È sicuro eseguire apt-get update ogni notte?

È sicuro eseguire apt-get update -ycron su un server di produzione?

Potrebbe essere sicuro o, più precisamente, il livello di rischio potrebbe rientrare nella tua gamma di comfort. Il livello di rischio accettabile dipenderà da diversi fattori.

Hai un buon sistema di backup che ti permetterà di tornare rapidamente in caso di problemi?

Stai inoltrando il server si disconnette su un sistema remoto in modo che se la scatola va a vuoto saprai ancora cosa è successo?

Sei disposto ad accettare la possibilità che qualcosa si rompa e potresti dover fare un rapido ripristino / ripristino del sistema se qualcosa fallisce?

Hai compilato manualmente qualcosa da solo o assolutamente tutto ciò che è installato sul tuo sistema proviene dai repository ufficiali? Se hai installato qualcosa localmente, c'è la possibilità che una modifica a monte possa interrompere il tuo software locale gestito / installato.

Qual è il ruolo di questo sistema? È qualcosa che difficilmente ci mancherebbe se morisse (ad esempio un server DNS secondario) o è il pezzo centrale della tua infrastruttura (ad esempio server LDAP o file server primario).

Vuoi configurarlo perché nessuno dei responsabili del server ha il tempo di mantenere le patch di sicurezza? Il potenziale rischio di essere compromesso da una vulnerabilità senza patch potrebbe essere maggiore del potenziale per un aggiornamento errato.

Se pensi davvero di volerlo fare, ti suggerisco di utilizzare uno degli strumenti che sono già disponibili per questo scopo cron-apt. Hanno una logica per essere più sicuri di un semplice cieco apt-get -y update.

Sì, purché si parli di aggiornamento e non di aggiornamento . Apt lo farà anche per te se metti la linea:

APT::Periodic::Update-Package-Lists "1";

in un file sotto /etc/apt/apt.conf.d/

È generalmente sicuro, ma non lo consiglierei per un semplice motivo:

• Perdi uno stato noto.

Nell'ambiente di produzione, devi sapere esattamente cosa c'è dentro o cosa dovrebbe esserci, ed essere in grado di riprodurre facilmente quello stato.

Eventuali modifiche devono essere apportate tramite il processo di gestione delle modifiche, in cui la società è pienamente consapevole di ciò che stanno entrando, in modo che possano successivamente analizzare ciò che è andato storto e così via.

Gli aggiornamenti notturni rendono questo tipo di analisi impossibile o più difficile da eseguire.

Potrei farlo su stable, o su Ubuntu, ma non su un ramo instabile o addirittura sul ramo di test.

Tuttavia, quando indosso il mio cappello da amministratore di sistema, credo che dovrei applicare manualmente tutti gli aggiornamenti, in modo da poter mantenere la coerenza tra i server e anche, se un giorno si rompe un servizio, so quando ho aggiornato l'ultima volta che servizio. È qualcosa che potrei non controllare se gli aggiornamenti procedessero automaticamente.

Usiamo stabile e programmiamo l'aggiornamento apt-get per martedì sera sulla maggior parte dei nostri sistemi Debian (coincide con i nostri aggiornamenti "patch martedì" di Microsoft). Funziona bene. Abbiamo anche registrato tutti gli eventi di aggiornamento su Nagios, quindi possiamo vedere una cronologia di quando gli aggiornamenti sono stati eseguiti l'ultima volta su qualsiasi server.

Quando si specifica che si tratta di un server "di produzione", significa che ci sono anche server di sviluppo e test? In tal caso, le patch devono essere testate su tali sistemi prima di essere installate sulla scatola di produzione.

Non lo farei. Si verificano patch errate e non vorrei che un sistema non funzionasse nel bel mezzo della notte o mentre non fossi altrimenti disponibile. Dovrebbero essere inseriti in una finestra di manutenzione quando è disponibile un amministratore per monitorare l'aggiornamento.

Ricordo di averlo fatto in un lavoro precedente; Ho riscontrato problemi sul server di produzione perché un aggiornamento ha riscritto automaticamente un file di configurazione.

Pertanto, ti consiglio di supervisionare gli aggiornamenti.

Se l'alternativa sta applicando gli aggiornamenti in modo irregolare, non segui attivamente gli aggiornamenti di sicurezza e stai eseguendo una Lenny stabile alla vaniglia, quindi l'aggiornamento automatico probabilmente aumenterà la sicurezza della tua macchina, poiché aggiornerai le falle di sicurezza conosciute più velocemente.

Ubuntu Server ha un pacchetto che gli permetterà di aggiornare automaticamente gli aggiornamenti di sicurezza. Ti consente di inserire nella lista nera anche alcune app. Parla anche di apticron che ti invierà un'email quando ci sono aggiornamenti disponibili per il tuo server.

Puoi saperne di più nelle pagine seguenti a seconda della versione di Ubuntu Server in esecuzione.

• 8.10
• 9.04
• 9.10

EDIT: Supponendo che stai eseguendo Ubuntu. Anche se scommetterei che gli stessi pacchetti e la soluzione sono disponibili su Debian.

Dai un'occhiata a cron-apt. Scarica solo gli elenchi e i file del pacchetto per impostazione predefinita, ma è possibile ottimizzarlo per inviare e-mail o persino aggiornare il sistema.

Questo dipende dalla tua infrastruttura. Se ho una sola macchina, di solito rivedo gli aggiornamenti e vedo di cosa ho bisogno o cosa posso evitare. Se sto usando un cluster, a volte lancio le modifiche su una macchina, vedo come vanno e poi lo distribuisco alle altre macchine se tutto sembra a posto.

Aggiornamenti del database che tengo sempre d'occhio.

Se si dispone di un file system che supporta lo snap shotting, può essere davvero utile per eseguire l'istantanea del sistema, applicare gli aggiornamenti e quindi avere la possibilità di ripristinare le modifiche se qualcosa va terribilmente storto.

Prova a scoprire perché un pacchetto viene aggiornato? è corretto? correzione di sicurezza? è un comando locale o un servizio di rete remoto ?. Il software è stato testato con i nuovi aggiornamenti?

Gli aggiornamenti del kernel dovrebbero essere affrontati con maggiore cautela. Prova a scoprire perché il kernel è in fase di aggiornamento? Hai davvero bisogno di quei cambiamenti? avrà effetto sulla tua applicazione. Devo applicarlo per motivi di sicurezza?

9 volte su 10 aggiornamenti software andranno bene, ma sono quelle rare volte che ti lasciano come un mucchio di spazzatura, hanno un piano di rollback o di ripristino del sistema in atto.