安全更新

待处理的补丁，与那次没人执行的重启

这一页把等待中的安全更新与普通软件包更新分开列出，同时告诉你无人值守升级是否已经配置好、上一次是什么时候跑的。

比任何软件包清单都更有分量的一栏，是那个表示需要重启的标记。内核与核心库的更新会顺利装上，但在机器重启之前它们什么也不做：也就是说，一台服务器按每一份报告看都已完全打好补丁，却仍在内存里跑着有漏洞的代码。在一台已经背着未生效内核补丁两百天的机器上，运行时长算不上什么成就。

无人值守升级几乎在任何服务器上都值得开启，但要作两处调整：把范围限定在安全归档而不是全部更新，并设定一个维护窗口，好让重启发生在你决定的时候。人们担心的那种情形——一次自动更新在无人看管时弄坏了某个服务——远比另一种情形罕见，那就是一个已知漏洞因为谁都腾不出时间而数月无人修补。

安装这些更新的是 unattended-upgrades，而工作并不止于安装。软件包会改动磁盘上的文件，因此 AIDE 与 debsums 的下一次运行会报出差异——都是正当的差异，但仍值得过一遍，以便把自己的改动同别人的区分开。重启过的服务值得单独看一眼：没能重新起来的那个，Monit 会发现。而自动更新处于开启状态这件事本身，Lynis 会计入加固指数——这是少数几项既能抬高评分、又确实降低风险的内容之一。