Konfigurace automatických aktualizací zabezpečení Ubuntu 17.10

V dnešní době útoků na úrovni sítě musíme více zdůraznit důležitost aktualizace operačního systému pomocí nejnovějších bezpečnostních oprav vydaných výrobcem.

Existují různé typy aktualizací, ovladačů, aplikací, systému, ale jednou z nejdůležitějších a nejjemnějších jsou aktualizace zabezpečení. Přestože je Linux uveden jako jeden z nejbezpečnějších operačních systémů, ve skutečnosti jím je, nevylučuje to, že je náchylný k nějakému typu útoku.

Když je spuštěna nová edice operačního systému, jako v tomto případě Ubuntu 17.10, je pro vývojáře nejvíce doporučováno aktualizovat systém na úrovni zabezpečení v následujících 30 dnech.

Dnes se budeme zabývat velmi užitečným tématem na úrovni správy a tím je naplánovat automatické stahování a instalaci bezpečnostních aktualizací pro Ubuntu 17 a tím ušetříme čas a budeme mít jistotu, že systém bude mít vždy nejnovější aktualizace.

1. Aktualizujte balíčky a nainstalujte bezobslužné aktualizace na Ubuntu 17.10

Krok 1
Prvním krokem je aktualizovat balíčky nainstalované v systému spuštěním následujícího příkazu:

 sudo apt aktualizace

Krok 2
Jakmile jsou systémové balíčky aktualizovány, přistoupíme k instalaci bezobslužných aktualizací pomocí příkazu apt následujícího:

 sudo apt install bezobslužné upgrady

2. Upravte konfigurační adresář v Ubuntu 17.10

Po instalaci bude nutné upravit konfiguraci v konfiguračním adresáři /etc/apt/apt.conf.d.
Konfigurace bezobslužných aktualizací je k dispozici ve výše uvedeném adresáři, takže musíme upravit konfiguraci tak, aby definovala typ aktualizace, aktualizace černé listiny a nakonfigurovala jakoukoli další konfiguraci, která je v procesu uvedena.

Krok 1
Za tímto účelem přejdeme do adresáře /etc/apt/apt.conf.d a upravíme konfigurační soubor 50unattended-upgrades pomocí nano editoru:

 cd /etc/apt/apt.conf.d/sudo nano 50 bezobslužné upgrady

Krok 2
Bude to vypadat jako soubor:

3. Definujte typ aktualizace v Ubuntu 17.10

Bude nutné definovat typ aktualizace a / nebo upgradu pro operační systém. Balíček bezobslužné aktualizace poskytuje určitý druh automatických aktualizací, včetně aktualizace všech balíčků a pouze aktualizací zabezpečení. V tomto případě povolíme pouze aktualizaci zabezpečení pro Ubuntu 17.10.

V konfiguraci prvního bloku „Povolený původ“ budeme komentovat všechny řádky a ponecháme pouze řádek zabezpečení takto:

 Bezobslužný upgrade: Povolený původ {// "$ {distro_id}: $ {distro_codename}"; "$ {distro_id}: $ {distro_codename} -security"; // Rozšířená údržba zabezpečení; nemusí nutně existovat pro // každé vydání a tento systém jej nemusí mít nainstalovaný, ale pokud // je k dispozici, zásady pro aktualizace jsou takové, že by se odtamtud měly ve výchozím nastavení instalovat také bezobslužné upgrady //. // "$ {distro_id} ESM: $ {distro_codename}"; // "$ {distro_id}: $ {distro_codename} -updates"; // "$ {distro_id}: $ {distro_codename} -proposed"; // "$ {distro_id}: $ {distro_codename} -backports";

4. Konfigurujte balíčky černé listiny v Ubuntu 17.10

Ve druhém bloku je konfigurace balíčku černé listiny. Zde můžeme definovat, které balíčky jsou pro aktualizaci povoleny a které nikoli. To je užitečné, pokud nechceme, aby se v rámci operačního systému aktualizovaly určité balíčky.

V této sekci, jako příklad, nedovolíme aktualizovat 'vim', 'mysql-server' a 'mysql-client', v tomto případě by naše konfigurace černé listiny měla být podobná následující struktuře:

 Bezobslužná aktualizace: Package-Blacklist {"vim"; "mysql-server"; "mysql-klient"; // "libc6"; // "libc6-dev"; // "libc6-i686"; };

5. Další konfigurace v Ubuntu 17.10

Poté bude možné přidat a povolit některé funkce poskytované bezobslužnými aktualizacemi. Můžeme například nastavit upozornění e -mailem pro každou aktualizaci, povolit automatické odebrání nepoužívaných balíků (automaticky odebrat automaticky) a v případě potřeby povolit automatické restartování.

Krok 1
U e -mailových oznámení odkomentujte následující řádek:

 Bezobslužný upgrade :: Mail "root";

Krok 2
Pokud se rozhodneme přijímat e -mailová oznámení, musíme zajistit, aby v operačním systému byly nainstalovány balíčky mailx nebo sendmail. Ty lze nainstalovat pomocí následujícího příkazu:

 sudo apt install -y sendmail

Krok 3
Aby bylo možné automatické odebrání nepoužitých balíčků, odkomentujeme následující řádek a změníme jeho hodnotu na true:

 Bezobslužný upgrade: Odebrat nepoužité závislosti "true";

Krok 4
A pokud chceme po aktualizaci automatické restartování, v případě potřeby zrušíme odkomentování automatického restartu a změníme hodnotu na „true“:

 Bezobslužný upgrade: Automatický restart "true";

Krok 5
Po konfiguraci tohoto automatického restartu se server automaticky restartuje po instalaci všech aktualizačních balíčků. Čas restartování serveru však můžeme nakonfigurovat odkomentováním příslušného konfiguračního řádku a změnou hodnoty restartu takto:

 Bezobslužný upgrade :: Automatický čas restartu „00:00“;

Krok 6
Změny uložíme pomocí následující kombinace kláves:

Ctrl + O

Editor opustíme pomocí:

Ctrl + X

6. Povolte automatické aktualizace v Ubuntu 17.10

Krok 1
Chcete -li povolit automatické aktualizace balíčků v Ubuntu 17.10, musíme upravit konfiguraci automatických aktualizací přístupem do následujícího adresáře:

 cd /etc/apt/apt.conf.d/

Krok 2
jakmile přistoupíme, použijeme editor pro přístup k následujícímu souboru:

 sudo nano 20 automatické upgrady

Krok 3
Do nasazeného souboru přidáme následující:

 APT :: Periodic :: Update-Package-Lists "1"; APT :: Periodické :: Stahovatelné aktualizovatelné balíčky "1"; APT :: Periodický :: AutocleanInterval "3"; APT :: Periodický :: Bezobslužný upgrade "1";

Krok 4
Změny uložíme pomocí následující kombinace kláves:

Ctrl + O

Editor opustíme pomocí:

Ctrl + X

Krok 5
Přidané nebo nakonfigurované řádky jsou:

Seznamy aktualizačních balíčků1 umožňuje automatickou aktualizaci, 0 ji deaktivuje.

Stahovatelné aktualizovatelné balíčky1 povoluje balíček automatického stahování, 0 jej deaktivuje.

Autoclean IntervalUmožňuje povolení samočisticích balíčků na X dní. Konfigurace zobrazuje 3denní samočisticí balíčky.

Bezobslužný upgrade1 umožňuje automatickou aktualizaci, 0 ji deaktivuje.
V tomto okamžiku se všechny aktualizace zabezpečení automaticky stáhnou a poté nainstalují do operačního systému.

7. Ověření protokolů pro bezobslužné aktualizace 17.10

Abychom identifikovali všechny upgradované balíčky, musíme zkontrolovat protokoly bezobslužné aktualizace umístěné v adresáři / bar / log / unattended-upgrades.

Krok 1
Můžeme přejít do adresáře / var / log / unattended-upgrades a zkontrolovat dostupné protokoly:

 cd / var / log / unattended -upgradesls -lah

Krok 2
Vidíme tři protokoly:

unattended-upgrades-dpkg.logZahrnuje bezobslužné aktualizace protokolů akcí k aktualizaci, aktualizaci nebo odebrání balíčků.

unattended-upgrades.logJedná se o bezobslužný soubor protokolu. Obsahuje seznam balíčků aktualizace / upgradu, seznam balíčků blacklistů a chybovou zprávu bez obsluhy (pokud dojde k chybě).

bezobslužný-upgrades-shutdown.log souborOdkazuje na události vypnutí.

Krok 3
K ověření restartů systému můžeme použít následující příkaz:

 poslední restart

Díky těmto praktickým možnostem můžeme konfigurovat podle potřeb, které jsou aktuálně v organizaci.