Apps in Intune automatisch up-to-date houden

Verouderde software is een van de grootste beveiligingsrisico's op werkplekken. Toch lopen veel organisaties die Microsoft Intune gebruiken achter met updates van hun apps. De reden: een Win32-app in Intune is een momentopname. Komt er een nieuwe versie van Chrome, 7-Zip of Notepad++ uit, dan verandert er in Intune niets vanzelf.

Hoe updates in Intune werken: supersedence

Voor een update voeg je de nieuwe versie toe als nieuwe Win32-app en stel je in dat die de oude app vervangt (supersedence). In de app-instellingen onder Vervanging kies je de oude app en geef je aan of die eerst verwijderd moet worden:

• Vervangen zonder te verwijderen (update): de nieuwe installer installeert over de oude heen. Dit werkt bij de meeste apps die zichzelf kunnen bijwerken.
• Vervangen en eerst verwijderen: Intune verwijdert de oude versie en installeert daarna de nieuwe. Handig als een installer geen upgrade ondersteunt.

Apparaten waarop de oude versie stond, krijgen automatisch de nieuwe. Neem de toewijzingen van de oude app over naar de nieuwe, anders krijgen nieuwe apparaten nog steeds de oude versie.

Waarom dit in de praktijk misgaat

Per update moet je steeds hetzelfde doen:

1. Nagaan welke apps een nieuwe versie hebben.
2. De nieuwe installer downloaden en controleren.
3. Een nieuw .intunewin-pakket maken.
4. De app opnieuw aanmaken met opdrachten, detectieregels en vereisten.
5. Supersedence en toewijzingen instellen.

Voor tien apps is dat al snel een middag werk. Elke maand opnieuw, en voor een MSP nog eens per klant.

Alternatieven

• Apps die zichzelf bijwerken: veel browsers doen dat. Maar niet elke app, en bij gebruikers zonder beheerrechten lukt het vaak niet.
• De Microsoft Store (WinGet) in Intune: sinds 2023 kun je apps uit de nieuwe Microsoft Store toevoegen als app-type Microsoft Store-app (nieuw). Dat werkt goed voor apps die in de Store staan, maar veel zakelijke software staat daar niet in, en je hebt weinig controle over installatieopties en detectie. Zie WinGet en Intune: zo combineer je ze.
• Patch management-tools: er zijn commerciële tools die catalogi van apps bijhouden en updates voor je klaarzetten.

Automatisch bijwerken met App-Packager

App-Packager automatiseert de hele cyclus voor apps uit de WinGet-catalogus, die meer dan 15.000 apps bevat:

• Elke nacht vergelijken we de apps die via App-Packager in je tenant staan met de nieuwste versie in WinGet.
• Is er een nieuwe versie, dan downloaden en controleren we de installer (SHA256), verpakken we hem en zetten we hem in Intune als vervanger van de oude app, met dezelfde toewijzingen.
• Op de tenantpagina zie je welke apps verouderd zijn. Bijwerken kan ook handmatig, met één klik.
• Apps die je ooit met de hand hebt toegevoegd, herkent App-Packager op naam. Die kun je laten overnemen, zodat ze voortaan ook automatisch worden bijgewerkt.

Automatische updates zitten in het Pro- en MSP-pakket. Probeer het 14 dagen gratis.

Tips voor een veilige update-strategie

• Wijs updates eerst toe aan een pilotgroep en pas later aan iedereen.
• Controleer je detectieregels op versie (≥ nieuwe versie). Anders ziet Intune de oude versie als "geïnstalleerd". Zie detectieregels uitgelegd.
• Houd de oude, vervangen apps een tijdje aan voordat je ze opruimt: zo kun je terug als er iets misgaat.