Beveiligingsupdates

Openstaande patches en de herstart die niemand uitvoert

Deze pagina somt de wachtende beveiligingsupdates op, gescheiden van gewone pakketupdates, samen met de vraag of onbeheerde upgrades zijn ingericht en wanneer ze voor het laatst draaiden.

Het veld dat zwaarder weegt dan welke pakketlijst ook, is de vlag dat een herstart nodig is. Updates van de kernel en van kernbibliotheken installeren zich met succes en doen niets tot de machine opnieuw start: een server kan dus volgens elk rapport volledig gepatcht zijn en tegelijk de kwetsbare code in het geheugen blijven draaien. Uptime is geen prestatie op een machine die al tweehonderd dagen een niet-toegepaste kernelpatch met zich meedraagt.

Onbeheerde upgrades zijn op vrijwel elke server de moeite waard, met twee aanpassingen: beperk ze tot het beveiligingsarchief in plaats van alle updates, en stel een onderhoudsvenster in zodat herstarts plaatsvinden wanneer u dat wilt. Het gevreesde scenario — een automatische update die onbewaakt een dienst sloopt — komt veel minder vaak voor dan het alternatief, namelijk een bekende kwetsbaarheid die maandenlang ongepatcht blijft omdat niemand tijd had.

Deze updates worden geïnstalleerd door unattended-upgrades, en met de installatie houdt het niet op. Pakketten wijzigen bestanden op schijf, dus de eerstvolgende gang van AIDE en debsums meldt afwijkingen — legitieme, maar het loont ze door te nemen om eigen wijzigingen van vreemde te onderscheiden. Herstarte diensten verdienen een aparte blik: Monit merkt degene op die niet is teruggekomen. En dat automatische updates aanstaan, telt Lynis mee voor de hardening index — een van de weinige punten die het cijfer verhoogt en het risico werkelijk verlaagt.