Обновления безопасности

Ожидающие патчи и перезагрузка, которую никто не делает

Эта страница перечисляет ожидающие обновления безопасности отдельно от обычных обновлений пакетов, вместе с тем, настроены ли автоматические обновления и когда они отрабатывали в последний раз.

Поле, которое весит больше любого списка пакетов, — признак необходимости перезагрузки. Обновления ядра и ключевых библиотек устанавливаются успешно и не делают ничего, пока машину не перезапустят: сервер, стало быть, может быть по каждому отчёту полностью пропатчен и продолжать выполнять уязвимый код в памяти. Время работы — не достижение на машине, которая двести дней носит в себе неприменённый патч ядра.

Автоматические обновления стоит включить почти на любом сервере, с двумя поправками: ограничьте их архивом безопасности вместо всех обновлений и задайте окно обслуживания, чтобы перезагрузки происходили тогда, когда решите вы. Сценарий, которого боятся, — автоматическое обновление, без присмотра ломающее службу, — встречается куда реже противоположного, то есть известной уязвимости, оставленной без патча на месяцы, потому что ни у кого не дошли руки.

Ставит эти обновления unattended-upgrades, и работа на установке не заканчивается. Пакеты меняют файлы на диске, поэтому ближайший прогон AIDE и debsums покажет расхождения — законные, но просмотреть их стоит, чтобы отличить своё от чужого. Перезапущенные службы проверяются отдельно: Monit заметит ту, что не поднялась обратно. А сам факт включённых автообновлений Lynis засчитывает в hardening index — один из немногих пунктов, который поднимает оценку и вправду уменьшает риск.