ตามช่องโหว่ที่รุนแรงเมื่อเร็ว ๆ นี้ของ OpenSSL ฉันต้องการให้เครื่อง EC2 ของฉันได้รับการปรับปรุงเป็นประจำ วิธีการไร้เดียงสาจะเป็นการตั้งค่างาน cron รายชั่วโมงสำหรับการปรับปรุงความปลอดภัย ( sudo apt-get update && sudo unattended-upgrade)
มีความเสี่ยงในการทำเช่นนั้นหรือไม่? มีกลไกการอัพเดทที่แนะนำสำหรับเครื่อง EC2 หรือไม่?
คำตอบ:
แพ็คเกจการอัพเกรดแบบอัตโนมัติเป็นวิธีมาตรฐานในการใช้การแก้ไขข้อบกพร่องที่สำคัญและโปรแกรมแก้ไขความปลอดภัยใน Ubuntu โดยอัตโนมัติ
ฉันแนะนำให้ติดตั้งสิ่งนี้ในทุกระบบของ Ubuntu:
sudo apt-get update &&
sudo apt-get install unattended-upgrades
คุณไม่จำเป็นต้องสร้างงาน cron ของคุณเอง แพคเกจติดตั้งหนึ่งสำหรับคุณ
คุณสามารถแก้ไขการกำหนดค่าเริ่มต้นหากคุณต้องการเปลี่ยนพฤติกรรม: https://help.ubuntu.com/lts/serverguide/automatic-updates.html
เราใช้งานunattended-upgradesตั้งแต่ 2558 ถึง 2563 โดยไม่มีปัญหา เรามีการตั้งค่าเล็ก ๆ (ใน DigitalOcean) ด้วย:
nginxmysql-serverphp5-fpm php5-curl php5-mysqlจากประสิทธิภาพที่ดีในอดีตการอัปเดตด้วยวิธีนี้ทำให้รู้สึกปลอดภัยกว่าไม่ได้ทำ แต่นั่นไม่ได้รับประกันความจำเป็นสำหรับอนาคต!
นี่อาจไม่ใช่ความคิดที่ดีที่apacheอิงจากรายงานของผู้ใช้รายอื่นและประสบการณ์apacheการอัปเดตในอดีตของฉัน [ดูด้านบนและที่นี่ ]
ด้วยunattended-upgradesการแทรกแซงคู่มือจะยังคงถูกต้องเมื่อมีการเปิดตัวแนวทางEOL
(นอกเหนือจากคำถาม: จากประสบการณ์ของฉันกับ TWiki, WordPress และ Jenkins การทำให้แอพเหล่านี้เป็นสิ่งที่น่าเป็นห่วงมากกว่าระบบปฏิบัติการแม้ว่าจริง ๆ แล้วเราควรทำทั้งสองอย่างเพื่อความสงบของจิตใจ คุณสามารถแซนด์บ็อกซ์แอพที่เข้ากับอินเทอร์เน็ตได้เนื่องจากกระบวนการที่ไม่ใช่รูททำงานอยู่ภายในคอนเทนเนอร์ Docker
แต่เมื่อคุณถามถึงแนวปฏิบัติที่ดีที่สุดแนวทางหลักที่แนะนำในเอกสาร AWSคือ:
สร้างและเริ่มอินสแตนซ์ใหม่เพื่อแทนที่อินสแตนซ์ออนไลน์ปัจจุบันของคุณ จากนั้นลบอินสแตนซ์ปัจจุบัน
อินสแตนซ์ใหม่จะมีชุดความปลอดภัยล่าสุดติดตั้งระหว่างการติดตั้ง
(กุมภาพันธ์ 2020)
ซึ่งสามารถทำได้เป็นส่วนหนึ่งของกลยุทธ์การใช้งานสีเขียว ข้อดีที่นี่คือคุณสามารถทำการทดสอบกับเซิร์ฟเวอร์ใหม่ของคุณก่อนที่จะเปลี่ยนทราฟฟิก หากการทดสอบของคุณละเอียดถี่ถ้วนในทางทฤษฎีแล้วการอัปเดตของคุณอาจเป็นแบบอัตโนมัติเต็มรูปแบบได้รับการยืนยันก่อนที่จะใช้งานจริงและไม่มีการหยุดทำงาน
ข้อดีอื่น ๆ :
การทดสอบสามารถให้คำเตือนขั้นสูงแก่คุณหากจำเป็นต้องมีการเอาใจใส่จากมนุษย์ (ตรงข้ามกับunattended-upgradesเมื่อคำเตือนมาจากผู้ใช้ของคุณทันทีที่ปัญหาเกิดขึ้น!)
หากระบบของคุณถูกบุกรุกหรือคุณตัดสินใจที่จะเปลี่ยนผู้ให้บริการแนวทางนี้ควรทำให้ง่ายต่อการปรับใช้การปรับใช้ใหม่ กลยุทธ์การปรับใช้ของคุณถูกเขียนสคริปต์แทนที่จะเป็นหน่วยความจำโบราณ
แต่แน่นอนว่าต้องมีการตั้งค่าเพิ่มเติมสำหรับวิธีนี้มากกว่าเพียงแค่ติดตั้งunattended-upgradesและมีความซับซ้อนมากขึ้นดังนั้นจึงยังมีข้อผิดพลาดอยู่
AWS ไม่ยังกล่าวถึงการแสดง "อัปเดตการอ้างอิงคำสั่งสแต็ค" unattended-upgradesซึ่งดูเหมือนว่าจะเป็นวิธีการอย่างเป็นทางการของพวกเขาในการทำสิ่งที่คล้ายกับ ดูเหมือนว่าสามารถถูกทริกเกอร์จากอินสแตนซ์อินสแตนซ์ของพวกเขา แต่ฉันไม่แน่ใจว่ามันจะเป็นแบบอัตโนมัติ