Sikkerhetsoppdateringer

Ventende rettelser og omstarten ingen utfører

Denne siden lister sikkerhetsoppdateringene som venter, atskilt fra vanlige pakkeoppdateringer, sammen med om ubetjente oppgraderinger er satt opp og når de sist kjørte.

Feltet som veier tyngre enn noen pakkeliste er flagget for at omstart kreves. Oppdateringer av kjernen og av sentrale biblioteker installeres uten problemer og gjør ingenting før maskinen er startet på nytt: en server kan altså være fullstendig oppdatert ifølge enhver rapport og likevel kjøre den sårbare koden i minnet. Oppetid er ingen bragd på en maskin som har båret på en uanvendt kjernerettelse i to hundre dager.

Ubetjente oppgraderinger er verdt å slå på på nesten enhver server, med to justeringer: begrens dem til sikkerhetsarkivet i stedet for alle oppdateringer, og sett et vedlikeholdsvindu slik at omstarter skjer når du bestemmer. Scenariet man frykter — en automatisk oppdatering som ubevoktet ødelegger en tjeneste — er langt sjeldnere enn alternativet, nemlig en kjent sårbarhet som står uopprettet i måneder fordi ingen rakk det.

Oppdateringene installeres av unattended-upgrades, og arbeidet slutter ikke der. Pakker endrer filer på disken, så neste kjøring av AIDE og debsums melder avvik — legitime, men verdt å gå gjennom for å skille egne endringer fra andres. Omstartede tjenester fortjener et eget blikk: Monit merker den som ikke kom tilbake. Og at automatiske oppdateringer er slått på, regner Lynis inn i hardening index — et av de få punktene som hever karakteren og samtidig virkelig senker risikoen.