Mantener actualizados los sistemas operativos en un número creciente de endpoints puede volverse difícil cuando los equipos de TI tienen que comprobar repetidamente si hay actualizaciones disponibles, decidir qué parches deben instalarse, coordinar las ventanas de mantenimiento y hacer seguimiento de los dispositivos que no se actualizaron correctamente.
Splashtop AEM (gestión autónoma de endpoints) proporciona gestión centralizada de parches del sistema operativo para dispositivos Windows y macOS. Los equipos de TI pueden usar las políticas de endpoints en Splashtop AEM para definir cómo los equipos gestionados buscan actualizaciones, qué actualizaciones deben aprobarse, cuándo deben instalarse las actualizaciones aprobadas y cómo deben gestionar los dispositivos los reinicios necesarios. Después de implementar una política, los administradores pueden usar las vistas de parches del sistema operativo para supervisar el estado de los parches y tomar medidas directas cuando sea necesario.
Esta guía explica cómo configurar un flujo de trabajo automatizado de aplicación de parches del sistema operativo con Splashtop AEM y cómo supervisar los resultados después de aplicar la política.
Lo que necesitas antes de automatizar el parcheo del SO
Tu equipo debe tener Splashtop AEM habilitado para usar OS Patch en las políticas de endpoints.
Las políticas de endpoints son específicas de cada plataforma, por lo que las políticas de Windows y macOS se configuran por separado. Las políticas pueden asignarse después a ordenadores individuales o a grupos de ordenadores.
Cómo automatizar el parcheo del SO con Splashtop AEM
1. Crea o selecciona una política de endpoint
Desde la consola web de Splashtop, ve a Automatización > Políticas de endpoints.
Puedes crear una nueva política o editar una política existente. Las políticas pueden crearse como habilitadas o deshabilitadas. Splashtop AEM también admite la herencia de políticas, lo que te permite establecer configuraciones comunes en una política principal y crear políticas secundarias cuando grupos o equipos específicos requieren configuraciones diferentes.
Por ejemplo, un equipo de TI podría mantener una política estándar de endpoints Windows para la mayoría de los dispositivos de producción mientras usa políticas secundarias para los equipos que requieren configuraciones de parcheo diferentes.
2. Activa el parcheo del SO en la política
Después de abrir la política, activa la función OS Patch.
Las funciones de una nueva política de endpoints están desactivadas por defecto, por lo que los administradores eligen qué capacidades controla cada política. Una vez que OS Patch está habilitado, la política muestra la configuración utilizada para gestionar el análisis, las aprobaciones, la programación de la instalación y el comportamiento de reinicio.
3. Elige cómo el sistema operativo gestiona las actualizaciones
La sección Configuración de actualización determina el comportamiento básico de las actualizaciones en los endpoints gestionados.
Splashtop AEM ofrece actualmente tres opciones:
Deja que el SO instale las actualizaciones automáticamente
Descargar actualizaciones, pero dejarme elegir si quiero instalarlas
Buscar actualizaciones, pero dejarme elegir si quiero descargarlas e instalarlas
La segunda opción, que descarga las actualizaciones y deja la instalación bajo el control del administrador, es la predeterminada.
La configuración adecuada depende de cuánto control quieras que tenga el propio sistema operativo. Los ajustes de política restantes pueden usarse después para definir cómo Splashtop AEM busca actualizaciones, aprueba parches, programa la instalación y gestiona los reinicios.
4. Configura la programación del análisis de actualizaciones del sistema operativo
A continuación, configura cuándo deben comprobar los endpoints gestionados si hay actualizaciones del sistema operativo disponibles.
La programación de análisis puede ejecutarse:
Todos los días a una hora especificada
Semanalmente, los días seleccionados y a la hora especificada
Mensualmente en las fechas seleccionadas y a una hora especificada
También hay una opción para analizar cuando un equipo haya perdido su tarea programada anterior. En una política recién creada o modificada recientemente, esa opción entra en vigor a partir de la siguiente hora de análisis programado.
La programación de análisis controla cuándo Splashtop AEM busca parches disponibles. La programación de la instalación se configura por separado, lo que da a los administradores control sobre cuándo se detectan las actualizaciones y cuándo se instalan realmente las actualizaciones aprobadas.
Por ejemplo, puedes configurar los dispositivos para que busquen nuevos parches regularmente y limitar las instalaciones a una ventana de mantenimiento aprobada.
5. Establece reglas de aprobación de parches del sistema operativo
La sección Aprobaciones determina cómo gestiona Splashtop AEM los parches según su importancia.
A cada categoría aplicable se le puede asignar una de estas tres acciones:
Aprobar: La actualización se aprueba y se instala según la programación de actualizaciones configurada.
Manual: La actualización permanece pendiente hasta que un administrador decida qué hacer con ella.
Ignorar: La actualización se excluye cuando pasa a estar disponible.
Las reglas de aprobación están disponibles para Windows y macOS, aunque los controles de parches del sistema operativo disponibles difieren entre ambas plataformas. Windows admite aprobaciones, actualizaciones principales y anulaciones de parches.
(Aprobaciones de Windows)
macOS admite una gestión de actualizaciones más limitada y actualmente no es compatible con Core Updates ni Patch Overrides dentro de las políticas de endpoints.
(Aprobaciones para Mac)
Esto hace que la configuración de aprobación sea una parte importante del flujo de trabajo de automatización. Las actualizaciones que cumplen los criterios en los que confías para la implementación automatizada pueden avanzar automáticamente, mientras que los parches que requieren revisión pueden permanecer pendientes.
6. Configura las actualizaciones principales de Windows y las excepciones de parches cuando sea necesario
Las políticas de Windows ofrecen dos controles adicionales para situaciones que requieren un manejo más específico.
Actualizaciones principales
Splashtop AEM puede gestionar actualizaciones principales para las principales actualizaciones de Windows. Esto puede incluir actualizaciones como de Windows 10 a Windows 11 o cambios importantes de la versión de funciones de Windows.
Como estas actualizaciones pueden implicar cambios más significativos en el sistema operativo y tiempos de instalación más largos que los parches rutinarios, los administradores pueden gestionarlas por separado de las aprobaciones de actualizaciones estándar.
Anulaciones de parches
Las anulaciones de parches permiten a los administradores crear una excepción para una actualización específica de Windows.
Para crear una anulación:
Añade la actualización por su número de KB.
Introduce una descripción.
Asigna un estado de aprobación específicamente a ese KB.
La anulación puede entonces tratar esa actualización de forma diferente a la regla de aprobación general.
Por ejemplo, si una política de aprobación normalmente permite que una categoría de actualizaciones se instale automáticamente, un KB concreto puede retenerse para revisión manual o ignorarse.
7. Configura el calendario de instalación de actualizaciones
Después de definir qué actualizaciones deben aprobarse, configura cuándo deben instalarse.
La programación de actualizaciones ofrece tres enfoques:
Programa la instalación para días y horas específicos.
Pospón las actualizaciones durante un periodo especificado.
Instala las actualizaciones inmediatamente después de que se aprueben.
La programación separa la aprobación de parches de la instalación de parches. Una actualización puede aprobarse en cuanto se detecta y aun así esperar a la ventana de mantenimiento que hayas establecido para la instalación.
Eso ofrece a los equipos de TI una forma repetible de mantener las actualizaciones en marcha sin tener que iniciar cada implementación individualmente.
8. Configura el comportamiento del reinicio
Algunos parches del sistema operativo requieren un reinicio antes de que la instalación se complete por completo. Splashtop AEM permite a los administradores definir cómo deben gestionarse esos reinicios necesarios como parte de la política.
Las opciones disponibles incluyen reiniciar automáticamente el endpoint cuando sea necesario o reiniciarlo inmediatamente después de que finalice la actualización.
Al usar la opción de reinicio automático, el reinicio puede retrasarse:
15 minutos
30 minutos
45 minutos
60 minutos
Si un usuario ha iniciado sesión, los administradores también pueden configurar cómo se le notifica al usuario y determinar cómo debe gestionarse el reinicio en esas condiciones.
La configuración de reinicio debe reflejar los endpoints cubiertos por la política. Una estación de trabajo que se usa durante toda la jornada laboral puede necesitar un comportamiento de reinicio distinto al de un endpoint que puede reiniciarse inmediatamente después del mantenimiento.
9. Asigna la política a ordenadores o grupos
Una vez configuradas las opciones de parcheo del SO, asigna la política a los endpoints que deban seguirla.
En Automation > Endpoint Policies, selecciona la política y elige Assign Group and Computer. Selecciona el grupo correspondiente y asigna la política.
Las políticas también pueden asignarse de otras formas:
Para un equipo individual, abre las Properties del equipo y selecciona la política.
Para un grupo de ordenadores, ve a Management > Grouping, crea o edita el grupo y selecciona la política adecuada.
De forma predeterminada, los equipos individuales siguen la política de su grupo. Se puede usar una política a nivel de equipo cuando un endpoint requiere una excepción.
Esto permite a los equipos de TI usar una configuración de parcheo común en todo un grupo, conservando la capacidad de aplicar políticas diferentes cuando sea necesario.
Cómo supervisar el estado de los parches del sistema operativo después de implementar la política
La automatización debe seguir dando a los administradores visibilidad sobre lo que ocurrió después de que se ejecute una política. Para la supervisión diaria, los equipos de TI pueden empezar con el panel de Splashtop para obtener una vista general del estado de los endpoints y de las actualizaciones de Windows. Cuando algo necesita más atención, los administradores pueden profundizar en las vistas relevantes de OS Patch para revisar actualizaciones específicas, los ordenadores afectados y las acciones disponibles.
Revisa los parches en OS Patch (vista de parches)
Cuando necesites información más detallada sobre los parches, ve a:
Software > parche del SO (vista de parches)
Selecciona Windows o macOS para ver las actualizaciones correspondientes.
Los parches se organizan en cinco pestañas de estado:
Pendiente: Actualizaciones disponibles en espera de acción
Aprobadas: Actualizaciones aprobadas para su instalación a la hora programada
Fallido: Actualizaciones que no se instalaron correctamente y que se pueden reintentar
Instalado: Actualizaciones instaladas correctamente
Ignorado: actualizaciones excluidas de la instalación
Los administradores también pueden filtrar las actualizaciones por grupo, estado de selección, días desde su publicación y categoría de actualización. Los parches de Windows se pueden buscar mediante un número de KB o el título de la actualización, mientras que las actualizaciones de macOS se pueden buscar por nombre del parche.
Revisa qué equipos se ven afectados por una actualización
La vista de parches también permite a los administradores profundizar en una actualización individual.
Selecciona una actualización para ver los ordenadores en los que ese parche está disponible. Esto proporciona una forma directa de pasar de la visibilidad de parches en toda la flota a los dispositivos específicos afectados por una actualización.
Por ejemplo, un administrador que investiga una actualización publicada recientemente puede ver qué endpoints gestionados siguen necesitándola en lugar de comprobar los ordenadores individualmente.
Actúa sobre actualizaciones pendientes o fallidas
Las políticas de endpoints proporcionan la automatización recurrente, pero los administradores aún pueden intervenir cuando un parche específico requiere atención.
Las acciones disponibles en la vista de parches dependen del estado del parche:
Desde Pending, una actualización puede aprobarse, ignorarse o aplicarse de inmediato.
Desde Aprobado, una actualización puede ignorarse o aplicarse inmediatamente.
Desde Fallido, una actualización puede aprobarse de nuevo o aplicarse de nuevo.
Desde Ignorado, una actualización puede aprobarse o aplicarse.
No hay acciones adicionales disponibles desde Instalado.
Esto resulta útil cuando un administrador necesita actuar fuera del horario habitual, reintentar una instalación que no se completó correctamente o cambiar la forma en que se gestiona una actualización concreta.
Una versión de Patch Tuesday es un ejemplo de cuándo esta flexibilidad resulta útil. Las actualizaciones rutinarias pueden seguir con el calendario normal de políticas, mientras que los parches vinculados a CVE de mayor prioridad o que se están explotando activamente pueden revisarse y aplicarse antes cuando sea necesario.
¿Qué diferencia hay en la aplicación de parches del sistema operativo en macOS?
El flujo de trabajo general es similar, pero el parcheo de macOS tiene varios requisitos y limitaciones que los administradores deben tener en cuenta.
Para OS Patch dentro de las políticas de endpoints:
Las credenciales de administrador local deben configurarse antes de que puedan ejecutarse los parches de macOS.
Las principales actualizaciones de macOS requieren que la cuenta de administrador configurada tenga Secure Token habilitado.
Las actualizaciones menores de macOS por lo general no requieren Secure Token.
Core Updates y Patch Overrides no están disponibles actualmente para macOS dentro de las políticas de endpoints.
Las credenciales se configuran desde Management > Credential Management. Luego, las credenciales pueden asociarse con acciones de parches del SO mediante la configuración disponible de Credential Management. Solo el propietario del equipo y el Super Admin pueden usar Credential Management.
Para las principales actualizaciones de macOS, los equipos de TI deben verificar que la cuenta configurada tenga Secure Token habilitado antes de confiar en el flujo de trabajo de actualización.
Cuándo usar OS Patch (vista del equipo) en su lugar
Las políticas de endpoints están diseñadas para automatizar de forma repetible los parches del sistema operativo en los equipos gestionados. También hay situaciones en las que un administrador puede necesitar tomar medidas inmediatas en endpoints específicos.
Para esos casos, Splashtop AEM proporciona Software > OS Patch (Computer View).
Computer View se centra en la gestión de parches a nivel de dispositivo. Los administradores pueden seleccionar equipos, comprobar si hay actualizaciones disponibles, elegir las actualizaciones y aplicarlas directamente.
Esto hace que la vista de equipos sea útil cuando necesitas abordar un endpoint específico o un grupo de endpoints fuera de la programación automatizada habitual.
Por ejemplo, si un parche urgente debe aplicarse a un pequeño número de equipos de inmediato, un administrador puede usar la vista de equipos en lugar de esperar al horario normal de la política.
Los dos flujos de trabajo tienen propósitos distintos:
Endpoint Policies: Establece un comportamiento repetible para el escaneo, la aprobación, la instalación y el reinicio.
Vista de parches: Supervisa y gestiona parches en varios dispositivos.
Vista de equipos: realiza acciones específicas en equipos concretos.
En conjunto, estas vistas permiten a los equipos de TI automatizar la aplicación rutinaria de parches del sistema operativo mientras mantienen el control directo cuando las excepciones requieren atención.
Automatiza la aplicación de parches del sistema operativo con Splashtop AEM
Splashtop AEM ofrece a los equipos de TI una forma práctica de automatizar la gestión de parches del sistema operativo en dispositivos Windows y macOS, manteniendo el control sobre las aprobaciones, los calendarios de instalación, los reinicios y las excepciones.
En lugar de comprobar y parchear manualmente los endpoints uno por uno, puedes usar las políticas de endpoints para crear un flujo de trabajo de parcheo repetible, luego supervisar los resultados desde las vistas centralizadas de OS Patch e intervenir cuando sea necesario.
Comenzar una prueba gratuita de Splashtop AEM para ver cómo el parcheo automatizado del SO puede encajar en tu flujo de trabajo de gestión de endpoints.
