Обеспечение безопасности операционной системы — один из приоритетов для любого администратора, особенно в случае использования серверов или рабочих станций, работающих на базе Linux. Debian и Ubuntu, как одни из самых популярных дистрибутивов, предоставляют встроенные инструменты для автоматического получения и установки обновлений безопасности. Это особенно актуально для минимизации риска эксплуатации уязвимостей, обнаруженных в установленных пакетах. В данной статье мы подробно рассмотрим, как включить и правильно настроить автоматическое обновление безопасности в системах Debian и Ubuntu.
Зачем нужны автоматические обновления безопасности
Безопасность в Linux-средах достигается во многом за счёт регулярного получения исправлений уязвимостей. Разработчики Debian и Ubuntu регулярно выпускают обновления, устраняющие ошибки, улучшающие стабильность и, главное, закрывающие известные бреши в безопасности. Однако администратор не всегда может оперативно следить за каждым таким патчем и вручную устанавливать обновления. Автоматизация этого процесса позволяет значительно снизить риск эксплуатации критических уязвимостей, особенно если речь идёт о публично доступных сервисах.
Установка необходимых пакетов
Для начала нужно убедиться, что в системе установлены нужные пакеты, отвечающие за фоновое обновление. Основной пакет, который отвечает за автоматическую установку обновлений в Ubuntu и Debian — это unattended-upgrades. Он работает в связке с apt, позволяя автоматически загружать и устанавливать обновления, в том числе только по безопасности.
Для установки достаточно выполнить одну простую команду в терминале:
После этого система уже способна выполнять автоматическое обновление, но потребуется корректная настройка конфигурационных файлов.
Активация автоматических обновлений
Ubuntu начиная с версии 18.04 часто устанавливает unattended-upgrades по умолчанию, но в Debian его, как правило, нужно активировать вручную. Для этого используется утилита dpkg-reconfigure, которая позволяет включить автозагрузку обновлений и настраивает нужные компоненты:
После запуска этого инструмента откроется диалоговое окно (в текстовом интерфейсе), где нужно выбрать «Yes» (или «Да»), чтобы разрешить автоматическую установку обновлений безопасности.
Редактирование конфигурации
Для более тонкой настройки стоит отредактировать основной конфигурационный файл /etc/apt/apt.conf.d/50unattended-upgrades. Внутри него указывается, какие репозитории и обновления нужно применять.
Для Ubuntu строка, отвечающая за обновления безопасности, выглядит так:
Для Debian она аналогична. Убедитесь, что она не закомментирована (не начинается со знака //). Также можно включить дополнительные типы обновлений, такие как обновления из updates или backports, но это увеличивает риск нарушения стабильности.
Если вы хотите получать минимальные, но важные обновления, достаточно оставить только ветку -security.
Настройка частоты и поведения обновлений
Файл /etc/apt/apt.conf.d/20auto-upgrades управляет поведением системы в отношении частоты обновлений. В нём содержатся следующие параметры:
Значение «1» означает, что операция выполняется ежедневно. Если вы хотите изменить частоту (например, каждые два дня), можно установить значение «2». Первый параметр отвечает за обновление списка пакетов, второй — за саму установку.
Ведение логов и отладка
После включения автообновлений важно убедиться, что они работают корректно. Все действия unattended-upgrades логируются в файле /var/log/unattended-upgrades/unattended-upgrades.log. Здесь вы можете увидеть, какие пакеты были установлены, были ли ошибки, и в каком режиме работала система.
Также для диагностики можно вручную запустить обновление:
Режим --dry-run позволяет проверить, какие обновления будут установлены без фактического применения изменений. Это особенно полезно для отладки конфигурации.
Обновление с перезагрузкой (если требуется)
Некоторые обновления безопасности, например ядра Linux или системных библиотек, требуют перезагрузки системы. Если вы хотите, чтобы система могла автоматически перезагружаться в случае необходимости, в конфигурационном файле /etc/apt/apt.conf.d/50unattended-upgrades следует раскомментировать строку:
Также можно задать время, в которое допускается перезагрузка, например:
Это особенно важно для серверов, где нужно избегать неожиданных простоев в рабочее время.
Выводы
Настройка автоматического обновления безопасности — это важный шаг к обеспечению защищённости вашей системы. В Debian и Ubuntu реализована надёжная и гибкая система автоматических обновлений, которую можно легко активировать и настроить под конкретные нужды. Благодаря unattended-upgrades вы можете быть уверены, что даже без вашего участия система будет своевременно получать важнейшие исправления уязвимостей, снижая риски как для рабочих станций, так и для серверов.