我订阅了CentOS-announce邮件列表，并且已经阅读了各种严重性标签的定义，例如Critical，Important，Moderate，Low，BugFix等等，但我还不清楚真正需要去的而且还有什么可以等待（因为我需要certificate我们正常工作的中断来获取更新）。
到目前为止，我试图尽快在我们的生产环境中应用关键更新。
什么是应用这些更新的正常时间表？ 他们经常发生这样的事情，我们不能很快地应用它们，因为它们需要被testing，以确保它们没有破坏我们的系统。
对于上下文，我们主要运行一个网站，系统上没有额外的用户，所以我通常不担心“本地攻击”，就像我担心远程攻击一样。 但是我觉得我还没有完全应用这些更新。
谢谢，
我为不同的客户pipe理了许多不同的网站，这通常是我所做的。
首先，安全更新的首要任务应该是Web应用程序本身 。 绝大多数的攻击将针对您的网站和运行它的代码，这需要保持安全。 如果您使用现成的networking应用程序，这是我甚至会考虑自动更新的一个地方，但在任何情况下，我绝不会让一个类似WordPress或Drupal的安全更新在testing之前超过24小时，而且很可能滚出去。
如果您的Web应用程序是自定义构build的，请确保您的开发人员始终关注安全问题，无论您的程度如何。 在这种情况下，您的组织应该开展DevOps工作，以确保Web开发人员和IT部门在一起工作，并及时解决问题。
之后，我认为下一个重要的更新是那些“病毒式”的，以及您听到的关于Heartbleed，POODLE等国家新闻的更新，以及关键path中的任何更新，例如nginx和PHP Drupal和WordPress网站。 我尽快为他们应用更新。 我也在上游软件包的邮件列表上 （例如我订阅了openssl-announce），以便尽快通知真正重要的事情。
接下来，我每月一次将更新应用到每个面向公众的服务器（Web前端，负载平衡器等）以及每个支持的服务器（数据库等）。 这包括任何剩余的安全性和错误修复更新。 在许多组织中，这是每季度完成的，但是我认为公共网站，尤其是那些从事电子商务的网站，不应该长期被腐蚀。 在周二微软补丁程序之后，我几乎总是这样做，这几乎总是有足够的时间来听取微软的不良更新（虽然我主要运行Linux系统，但是更新一切更容易一个周末）。
最后，我坐下来，放松一下，等着看什么时候rest。 尽pipe您在testing更新时做了最大的努力，但最终会出现问题。 注意你的监控系统。 如果有什么事情没有被监控，修复它，然后开始监控。 准备回滚（ yum history undo是有帮助的）。
它的一个非常大的部分取决于 。
显而易见的是，重要的安全更新通常是尽可能最好的安装，但只有您知道您的基础架构和平台。 什么是ASAP是特定于你的。 如果你正在运行一个Web服务器，最近的东西是：
“ CESA-2014：1919关键的CentOS 7 Firefox安全更新 ”
对你来说不是问题。 不用急。 如果您运行的是500个CentOS工作站，那么这个错误确实可能是至关重要的，您不需要进行任何或者很less的testing就可以推出这样的更新。
这样的决定应该是作为影响/风险评估的结果，可能是在你的安全官员的帮助下。
另一方面，对于您来说，风险可能会减轻，因为所有的工作站都被迫使用已经阻止这种恶意内容的networking代理，并且那些工作站的500名高薪用户无法正常工作。也是不可接受的风险。 那么ASAP是经过认真testing的意思。
相比之下，错误修复通常是不重要的，可以等待，除非您的环境正在遭受这些错误，那么您可能需要尽快解决这个问题。
那是红帽的Satellite服务器或太空行走项目变得更容易了，对于每个注册的系统，你可以看到哪些勘误和更新是适用的，反之，对于每个勘误，你会看到有多less系统受到影响。 这比仅有待更新的软件包列表好多了
我曾经工作的一些组织有非常简单的应用程序，将允许服务器自动打补丁。 “在红帽我们信任”。
其他人有两个内部版本，所有的勘误将被累积，只有非常具体的，可远程利用的关键更新将被排除在该时间表之外。 还有一两个被认为对我们的设置至关重要。 在非生产中，在工作日开始之前推送更新，早晨进行强制testing，在更新发布后不超过24小时的时间内进行生产。