwetsbaarheden.

Meer controle.

RootNotes – terug naar de kern van IT.

Reacties