Sicherheitsupdates

Offene Sicherheitsupdates und der Neustart, den niemand macht

Diese Seite listet die wartenden Sicherheitsupdates, getrennt von gewöhnlichen Paket-Updates, zusammen mit der Frage, ob unattended-upgrades eingerichtet sind und wann sie zuletzt liefen.

Wichtiger als jede Paketliste ist das Reboot-required-Flag. Kernel- und Kernbibliotheks-Updates installieren sich erfolgreich und wirken erst nach einem Neustart. Ein Server kann also nach jedem Report vollständig gepatcht sein und weiterhin den verwundbaren Code im Speicher ausführen. Uptime ist keine Leistung auf einer Maschine, die seit zweihundert Tagen einen nicht angewandten Kernel-Patch mit sich trägt.

Unattended-upgrades lohnen sich auf fast jedem Server, mit zwei Anpassungen: auf das Security-Archiv beschränken statt auf alle Updates, und ein Wartungsfenster setzen, damit Neustarts dann geschehen, wenn Sie es wollen. Der gefürchtete Fall — ein automatisches Update zerlegt unbeaufsichtigt einen Dienst — ist weit seltener als die Alternative, nämlich eine bekannte Lücke, die monatelang offen bleibt, weil niemand Zeit hatte.

Installiert werden diese Aktualisierungen von unattended-upgrades, und mit der Installation ist es nicht getan. Pakete verändern Dateien auf der Festplatte, deshalb meldet der nächste Lauf von AIDE und debsums Abweichungen — berechtigte, die man aber durchsehen sollte, um Eigenes von Fremdem zu unterscheiden. Neu gestartete Dienste verdienen einen eigenen Blick: Monit bemerkt den, der nicht zurückgekommen ist. Und dass automatische Aktualisierungen aktiv sind, rechnet Lynis dem Hardening-Index an — einer der wenigen Punkte, der die Bewertung hebt und das Risiko tatsächlich senkt.