我订阅了CentOS-announce邮件列表,并且已经阅读了各种严重性标签的定义,例如Critical,Important,Moderate,Low,BugFix等等,但我还不清楚真正需要去的而且还有什么可以等待(因为我需要certificate我们正常工作的中断来获取更新)。
到目前为止,我试图尽快在我们的生产环境中应用关键更新。
什么是应用这些更新的正常时间表? 他们经常发生这样的事情,我们不能很快地应用它们,因为它们需要被testing,以确保它们没有破坏我们的系统。
对于上下文,我们主要运行一个网站,系统上没有额外的用户,所以我通常不担心“本地攻击”,就像我担心远程攻击一样。 但是我觉得我还没有完全应用这些更新。
谢谢,
我为不同的客户pipe理了许多不同的网站,这通常是我所做的。
首先,安全更新的首要任务应该是Web应用程序本身 。 绝大多数的攻击将针对您的网站和运行它的代码,这需要保持安全。 如果您使用现成的networking应用程序,这是我甚至会考虑自动更新的一个地方,但在任何情况下,我绝不会让一个类似WordPress或Drupal的安全更新在testing之前超过24小时,而且很可能滚出去。
如果您的Web应用程序是自定义构build的,请确保您的开发人员始终关注安全问题,无论您的程度如何。 在这种情况下,您的组织应该开展DevOps工作,以确保Web开发人员和IT部门在一起工作,并及时解决问题。
之后,我认为下一个重要的更新是那些“病毒式”的,以及您听到的关于Heartbleed,POODLE等国家新闻的更新,以及关键path中的任何更新,例如nginx和PHP Drupal和WordPress网站。 我尽快为他们应用更新。 我也在上游软件包的邮件列表上 (例如我订阅了openssl-announce),以便尽快通知真正重要的事情。
接下来,我每月一次将更新应用到每个面向公众的服务器(Web前端,负载平衡器等)以及每个支持的服务器(数据库等)。 这包括任何剩余的安全性和错误修复更新。 在许多组织中,这是每季度完成的,但是我认为公共网站,尤其是那些从事电子商务的网站,不应该长期被腐蚀。 在周二微软补丁程序之后,我几乎总是这样做,这几乎总是有足够的时间来听取微软的不良更新(虽然我主要运行Linux系统,但是更新一切更容易一个周末)。
最后,我坐下来,放松一下,等着看什么时候rest。 尽pipe您在testing更新时做了最大的努力,但最终会出现问题。 注意你的监控系统。 如果有什么事情没有被监控,修复它,然后开始监控。 准备回滚( yum history undo
是有帮助的)。
它的一个非常大的部分取决于 。
显而易见的是,重要的安全更新通常是尽可能最好的安装,但只有您知道您的基础架构和平台。 什么是ASAP是特定于你的。 如果你正在运行一个Web服务器,最近的东西是:
“ CESA-2014:1919关键的CentOS 7 Firefox安全更新 ”
对你来说不是问题。 不用急。 如果您运行的是500个CentOS工作站,那么这个错误确实可能是至关重要的,您不需要进行任何或者很less的testing就可以推出这样的更新。
这样的决定应该是作为影响/风险评估的结果,可能是在你的安全官员的帮助下。
另一方面,对于您来说,风险可能会减轻,因为所有的工作站都被迫使用已经阻止这种恶意内容的networking代理,并且那些工作站的500名高薪用户无法正常工作。也是不可接受的风险。 那么ASAP是经过认真testing的意思。
相比之下,错误修复通常是不重要的,可以等待,除非您的环境正在遭受这些错误,那么您可能需要尽快解决这个问题。
那是红帽的Satellite服务器或太空行走项目变得更容易了,对于每个注册的系统,你可以看到哪些勘误和更新是适用的,反之,对于每个勘误,你会看到有多less系统受到影响。 这比仅有待更新的软件包列表好多了
我曾经工作的一些组织有非常简单的应用程序,将允许服务器自动打补丁。 “在红帽我们信任”。
其他人有两个内部版本,所有的勘误将被累积,只有非常具体的,可远程利用的关键更新将被排除在该时间表之外。 还有一两个被认为对我们的设置至关重要。 在非生产中,在工作日开始之前推送更新,早晨进行强制testing,在更新发布后不超过24小时的时间内进行生产。