קבע את התצורה של עדכונים אוטומטיים באמצעות yum

עדכון קבוע של מערכת CentOS שלך הוא אחד ההיבטים החשובים ביותר של אבטחת המערכת הכללית. אם אינך מעדכן את חבילות מערכת ההפעלה שלך באמצעות תיקוני האבטחה האחרונים, אתה משאיר את המחשב שלך פגיע להתקפות.

במדריך זה נעבור את תהליך הגדרת העדכונים האוטומטיים ב- CentOS 7. אותן הוראות חלות על CentOS 6.

תנאים מוקדמים

לפני שתמשיך במדריך זה, וודא שאתה מחובר כמשתמש עם הרשאות סודו.

התקנת חבילת יאם-קראון

חבילת yum-cron מאפשרת לך להפעיל אוטומטית את הפקודה yum כמשימה cron כדי לבדוק עדכונים, להוריד אותם ולהחיל אותם. רוב הסיכויים כי חבילה זו כבר מותקנת במערכת CentOS שלך. אם לא מותקן אתה יכול להתקין את החבילה על ידי הפעלת הפקודה הבאה:

sudo yum install yum-cron

לאחר השלמת ההתקנה, הפעל את השירות והפעל אותו:

sudo systemctl enable yum-cron sudo systemctl start yum-cron

כדי לוודא שהשירות פועל, הקלד את הפקודה הבאה:

systemctl status yum-cron

מידע על מצב שירות yum-cron יוצג על המסך:

● yum-cron.service - Run automatic yum updates as a cron job Loaded: loaded (/usr/lib/systemd/system/yum-cron.service; enabled; vendor preset: disabled) Active: active (exited) since Sat 2019-05-04 21:49:45 UTC; 8min ago Process: 2713 ExecStart=/bin/touch /var/lock/subsys/yum-cron (code=exited, status=0/SUCCESS) Main PID: 2713 (code=exited, status=0/SUCCESS) CGroup: /system.slice/yum-cron.service

הגדרת יאם-קראון

yum-cron מגיע עם שני קבצי תצורה המאוחסנים בספריית /etc/yum , קובץ התצורה yum-cron.conf וקובץ התצורה היומי yum-cron-hourly.conf .

שירות yum-cron רק אם עבודות ה- cron יפעלו או לא. כלי השירות yum-cron נקרא על ידי קבצי /etc/cron.daily/0yum-daily.cron ו- /etc/cron.daily/0yum-daily.cron cron.

כברירת מחדל, ה- cron השעתי מוגדר לא לעשות דבר. אם ישנם עדכונים זמינים, ה- cron היומי מוגדר להוריד אך לא להתקין את העדכונים הזמינים ולשלוח הודעות ל- stdout. תצורת ברירת המחדל מספיקה למערכות ייצור קריטיות בהן ברצונך לקבל התראות ולעשות את העדכון ידנית לאחר בדיקת העדכונים בשרתי הבדיקה.

קובץ התצורה מובנה בחלקים וכל קטע מכיל הערות המתארות את מה שעושה כל שורת תצורה.

כדי לערוך את קובץ התצורה yum-cron, פתח את הקובץ בעורך הטקסט שלך:

sudo nano /etc/yum/yum-cron-hourly.conf

בחלק הראשון, אתה יכול להגדיר את סוגי החבילות שברצונך לעדכן, לאפשר הודעות והורדות ולהגדיר להחיל עדכונים אוטומטית כאשר הם זמינים. כברירת מחדל, update_cmd מוגדר כברירת מחדל אשר יעדכן את כל החבילות. אם ברצונך להגדיר עדכונים אוטומטיים ללא השגחה, מומלץ לשנות את הערך security אשר יאמר לך לעדכן חבילות שרק תוקנות את נושא האבטחה.

בדוגמה הבאה שינינו את update_cmd security update_cmd עדכונים ללא השגחה על ידי הגדרת apply_updates ל- yes :

/etc/yum/yum-cron-hourly.conf

update_cmd = security update_messages = yes download_updates = yes apply_updates = no random_sleep = 360

החלקים השניים מגדירים כיצד לשלוח הודעות. כדי לשלוח הודעות ל- stdout וגם לדוא"ל, שנה את הערך של emit_via ל- stdio, email .

/etc/yum/yum-cron-hourly.conf

system_name = None emit_via = stdio, email output_width = 80

בתוך ה בחלק שאתה יכול להגדיר את כתובת הדוא"ל של השולח והמקלט. וודא כי ברשותך כלי שיכול לשלוח דוא"ל המותקנת במערכת שלך, כגון mailx או postfix.

/etc/yum/yum-cron-hourly.conf

email_from = [email protected] email_to = [email protected] email_host = localhost

ה החלק מאפשר לך לעקוף את ההגדרות שהוגדרו בקובץ yum.conf . אם ברצונך לא לכלול חבילות ספציפיות מעודכנות אתה יכול להשתמש בפרמטר exclude . בדוגמה הבאה אנו מחליגים את החבילה.

/etc/yum/yum-cron-hourly.conf

debuglevel = -2 mdpolicy = group:main exclude = mongodb*

אינך צריך להפעיל מחדש את שירות yum-cron כדי שהשינויים ייכנסו לתוקף.

הצגת יומנים

השתמש ב- grep כדי לבדוק אם עבודות ה- cron הקשורות ליום מבוצעות:

sudo grep yum /var/log/cron

May 4 22:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 22:32:01 localhost run-parts(/etc/cron.daily): starting 0yum-daily.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): finished 0yum-hourly.cron

ההיסטוריה של עדכוני ה- yum נרשמת בקובץ /var/log/yum . באפשרותך להציג את העדכונים האחרונים באמצעות פקודת הזנב:

sudo tail -f /var/log/yum.log

May 04 23:47:28 Updated: libgomp-4.8.5-36.el7_6.2.x86_64 May 04 23:47:31 Updated: bpftool-3.10.0-957.12.1.el7.x86_64 May 04 23:47:31 Updated: htop-2.2.0-3.el7.x86_64

סיכום

במדריך זה למדת כיצד להגדיר עדכונים אוטומטיים ולשמור על מערכת CentOS מעודכנת.

סנטה יום ביטחון