服务器部署在内网或者隔离环境，卡巴斯基病毒库没法自动更新，只能离线方式导入更新包。流程本身不算复杂，但有几个环节很容易踩坑，第一次操作尤其明显。
卡巴斯基专门针对离线场景提供工具Kaspersky Update Utility，简称KU。原理很直接：找一台可以访问外网的电脑运行工具，下载需要的更新文件到本地文件夹，把文件夹拷贝到U盘或者移动硬盘，转移到离线服务器导入。工具安装包可以在卡巴斯基技术支持网站获取，下载得到压缩包，解压运行UpdateUtility-Gui.exe。
打开工具不要直接点开始下载。默认会下载全部产品全套更新包，如果离线服务器只安装Kaspersky Endpoint Security for Windows，没必要连同Linux、Mac版本病毒库一起下载。主界面点击Applications按钮，左侧列出卡巴斯基各类产品分类，包含Administration tools、Workstations、Servers等。只勾选离线服务器实际部署的版本，Kaspersky Security Center和Endpoint Security版本号会显示在勾选框旁。选好点OK回到主界面。
接下来配置更新文件存放目录。在C盘新建两个文件夹，命名Updates和Temp，文件夹名称不要带中文、空格。右键文件夹打开属性，切换到安全选项卡，给Everyone用户开启完全控制权限。这一步看着多余，如果权限配置缺失，工具写入文件时会被系统拦截，抛出模糊报错。
回到KU主界面，进入Settings，打开Download设置项，找到Folders for updates，分别填入刚才创建文件夹路径，Updates存放正式更新文件，Temp存放临时文件。更新源选择Kaspersky update servers，从卡巴斯基官方服务器拉取数据。配置完成返回首页点击Start开始下载。下载体积取决于勾选产品数量，单一个Windows版本几百兆到一两G，全部勾选耗时很久。看到“Update distribution completed successfully”提示文字，代表下载完成。
此时Updates文件夹内就是完整离线更新包。把这个文件夹复制到U盘，转移至离线服务器本地目录，例如D:KasperskyOffline。打开离线服务器卡巴斯基管理控制台，找到更新任务属性，取消卡巴斯基官方服务器勾选，新增本地文件夹路径，指向存放更新包目录。保存配置，手动启动更新任务。卡巴斯基会读取本地文件夹内病毒库、软件模块，效果等同于线上更新。
这里有个细节值得留意。如果使用Kaspersky Security Center管理集群，管理服务器本身可以充当更新源。在管理服务器存储库设置，启用“将更新下载至管理服务器存储库”任务，搭配“复制下载的更新到附加文件夹”选项。管理服务器获取新版本更新之后，自动复制一份到指定文件夹。这个文件夹可以直接设置为移动硬盘目录，插上移动硬盘就能自动保存最新包，省去手动拷贝操作。管理服务器默认存储路径Linux环境是/var/opt/kaspersky/klnagent_srv/1093/.working/share_srv/Updates/，Windows环境UNC路径类似\<服务器名>KLSHAREUpdates。
离线服务器导入更新的时候，更新源路径必须和KU工具配置路径完全一致，字符不能有差别。比如KU输出到D:KasperskyOfflineUpdates，离线服务器更新源就必须填写这个完整路径，不能只填上级目录。很多新手栽在这个路径匹配要求上。
还有一个坑来自KU工具下载逻辑。工具依靠文件时间戳做增量更新，第二次运行只会拉取新增变更文件，Updates文件夹持续累积，不会每次全量覆盖。不用每次下载前清空旧文件，直接复用同一个文件夹即可。但如果文件夹混入其他来源旧文件，KU不会自动清理，离线服务器读取时可能加载过期数据。定期检查文件夹占用空间，必要时清理。
整套流程跑通之后后续就是重复操作：联网机器运行KU下载，拷贝文件，离线服务器执行更新。技术门槛不高，但每一步都不能出错，离线环境更新失败没有自动回退机制。遇到更新任务报错，优先核对更新源路径，再确认KU下载版本和离线服务器安装版本一致，排查这两点基本定位问题。