В данной статье я хочу рассмотреть случай, когда Windows 7, да и более ранние версии, требуются разработчику для качественного решения своих рабочих обязанностей. Не секрет, что в корпоративном секторе доля Windows 7 все еще очень велика, а так как компания Microsoft продлила ее расширенную поддержку до 2023 года, в ближайшее время вряд ли что-то кардинально изменится. И это не говоря о том, что встречаются и совсем древние системы с Server 2003 и 2008, на которых работает какое-то старое, но крайне нужное ПО, портировать которое никто не берется исходя из принципа «работает – не трогай». Однако, обновить Вашу «устаревшую» операционную систему можно гораздо быстрее и проще, чем кажется.
В момент, когда требуется протестировать новые разработки или дополнить функционал уже имеющихся, остро встает вопрос установки тестовых операционных систем для проверки работоспособности, проводить которую на реальных рабочих системах не самая лучшая идея. И тут выясняется, что даже при наличии рабочего образа либо установочного диска, Windows 7 SP 1 образца 2011 года – это далеко не то же самое, что Windows 7 на рабочих машинах пользователей, получивших сотни обновлений безопасности и стабильности за последнее десятилетие.
В случае, когда Вы пытаетесь установить обновления штатными средствами на какой-нибудь Windows Server 2008 или Windows 7 SP1, то обнаруживаете, что система обновления не работает и производит бесконечный поиск обновлений. Многие знают, что это происходит, в том числе, из-за устаревшего сервисного стека ОС.
Рассмотрим способ максимально просто и в кратчайшие сроки полностью обновить Windows 7 до текущего состояния, в том числе, опционально, без подключения виртуальной машины к интернету, все действия аналогичны и для Windows Server 2008 R2 SP1, Datacenter и Enterprise. Нам потребуется чистая установка Windows 7 SP1 соответствующей разрядности, произведенная с образа с MSDN либо установочного DVD на вашу любимую систему виртуализации или реальную машину. Ввод ключа и активацию на данном этапе можно пропустить и выполнить позднее.
Для тех, кто не имеет в загашниках официального образа и пользуется файлообменниками для их скачивания, не забудьте сверить контрольную сумму файла с доступными для данного образа на сайте Microsoft, сделать это можно с помощью триальной версии Total Commander, например.
После успешной установки самой ОС нам потребуется скачать с сайта microsoft.com всего три обновления для ОС соответствующей разрядности. Первым нам потребуется KB3177467 Servicing stack update for Windows 7 SP1 and Windows Server 2008 R2 SP1 – обновление сервисного стека за октябрь 2018 года. После установки SSU требуется установить накопительный пакет обновлений KB3125574 и перезагрузиться. В случае неудачной установки, возможно, потребуется предварительная установка KB3020369.
Завершающим этапом является установка ежемесячного накопительного пакета, текущая версия которого KB4462923 доступна по ссылке. В будущем, последняя версия накопительного обновления находится в поисковике с помощью запроса monthly rollup update windows 7 november, где november – месяц выхода пакета обновлений. Новый пакет бывает доступен в Европе начиная со второй среды каждого месяца, установка предыдущих пакетов, в принципе, не требуется.
Таким образом, после установки указанных трех обновлений, Windows 7 полностью обновлена с учетом всех исправлений стабильности и безопасности на текущий момент. Все действия, кроме предварительного скачивания пакетов обновлений, можно делать без подключения к интернету. Причем, обновление сервисного стека позволит получать новые обновления через Windows Update быстро и без проблем. Необходимо учитывать, что обновления для другого ПО Microsoft, например, Office и Dot NET Framework производится отдельно.
В качестве небольшой доли паранойи. Если найти в строке поиска Программу улучшения качества ПО Windows, то я предпочитаю отключать данный пункт, так как Microsoft не планирует в дальнейшем развивать Windows 7. Наверно, поэтому стоит удалить и сервис diagtrack.
Спасибо за внимание.
Комментарии (158)
leR12
16.11.2018 20:16-3стоит 7 на всех 6 машинах дома. автообновление отключено после установки системы раз и навсегда. файл hosts — пуст.
Gemorroj
16.11.2018 23:37+16ну и балбес
ExtenZ
17.11.2018 08:04-6главное заповедь инжинера:
Работает — не трожь
антивирь нормальный надо и все, я не понимяю зачем все эти обновления?feyd12 Автор
17.11.2018 08:50+9Почитайте что-нибудь по информационной безопасности для развития кругозора, поймете))
ExtenZ
17.11.2018 10:08-9Спасибо
Я в компе не сохраню личные фото и документы, все на ноуте с winXP sp3 без интернета (USB-dwd writer спасает)
Советы про облака Apple / Google это не ко мнеnidaylokn
17.11.2018 21:10+2Прям каким-то 2007-м повеяло. DVD привод, Windows XP, вот это все
ExtenZ
17.11.2018 22:52Да, есть и такие ретрограды, которые и пишут dwd вместо dvd (w — writer) отголоски 200х годов. Сказать что выше 4,4 Андроида не прыгал?
Смотрю и карма вниз полжет, хо-хо-хо! Смело ставим еще -10, мне не стыдно
evgenWebm
18.11.2018 04:56Я очень надеюсь, что вы пострадаете иза своей беспечности и потеряете все самое важное.
Ибо вы только через горький опыт сможете познать надобность обновлений и расширения кругозора.
Жаль в мире вас много.Ded_Banzai
18.11.2018 08:06Я очень надеюсь, что этого не случится. Новое не обязательно лучшее.
evgenWebm
18.11.2018 13:37Такие как вы и тому кому я писал, представляете угрозу не только себе, но и в целом всем.
В первую очередь, именно иза беспечности у нас куча проблем. Вы создаете место для развития зловредов.
При этом доказываете свою правоту.
И только полная потеря всего, вас может чему то обучить. Раз по другому не понять вам.
Умный учится через чужой опыт. Дурак через свой.ExtenZ
18.11.2018 15:42Cry me moar, baby
Зловреды просто так создаются, бесплатно? Му-ха-ха! Сразу видно что человек не поймал эпоху касет+CD+floppy, и не знает про норм бэкап (кроме глинняных табличек, да!).
Спешу тебе огорчить, что интернет не вечен, чем он сильнее в обиход будет = чем быстрее и «зловреднее» будет.
А почему? Тупо «modern geek peoples» хочет сэкономить, место не хватает для книг и прочее-прочее
Да ради Бога/Аллах/Будда, когда не будет электроэнергии = будет ломка, так?evgenWebm
18.11.2018 20:41+1Зловреды просто так создаются, бесплатно?
Это тут причем?
Сразу видно что человек не поймал эпоху касет+CD+floppy, и не знает про норм бэкап (кроме глинняных табличек, да!).
Как бекапы обеспечивают безопасность? Расскажите, гений.
С вас нострадамус ни какой. Рассказывать вам, что либо о себе, это унижать себя. Гадайте дальше.
Спешу тебе огорчить
С мамой на ты общайтесь. Спасибо.
что интернет не вечен, чем он сильнее в обиход будет = чем быстрее и «зловреднее» будет.
Как это относится к безопасности ПК? Без интернета все будет безопасно?
Смешно.
А почему? Тупо «modern geek peoples» хочет сэкономить, место не хватает для книг и прочее-прочее
Да ради Бога/Аллах/Будда, когда не будет электроэнергии = будет ломка, так?
Это шизофазия? И слова не понял, что вы тут хотели донести.
Рекомендую использовать литературный язык при общении с людьми.
nidalee
17.11.2018 11:07+5Вот и все жертвы WannaCry тем же вопросом задавались, пока заветные слова с адресом кошелька Bitcoin на экране не увидели…
gecube
17.11.2018 12:13Я думаю, что проблема не в wannacry как таковом.
Я еще помню историю с дыркой в RPC, которая позволила распространится MS Blastt/
А самое интересное, что правильная настройка файрволла в теории могла эту уязвимость отчасти предотвратить.
Как всегда — все катастрофы начинаются не с какого-то одного фактора, а с их совокупности.
www.grc.com/freeware/dcom.htmnidalee
17.11.2018 13:03+1В том числе и эти дыры закрываются как раз самыми обычными обновлениями Windows, которые многие предпочитают отключить.
Антивирус не затыкает дыры в системе, он просто ищет то, о чем знает. Проактивная защита обычно либо игнорируется, ибо орет на все подряд, либо ничего не находит.
И да, антивирус у меня есть — но чудес от него ждать не стоит.
feyd12 Автор
17.11.2018 23:13Блин, а помните конфинкера на флешах и в локалочке, когда самый умный совет по ИБ в интернет был отключить windows update и UAC))
Affdey
17.11.2018 23:36Так же, у меня отключено автообновление, и антивирусника нет. и вирусов не ловлю. Лучшая защита — это голова, не надо ползать по стрёмным местам. Ну и помню содержимое папок винды, подозрительное удаляется.
feyd12 Автор
17.11.2018 23:41Знаете, я тоже могу так писать, что винда с 2009 не переставлялась, и малвари нет)) Но это с точки зрения хоумюзверя) Если брать корпоративный сегмент, то все иначе, обновления необходимы. А UAC отключать советуют люди, которые вообще не понимают, сколько всего завязано на этот ползунок))
Affdey
17.11.2018 23:54Корпоративный сегмент да, иначе, но и там бывает. Я работал в таком месте — просто нет интернета, в принципе, и мобильного тоже. Сотни компов и 35 тысяч человек как-то без обновлений справляются)
feyd12 Автор
18.11.2018 00:28И тут инженер Иван Петрович поставил на комп iTunes, чтобы через смарт фоточки обновлять. И тут подкрался пушной зверёк… Шутка
retomoto
18.11.2018 11:55Браво, сеньор! Это пять!
Я не буду удивлен, если у вас где-нибудь до сих пор схоронен в системе тот же MSBlast)) Который кстати весьма оригинально распространялся.
Что касается содержимого папок, то тут я восхищен до слез, феноменальная память! Надеюсь размер исполняемый файлов вы тоже помните, следите за тем, чтобы они не менялись, и уж разумеется мониторите системные папки пару-тройку раз в месяц, на предмет подозрительного)
Что же касается головы как защиты, так по мне лучше бы чтобы защита была комплексная, а голова светлая, но разумеется, это на любителя)
leR12
17.11.2018 20:21+2ну нет у меня никаких антивирусников… не находят меня ваши вирусы. все машины просто работают потому что это W7.
simplix
16.11.2018 20:18+2Таким образом, после установки указанных трех обновлений, Windows 7 полностью обновлена с учетом всех исправлений стабильности и безопасности на текущий момент.
Попробуйте после этого запустить центр обновлений, удивитесь.feyd12 Автор
17.11.2018 08:29-3Попробуйте разобраться в вопросе, а также почитать описание найденных объявлений.
gecube
17.11.2018 10:08+2А можно продуктивно ответить?
С бытовой точки зрения — система не может считаться полностью обновленной, пока есть доступные для установки пакеты в центре обновлений.
Но, с другой стороны, возможно, что это только лишь говорит о том, что система обновления винды больна изначально кривой архитектурой. Вот был бы нормальный пакетный менеджер как в линуксах…
simplix
17.11.2018 14:45Там будет больше полусотни обновлений, в том числе и по безопасности. В вопросе немного разбираюсь :)
feyd12 Автор
17.11.2018 21:16Да ну, номер приведите, и почитайте описание указанных в статье, это позиция ms, а не моя. Обновления семерочного Дефендера и IE11 в рамки озираемого в статье не входят.
simplix
17.11.2018 21:43Какой номер вы хотите, если даже не проверили предложения WU после установки всего двух больших обновлений? И Майкрософт нигде не утверждает, что их достаточно. Вот скриншот WU Win7x86 после установки обновлений только по вашим рекомендациям, из чего видно, что указанных вами трёх обновлений явно недостаточно для полного удовлетворения.
gecube
17.11.2018 22:05Для справедливости — 54+38 это явно меньше, чем две-три сотни обновлений для базового W7. Хотя, конечно, ставить ~80 обнов самостоятельно — то еще удовольствие.
simplix
17.11.2018 22:14Однако KB3125574 не просто так доступен только для ручной установки, WU его не предлагает и автоматически не устанавливает, посмотрите на его известные проблемы, а есть ещё неизвестные вроде проблем с некоторыми драйверами AMD.
feyd12 Автор
17.11.2018 22:35А также у каждого накопительного обновления есть известные проблемы, не ставить теперь? Про kb3125574
Пакет включает в себя все security и прочие обновления для Windows 7, которые были выпущены с начала выпуска SP1 и до апреля 2016 г. Это же обновление доступно для пользователей Windows Server 2008 R2.
Про ежемесячный накопительный update почитайте, он включает Все изменения безопасности и стабильности из предыдущего. И так до самого первого после kb3125574. Если бы Вы отслеживали ежемесячно выходящие обновления windows 7, то бы знали, что приходит лишь один update на саму систему (если не считать остальной софт майкрософт, что изначально указано в статье, а то Вы IE и .Net в расчёт берёте). Информацию из Вашего скрина проверю при случае, отпишусь, и, естественно, такого количества старых обновлений безопасности там быть не должно.
feyd12 Автор
17.11.2018 22:41Смотрите, что пишет MS
Install this one update, and then you only need new updates released after April 2016.
Это про накопительный update, у Вас скрин со старыми древними обновлениями безопасности, выпущенными до него. Вы поиск обновлений точно повторяли после установки или прикалываетесь?simplix
17.11.2018 23:02Смотрите, что пишет MS
Поделитесь ссылкой, пожалуйста, где такое пишет Майкрософт.
Install this one update, and then you only need new updates released after April 2016.feyd12 Автор
17.11.2018 23:18gecube
17.11.2018 23:24Прочитал. Подумал. Много вопросов возникло.
Во-первых, насколько мы можем доверять блогу. Это как бы не техническая документация MSDN или KB.
Во-вторых, сами же M$ там в блоге пишут много «но». И то, что месячные ролл-апы не содержат обновлений безопасности (а нафига тогда они нужны!?). И то, что convenience roll-up не содержит обнов после 2016 и нужно будет их, видимо, ставить самостоятельно. Минуточку — с 2016 уже два года прошло. Там обновлений еще сотня-другая должна была набежать. И я уж не говорю про это:
hat are suitable for general distribution
это вообще мощь. Т.е. запросто может оказаться, что на КОНКРЕТНУЮ систему может понадобиться апдейт, который в convenience roll-up не вошел.feyd12 Автор
17.11.2018 23:48Если не верить сотрудникам компании, то глючному виндоус апдейту на давно похороненном в чёрных корпоративных сердцах Майкрософта Windows 7 тоже нельзя)) К тому же, есть ещё информация по нему, и в рунете тоже) Гугль в помощь)) Кстати, я в статье не утверждал, что обновлений найдено не будет, есть ещё как минимум два необязательных, но необходимых для обеспечения безопасности .Net, да и IE11 если поставить, на него куча обнов безопасности придёт. Тут от потребностей нужно исходить…
simplix
18.11.2018 10:32Верить на слово в вопросах безопасности никому нельзя, только с личными перепроверками. Конечно если хочется обезопасить систему настолько, насколько это возможно нам как пользователям. Здесь же сотрудник просто не досмотрел или неправильно понял своих коллег, в чём можно легко убедиться.
navion
18.11.2018 15:11Если не изменяет память, в анонсе кумулятивных патчей говорили, что IE11 является пререквезитом для них.
Kutak
18.11.2018 06:38Честно говоря, и в документации MSDN, и в KB встречаются и ошибки, и иногда отсутствует какая-то информация. Так что особо доверять и им не стоит.
gecube
18.11.2018 10:45Ну, это несомненно. Сам сталкивался, когда программировал под winapi.
Но степень доверия к блогу априори ещё ниже…
navion
17.11.2018 15:02В прошлом году MS обещали включить все фиксы в CU к середине 2018, но видимо передумали и решили не упрощать жизнь пользователям семёрки, а то на десятку они никогда не перейдут.
harlong
16.11.2018 21:33Хм. После чистой установки Win7 с родного диска можно скачать и поставить вручную KB3102810, дальше она спокойно сама все выкачивает.
feyd12 Автор
17.11.2018 23:24Давно проверяли?
harlong
17.11.2018 23:44С полгода назад примерно. После установки этого пакета проходит баг с бесконечным поиском обновлений, и остальное у меня ставилось. Только времени это занимает часа 4-5 на «стандартном дешевом офисном» компе и трафика сжирает около 2 Гб.
gecube
17.11.2018 23:50Только времени это занимает часа 4-5 на «стандартном дешевом офисном» компе
да, это тот самый баг. При котором ОЗУ при обновлении каталога обновлений и их скачивании забито под 100%. Повторюсь, что даже на мощном компе та же история (проверено неоднократно).harlong
17.11.2018 23:52Не, время в основном на установку уходит, качается-то быстро.
feyd12 Автор
18.11.2018 00:00Попробуйте вариант из статьи, за 15 минут управитесь, плюс столько же на доустановку того, что найдётся, имхо
harlong
18.11.2018 00:02Попробую при случае, спасибо. Хотя приходится скрипя скрепами переходить на десятку, от семерки последняя лицензия непотраченная в заначке осталась…
feyd12 Автор
18.11.2018 00:17По телефону 200 активаций? К радости пиратов, с удивлением узнал, что способ из статьи “Активацию Windows 7 доломали окончательно” после установки всех обновлений продолжает работать. Ужасть
harlong
18.11.2018 00:29Наклейка и в комплекте бухгалтерские документы, что OEM-версия куплена с новым ПК.
feyd12 Автор
17.11.2018 23:58Пару месяцев назад случилось страшное, перестали ставиться обновления кумулятивные. Выпустили обновление SSU (смотрите статью), пофиксили. А до этого была заварушка с уязвимостями в процессорах, так исправления были настолько глубинные, что новые кумулятивные обновления не ставились без ручного внесения в реестр определенного значения, которое сигнализировало, что Вы подтверждаете, что Ваш антивирус не будет при этом ронять винду)) Хотя сейчас последнее SSU, может и встанет само, и проблем не возникнет…
dmxrand
16.11.2018 21:36+6Знаю множество организаций где используется Windows XP и где совсем не хотят от него отказываться (а вынуждены)
darthslider
17.11.2018 01:13+3У нас небольшой изолированый домен для ПК с Win XP sp2 (строго). Потому что какой-то жутко важный, дорогой и старый софт работает только так.
gecube
17.11.2018 10:08Бекап чем делали? Полный образ каждой клиентской машины (тем же акронисом)?
darthslider
17.11.2018 15:16WDS+MDT настраивал, который раздает образ XP с нужными апдейтами и ставит софт.
То есть бекапа машин нет, есть способ быстро восстановить ее в исходном состоянии.
simplix
17.11.2018 15:12А это софт доступен для посмотреть? Интересно, что же там такое работает на SP2 и не работает на SP3. Пока ещё обновления для SP3 выходят система не совсем мертва, а на многих организациях в виде терминалов и печатных машинок самое то.
darthslider
17.11.2018 15:23Там какая-то хитрая среда тестирования (кажется) чего-то авиационного. Со слов разработчиков и руководителя отдела sp3 что-то сильно внутри ломает и оно запускается, но не работает.
К сожалению, я без разрешения даже название побоюсь писать, не то что поделиться софтом.
Так-то у нас даже есть живой VAX который что-то там считает :)simplix
17.11.2018 15:43Можно попробовать дополнительно отключить DEP и PAE, да и в целом посмотреть на ситуацию, однако при такой секретности у вас надежда или на себя, или на производителя программы.
darthslider
17.11.2018 16:15А нужно ли на все это тратить время? Работает, домен изолированный, да и проект в целом уже в стадии поддержки, на сколько я знаю, и все это используется довольно редко.
Уверен, что у ПО есть более новая версия, просто ее же надо купить, а зачем? :)
trdm
17.11.2018 19:51Я настолько петроград, что мне и на работе и дома хватает Windows XP.
gecube
17.11.2018 20:08ну, а что делать, например, с устаревшими корневыми сертификатами в ОС?
simplix
17.11.2018 21:54Это как раз не проблема, они обновляются тем же набором для WinXP, а проблемы возникают там, где производители отказываются обновлять свои программы из-за окончания поддержки. Например большинство современных браузеров не будут открывать сайты с алгоритмом подписи сертификатов ECDSA (у Firefox своя реализация и он их нормально открывает), Java плохо поддерживается и многие клиент-банки уже не работают на WinXP (для организаций решается переносом части функций на сервер терминалов) и всё в таком роде. При желании жить можно, но не так комфортно, как на более современных системах.
gecube
17.11.2018 22:07Еще отдельная история — это совместимость офиса. Какой там последний под WinXP? 2007? 2013? К сожалению, уже есть проблема при передаче документов из более свежих пакетов. С другой стороны, проблемы есть даже между передачей документов между самой свежой версией MS Office между разными платформами: MacOS X <-> W10.
simplix
17.11.2018 22:122010 работает на XP. Конечно, если использовать какие-то сверхновые фишки более свежих офисов, то теоретически младший их не отобразит, но на практике такое не встречается для обычных рабочих документов, и в более новых есть режим обратной совместимости.
gecube
17.11.2018 22:31но на практике такое не встречается для обычных рабочих документов, и в более новых есть режим обратной совместимости.
ну-ну. Я бы не рискнул сейчас оценить как часто могут возникать проблемы. Ну, можно еще LibreOffice установить, но это тоже не панацея. Повторюсь, что у меня были определенные нюансы даже при использовании одного продукта на разных платформах. Не говоря уже о разных версиях пакетов.
Да, кстати, в одном случае (неприятном) даже в rtf умудрились пробраться непонятные символы…
К чему это я. К тому, что бизнесу, в целом, выгоднее иметь гомогенную платформу. В ней возможность возникновения проблем минимальна.
emmibox
18.11.2018 00:44Скачать rootsupd.exe (google + archive.org)
Распаковать (rootsupd.exe /c /t:C:\rootsupd)
Скачать в любой win8-win10 актуальные сертификаты (certutil.exe -generateSSTFromWU roots.sst)
Установить их в XP:
updroots.exe authroots.sst
updroots.exe updroots.sst
updroots.exe -l roots.sst
updroots.exe -d delroots.sst
trdm
18.11.2018 08:58Из проблем:
- С десяток программ отказалось ставиться — нашел аналоги.
- Не обновляется FireFox, Хром — не отображаются некоторые видео, на основе HTML5 — их можно открыть Яндекс браузером, если очень надо.
- Ссылки в Ecxel не открываются по щелчку — разве проблема? (Не поддерживаемое в старом IE шифрование).
- Отказал скрипт перевода в N++ — gTranslate.js — работает на основе "Microsoft.XMLHTTP" — нет поддержки шифрования.
- Отказывает все, что связано с шифрованием: Тотал отказался ходить на ftp, перешел на WinSCP.
Резюме:
Пока не одна проблема не стала препятствием для работы на Windows XP. Все они решаются тем или иным способом.
Что получаю взамен: стабильность работы и контроль над системой.
Ну, все относительно, вы думаю понимаете.
uhf
18.11.2018 09:08Мне тоже на рабочем компе хватает WinXP. Установлена куча софта, система работает стабильно, за последние 7 лет единственная программа, которая периодически валит её в BSOD — это самообновляемый (до недавнего времени) Google Chrome.
А вот Билли и компании денежек не хватает, поэтому он вынуждает меня купить новую «еще более улучшенную», и «теперь точно без дырок»(нет) операционную систему, которая отправляет кому-то мою личную инфу, выкачивает гигабайты (ей плевать, что я на мобильном интернете), и перезагружается когда захочет.feyd12 Автор
18.11.2018 12:02Справедливости ради, Гейтс тут вообще ни причём, а если не нравится его компания, то ряды линуксоидов Вас ждут) BSOD как бы уже намекает, что с системой проблемы, т.к. хром работает в user mode и причиной может быть лишь косвенной.
HansHelmut
16.11.2018 21:55+2Для тех, кто не имеет в загашниках официального образа и пользуется файлообменниками для их скачивания, не забудьте сверить контрольную сумму файла с доступными для данного образа на сайте Microsoft, сделать это можно с помощью триальной версии Total Commander, например.
Еще можно воспользоваться 7zip, он тоже это умеет, весит меньше, кушать не просит (:Balpak
17.11.2018 08:30+5Можно ещё проще
C:\>certutil -hashfile toast.txt MD5
MD5 hash of file toast.txt:
77e107172f2068043517dbd18b3f0899
CertUtil: -hashfile command completed successfully.
photino
16.11.2018 22:01Если на свежеустановленную систему не хочется ставить сервисы телеметрии, которые идут вместе с кумулятивными обновлениями, можно воспользоваться WSUS Offline. В нем есть возможность скачивать и устанавливать «security only updates» вместо «quality rollups».
Далее, можно либо раз в месяц запускать WSUS Offline на скачивание и установку обновлений, либо скачивать из каталога Микрософта и устанавливать вручную обновление безопасности для системы, обновление безопасности для IE (обновления для IE кумулятивные, кстати), а также запускать Windows Update для установки необходимых обновлений для .NET и т.п.feyd12 Автор
17.11.2018 22:58Вручную тоже можно ставить секурити онли, сейчас они выходят параллельно с полными. Только, боюсь, телеметрию Вам так не победить))
photino
17.11.2018 23:17Только, боюсь, телеметрию Вам так не победить))
Почему? Насколько я знаю, в обновлениях безопасности телеметрию не находили. Если избегать обновлений, устанавливающих телеметрию (типа KB2952664 и иже с ними) и не ставить «quality rollups», то телеметрии не должно быть. Собственно говоря, WSUS Offline не загружает и не устанавливает старые обновления, связанные с телеметрией, а также может быть настроен на закачку и установку только обновлений безопасности вместо кумулятивных обновлений.
Ноут с Win 7 я обновляю именно по такой схеме — раз в месяц скачиваю и устанавливаю вручную обновление безопасности и обновление для IE, потом запускаю WU и смотрю, есть ли что-то полезное (иногда обновления для .Net бывают или что-то подобное). Когда ставил систему с нуля, настроил WSUS Offline на установку обновлений безопасности. Телеметрии нет (во всяком случае той, о которой хорошо известно), все работает отлично.feyd12 Автор
17.11.2018 23:29Проверьте обновлённую вашим способом систему в task scheduler в ветках application и customer experience, нет ли там чего интересного, связанного с diagtrack?
photino
17.11.2018 23:43Только что проверил, нет ничего, связанного с diagtrack (ну на самом деле я про это знал и в свое время проверял, но на 100% не был уверен, что за последние пару лет ничего нового не появилось). Более того, отключенные в начале 2017 года задания в этих ветках так и остались отключенными.
feyd12 Автор
18.11.2018 00:02Значит, Вы правы, полное обновление добавляет пару интересных задачек за последние месяцы
gecube
17.11.2018 23:19Телеметрию скорее всего победить белым списком разрешенных для коннекта узлов на роутере )
Это так. Шутка. В которой есть доля шутки.
Понятно, что как только у нас появляется на какой-то машине доступ в интернет, то зарегулировать полноценно что и куда выливается становится невозможно. Все эти присядки с модификацией hosts, файрволлами и пр. похожи на вечную борьбу «щита и меча», что и приводит к желанию пользователей сидеть на какой-то фиксированной версии пакета обновлений, чтобы не прилетало никакого нового программного кода, в котором уже ставшие популярными способы вырезания телеметрии и пр. бяки обходятся.feyd12 Автор
17.11.2018 23:31На флешах папку систем волюм инфомайшн не встречали? Что внутри интересовались?
gecube
17.11.2018 23:39feyd12 Ваш юмор не уместен. Если есть что предметно сказать — говорите.
Касательно каталога (папка — звучит, извините, фу, пошло) System Volume Information — да, встречал. Да, смотрел внутри содержимое. Более того — знаю про потоки файлов NTFS (там еще больше информации можно скрыть от глаз пользователя). И уж не говорю про прочую стеганографию.
И еще — на маках тоже есть беда со скрытыми системными каталогами. Видели, наверное, .DS_Store?feyd12 Автор
18.11.2018 00:05Я, вроде, не шутил. История перемещения флешки по компам — это не смешно, особенно для любителей «современных» систем…
feyd12 Автор
18.11.2018 00:07Пользователям мака вообще святой водой и программами-затирателями для флешек нужно запасаться))
Mur81
16.11.2018 22:50+2Я где-то (сейчас уже не вспомню где) как-то находил, что правильная последовательность обновления Win 7 SP1 такая:
0. IE11 (если нужен IE11 и его обновления)
1. KB3020369
2. KB3125574
3. KB3172605
4. KB3179573
5. KB3185278
[далее пошли уже кумулятивные обновления]
6. Последнее кумулятивное обновление
Есть официальная статья на этот счёт, которая косвенно подтверждает эту последовательность: support.microsoft.com/en-us/help/4009469/windows-7-sp1-windows-server-2008-r2-sp1-update-history
(в ней правда история начинается с KB3172605)
Но даже после всего этого центр обновлений найдёт еще целую кучу обновлений (выше уже писали об этом).
Обновления для .Net сюда не входят.
И да, не надо гуглить «monthly rollup update windows 7 november». По ссылке выше соответственно полная история, которая актуализируется.
Для Win 8.1 / 2012 R2 аналогичная статья здесь: support.microsoft.com/en-us/help/4009470/windows-8-1-windows-server-2012-r2-update-historyIgor_O
16.11.2018 23:18-1Ох… Как долго меня гипнотизировал винодус… 3.1. Поверх него 3.11. Поверх него какой-то сервис пак. Поверх этого Мемфис(? Или что там было доступно пользователям?) Поверх него вин-95… И… в этот момент что-то пошло не так. К моменту, когда я успел отключить свой компьютер, виндоус уже затер мне весь ФАТ… Но я был тогда молод и крут! У меня был бэкап!
feyd12 Автор
17.11.2018 08:37Сейчас последовательность изменилась, о чем я и написал статью)) Последнего обновления SSU достаточно для установки kb3125574 и для установки последнего ноябрьского обновительного накопления KB4467107. Можно убедиться в этом прочитав раздел Перед установкой тут support.microsoft.com/en-us/help/4467107/windows-7-update-kb4467107
Igor_O
16.11.2018 23:10-12На самом деле все просто. МС начиная с 7-х форточек (мышами от них пахнет!) так и не придумал ничего полезного пользователю. Фотки на экране блокировки каждый день новые, с описанием где, как и зачем — классно! Но я рад, что за них платит мой работодатель. Я не готов платить за фотографии, которые я не заказывал. В остальном… Все ПО запускается и на семерке прекрасно. Ваше ПО не запусается на 7-ке? Ваши проблемы. Все, что мне нужно в этой жизни — на семерке прекрасно запускется. Ваше не умеет? Ваши проблемы. Вы моих денег, значит, не получите. Поздравляю.
Ellias
17.11.2018 22:59Приветствую вас, коллега.
А что вы будете делать с железом, которое впринципе не дружит с win7?
Думаете, да лана, такое не скоро случится?
Про интеловские чипсеты 300-ой серии слышали? Так вот интел не выпустил для них драйвер под win7. И их не существует в природе по крайней мере на текущий момент.
Это не значит, что на эту машинку никак нельзя накатить win7, на самом деле можно. Вот только USB-порты там работать не будут (соответственно и клава с мышью тоже, ибо ps/2 давно ушёл в небытие).
А второе: сколько таких же разговоров было про тот же winxp, типа форева и т.д. И где это всё сейчас? Нету, ибо прогресс сожрал столько раз латаное заплатками ПО у которого начального кода не осталось ничего, эффективности в том числе.
Выпуск новых ОС будет продолжаться до тех пор, пока не будет создана ОС сразу без ошибок, а так как такое невозможно создать с помощью людей-программистов, то имеем то, что имеем. Может когда-нибудь ИИ напишет идеальную ОС и на ней всё остановится?feyd12 Автор
17.11.2018 23:02С железом ничего не буду делать, я в статье указал на изначальную направленность установки на виртуальную для нужд тестирования, железо без поддержки со стороны его производителя побороть не получится, лучше сразу поставить новую ОСь, Линукс или 10-ку, чем ерундой заниматься
sumanai
18.11.2018 11:03Вот только USB-порты там работать не будут
Даже в режиме совместимости? На Z75 интел не выпустил дрова на USB3.0, так они прекрасно работали как 2.0.
Нету, ибо прогресс сожрал столько раз латаное заплатками ПО у которого начального кода не осталось ничего, эффективности в том числе.
Так эти же заплатки есть в новых ОС, потому они и новые.
Wijey
19.11.2018 13:23Про интеловские чипсеты 300-ой серии слышали? Так вот интел не выпустил для них драйвер под win7. И их не существует в природе по крайней мере на текущий момент.
Это не значит, что на эту машинку никак нельзя накатить win7, на самом деле можно. Вот только USB-порты там работать не будут (соответственно и клава с мышью тоже, ибо ps/2 давно ушёл в небытие).
Уверены? Рабочий компьютер с чипсетом Z370, семёрка установилась, есть драйвер чипсета для Win7 на сайте производителя материнки (Gigabyte), все порты 2.0, 3.0 и даже PS/2 работают. Единственная возникшая проблема — предупреждения о невозможности обновлений из-за неподдерживаемого процессора 8й серии, решилась благодаря wufuc.
artemlight
16.11.2018 23:14Зачем изобретать велосипед, если в MDT есть стандартный сиквенс построения референсного образа со всеми апдейтами
Добавляем в него немного полезных советов и на выходе образ размером 5.4 гб, который содержит все текущие обновления + полностью обновленный дотнет 7.2 + актуальный Windows Management Framework.
Mur81
17.11.2018 00:21Кстати насчёт продления поддержки семёрки до 2023-го. Там же вроде как платно было. Или что-то поменялось уже? И опять же я так и не понял как это будет работать. Даже если платно.
navion
17.11.2018 14:31+1В KB ни слова про продление и MS давно саботирует работу семёрки на новом железе, отключая WU и договариваясь с вендорами не выпускать для неё драйверов.
А ESU будет стоить конских денег, также как CSA для XP.feyd12 Автор
17.11.2018 23:04Критические обновления безопасности все равно выпустят, как с wanna cry, имхо
justhabrauser
17.11.2018 02:38+1«встречаются и совсем древние системы с Server 2003 и 2008»
1С77, InterPRO, PersW, «Налогоплательщик чегототам», CheckXML и всё такое на базе FoxPro и/или Borland Paradox от налоговой — не, не слышал.
Автор прикольный вообще. Прилетают тут из параллельных вселенных, понимаешь…feyd12 Автор
17.11.2018 08:42+1А всем суть претензии? Не встречаются?
justhabrauser
17.11.2018 13:53Не древние
feyd12 Автор
17.11.2018 21:23Мое мнение, что само наличие не обновляемых версий ОС — просто гигантская дыра в ИБ организации. Виндовс 7 же до 20-го года официально обновляется у всех.
shalm
17.11.2018 08:12-3бывают случаи когда какой-то редкий софт или мёртвое железо не дают обновить систему, но тупить на старой операционке по каким-то мистическим причинам не кажется верным решением, хотя бы потому что требует больше времени на установку и настройку, а потом и поддержание в рабочем виде, при этом велика вероятность что безопасность, поддержка нового оборудования, быстродействие будут хуже
feyd12 Автор
17.11.2018 23:06Абсолютно согласен, хоть причины у всех и разные. Вот только быстродействие тут не причём, старый и неподдерживаемый — тоже разные вещи.
whyme
17.11.2018 08:42К сожалению, выбора нет, нравиться вам 7ка или нет вы будете использовать 10ку.
Сначала 7ка перестала поддерживать новые процессоры в (хотя это решалось неофициальными патчами), затем потянулись производители — под новые чипсеты уже не делают драйверов под 7ку. В данным момент еще хуже — с некоторым железом вы будете получать бсоды при попытке установки (например при установке на ryzen со встроенной графикой).feyd12 Автор
17.11.2018 08:43Тут вопрос не в том, что ставить на новые системы, а в том, что есть потребность в обновлении старых в ряде случаев, смотрите выше.
avidcrawler
17.11.2018 08:44Windows 7 — замечательная система, но пришлось перейти на 10-ку после покупки современного 4К монитора. Не знаю как с этим сейчас, но год назад я не нашел способа их подружить.
emmibox
17.11.2018 10:32+1А в чем собственно проблема то состояла? (win7 4k монитор)
VolodjaT
17.11.2018 11:15интерфейс микроскопический
gecube
17.11.2018 12:16ну, т.е. проблема с масштабированием.
Насколько я помню, указание масштаба в настройках рабочего стола проблему решает только для части приложений.
emmibox
17.11.2018 13:20+3Для многого софта написанного во времена XP — это никак не решает проблему размера интерфейса. Но на десятке получается еще хуже — там этот софт вообще не запускается.
Kutak
18.11.2018 06:46Но на десятке получается еще хуже — там этот софт вообще не запускается
А вы говорите — проблема размера интерфейса не решена! Как же не решена? Нет софта — нет проблемы.emmibox
18.11.2018 16:06Я пользуюсь '11 FHD '28 4K почти с момента их появления.
И могу сказать, что вся эта «поддержка в операционной системе» ничего не дает! В самом интерфейсе семерки с обоими проблем нет и не было никогда.
С теми программами что были написаны в эпоху XP для 1024x768 варианты такие:
1) Проблем нет вообще.
2) Проблемы есть и они есть в любой из систем (причем в 7 их меньше а в 10 их больше в плоть до отсутствия работоспособности).
С теми программами, что поддерживаются и обновляются — если вдруг были проблемы они были решены разработчиками в течении полугода-года, и от системы в этом случае тоже ничего не зависело…
Поэтому мне не понятно это стремление обновится до 10 ради фантомных преимуществ с 4K одновременно поломав совместимость с огромным пластом софта начала 2000-х…
site6893
17.11.2018 11:23видимо в драйверах (в их отсутствии под 7)
gecube
17.11.2018 12:19Еще прошу напомнить — вроде бы Windows 7 не очень хорошо работает с системами с двумя видеокартами (встроенная + дискрет). Или все ок? Я просто уже забыл за давностью лет.
Quarc
17.11.2018 16:38Года три назад 7 нормально работала с дискретной NVidia и встроенной в проц Intel. HDMI+DVI+VGA на дискретке и HDMI на встроенной, требовалась только настройка в UEFI BIOS включающая обе видеокарты одновременно.
VEG
17.11.2018 12:14В Windows 10 ведётся работа по улучшению поддержки HiDPI дисплеев. То есть с этим гораздо меньше проблем, чем в семёрке. Также теперь поддерживаются конфигурации, когда на разных дисплеях требуется разная плотность пикселей. Реализовать такую фишку с огромным пластом легаси приложений под Windows непросто, поэтому не всё идеально, но работа в этом направлении ведётся.
Mr_EX
17.11.2018 21:25А вам не кажеться, что в эти фразы противоречат друг другу?
«Компания Microsoft продлила ее расширенную поддержку до 2023 года, в ближайшее время вряд ли что-то кардинально изменится.»
И
«В случае, когда Вы пытаетесь установить обновления штатными средствами на какой-нибудь Windows Server 2008 или Windows 7 SP1, то обнаруживаете, что система обновления не работает и производит бесконечный поиск обновлений.»
Т.е. поддержка есть, но автоматическое обновление не работает :)
В моём филиале 280 ПК (гос.компания) 55% ХР; 25% 7ки. И сколько раз я не переустанавливал Win 7 и ХР — они всегда успешно обновлялась сами через сервера Microsoft.
P.s.: единственное, что если не установить КВхххххх (на работе записан номер) для Win7, то первоначальный поиск обновлений происходит 4-5 часов, а с ним 15минут.feyd12 Автор
17.11.2018 21:30Без обновления сервисного стека обновление не работает, хотя бы так было несколько месяцев назад. Без установки последнего сервисного стека из статьи накопительные ежемесячные обновления у Вас просто не встанут, начиная где-то с сентябрьского, можете проверить сами. Если сначала обновить SSU, возможно, обновления на windows 7 даже встанут через интернет, но их будут сотни, а цель статьи в скорейшем обновлении системы минимальным их количеством. Что касается Server 2008, если Вам удастся его штатно обновить, напишите как))
gecube
17.11.2018 21:40P.s.: единственное, что если не установить КВхххххх (на работе записан номер) для Win7, то первоначальный поиск обновлений происходит 4-5 часов, а с ним 15минут.
на самом деле — и да, и нет.
С одной стороны, при определенной удачности действительно после установки определенного KBxxxxxx W7 начинает искать обновления быстрее, но с другой стороны — на слабых машинах (ОЗУ — 2ГиБ, 4ГиБ) поиск обновлений все равно становится бесконечно долгим. Что меня убило — установка обновлений официальным путем на свежеустановленный Win7 на мощном десктопе HP Elite с кучей ОЗУ все равно занял полночи. Simplix же ставится за конечное время всегда.
При этом, если пользоваться штатным средством обновления, то еще часто бывает ситуация, что оно выдает какую-то невнятную ошибку с шестнадцатеричным кодом, пока не перезагружишься (sic!), да и то не факт, что поможет.
Я думаю, что достаточно большая часть проблемы попросту лежит в той плоскости, что M$ не считает нужным обновлять дистрибутивы W7, которые лежат на сайте.
thauquoo
18.11.2018 00:32Для игр стоят на компах и ноутах Windows XP SP3 или Windows 7 SP1. Нет антивируса, нет обновлений. Сохранения по расписанию бэкапятся из GNU/Linux. Больше там ценных данных нет.
Личные и рабочие данные на остальных полностью зашифрованных винчестерах, которые расшифровываются только в GNU/Linux. Загрузчик отдельно на флешке. Вставлена флешка — грузится GNU/Linux, вытащена — грузится Windows.feyd12 Автор
18.11.2018 00:50А что за игры, которые не работают в режиме совместимости с XP sp3 на Windows 7 и на виртуалке? И что мешает поставить обновления на Windows 7?
thauquoo
18.11.2018 02:52А что за игры, которые не работают в режиме совместимости с XP sp3 на Windows 7 и на виртуалке?
Если стоит Windows XP, то дело не в играх, а в железе, на котором Windows 7 работает медленно и печально. Но установленные игры начала 2000-х идут отлично, и их играют, железо при деле и его замена далеко не приоритетная задача.
И что мешает поставить обновления на Windows 7
Слишком много игр, часть из них с нетривиальными наборами модов, настроек, неофициальными патчами и т.д. Меньше всего мне захочется всё это настраивать заново, если обновления поломают Windows, драйвера или что-то ещё. Иногда я пытаюсь выделять время и писать скрипты для автоматического разворачивания одной из игр, и тестирую это в виртуалке или на другом пользователе (если игра в систему не лезет). Иногда проблемы чисто в пространстве пользователя (моды, настройки), иногда играм нужно что-то править в реестре, иногда совершенно мозговыносящие несовместимости или баги с конкретными драйверами (графическими чаще всего) или версиями системных библиотек.
В светлом будущем будет автоматизированная установка Windows 7, автоматизированная настройка, установка софта, и авторазворачивание игр, которые играю я и мои близкие. Может, даже все они будут иметь платиновую поддержку в wine в GNU/Linux. Когда-нибудь…
Rast1234
18.11.2018 04:00Наблюдение с полей:
Вот именно сегодня попросили на два ноута начала десятых поставить win7. Поставил с sp1, обновления искались с час, я уж думал придется или отговаривать от семерки, или гуглить решения. Но нет, оно справилось.
Сами апдейты ставились 8 часов, 173 штуки, что ли. После установки динамический свап разросся до 11 гб, было выделено 9 гб. На ноутах 3гб ram, видать поэтому так долго.
И одно какое-то обновление выдало ошибку. Потом все вроде как обычно: while(нашлись апдейты) {установка; ребут; поиск}
Так что проблема актуальна для тех, кто часто деплоит семерку на ограниченных машинах, но если проще раз в несколько часов ткнуть пару кнопок, то она справится и сама.feyd12 Автор
18.11.2018 12:10Если KB4467107 в истории обновлений установлен успешно, значит Windows update справился.
Rast1234
18.11.2018 16:39Похоже что справился :)
Если интересно, полный список того что накатилось, тут: gist.github.com/Rast1234/877614851ed79363e15bce5c5463dc16
Правда, в конце находился kb915597, но windows update не осиливал его. defender тоже выдавал ошибку при попытке обновиться из своего интерфейса. Помогло удаление сигнатур и обновление их из дефендера «с нуля». После этого kb915597 не нужен, видимо, поэтому windows update считает что больше ставить нечего.
avf1906
18.11.2018 09:02оптимисты. У меня на старой работе в поверке стоял комп 286 с досовской прогой, может и до сих пор работает. Что делала я хз, но девочки в ней работали, причем очень быстро, так как все на клавиатуре, никаких гуи и мыши. В одном из цехов 386 с программой для ремиконтов. А им тут вин7 устарела :)
gecube
Я пользуюсь пакетом обновлений blog.simplix.info/update7
Как минимум, в нем есть два плюса:
1. не нужно каждый раз выкачивать этот гигантский пласт обновлений
2. обновления ставятся в щадящем режиме по 80 за раз. Если попробовать поставить все 200+ обновлений, которые вышли с момента выхода последнего MSDN дистрибутива, то система зачастую давится и попадает в цикл установка-откат-установка обновления
Для production применения такое себе. Для тестовых площадок и для дома — самое оно.
albik
Самый плюс — в том, что вырезана телеметрия. Не вся, конечно, и требуется подход DWS Lite, но уже гораздо лучше, чем стоковое поведение.
simplix
Телеметрия не вырезана, а корректно отключена. Разница в том, что при удалении служб и назначенных заданий и установке нового обновления с WU они будут установлены заново, а отключенные так и останутся отключенными — это надёжнее.
DWS Lite не нужен, он вносит лишние (в том числе бесполезные) твики и отключает полезные назначенные задания, не связанные с телеметрией. Хотя если вы явно укажете, какую телеметрию оставляет UpdatePack7R2, это будет проверено и учтено.
simplix
Периодически устанавливаю на десятки серверов, которые сам же и обслуживаю, так что при наличии проблем узнавал бы о них в первую очередь.
gecube
Тут вопрос в другом. Я не говорю, что Simplix UpdatePack плохой продукт. Вопрос о возможности его использования в production. Например, ИБ будет явно не очень рада установке обновлений не с сайта Майкрософт, а с непонятного источника.
Сам-то я понимаю, что рисков не так много и у многих клиентов я первоначальную настройку W7 делал именно при помощи Симпликса и никогда никаких проблем не было, а даже напротив — очень много головной боли было исключено. Но… см. выше.
simplix
Мой комментарий немного не о том, имеется в виду что набор делается не в вакууме, а активно применяется в продакшене на боевых серверах, поэтому качество и безопасность здесь должно быть на первом месте.
Ну а по поводу источника — набор делается давно и подписан, дальше админы уже самостоятельно принимают решение о надёжности по своим критериям. На критически важных серверах и официальные обновления необходимо предварительно тестировать, даже с полным доверием к производителю в продуктах не исключены ошибки.
gecube
абсолютно верно говорите. Но, как вариант, повысить степень доверия можно было бы выложив скрипты для сборки updatepack с исходными файлами (если это еще не было сделано и если это вообще возможно).
simplix
Все программы с исходниками вызывают больше доверия, но не всегда это целесообразно. Мало их просто выложить, чтобы это имело смысл нужно писать большую поэтапную инструкцию, как это всё собирать в конечный продукт, а потом отвечать на бесконечные вопросы «а как переделать что-то для чего-то» или «у меня ничего не получается», и всё равно исходник будет не полным, т. к. будет отсутствовать доступ к личному онлайн-хранилищу переводов на другие языки и масса других нюансов.