Ubuntu 无人值守升级/自动更新的安全性

Question

我正在尝试使几个 ubuntu 框保持最新并打补丁（10.4.2 LTS），我得到的一个建议是设置无人值守升级（https://help.ubuntu.com/community/自动安全更新）。

过去我一直反对设置自动更新，主要是因为它会在更新过程中破坏某些东西的偏执狂。但是，现在我开始质疑这有多有效（以及与可能未打补丁的服务器相比，它的风险有多大）。这是一个明智的想法吗？

我们也在设置 Puppet，但是创建模块/将服务器迁移到 Puppet 似乎还有很长的路要走。

Answer 1

我认为这取决于你的情况——你必须权衡风险。

更新出错会造成多大的损害？这是实时处理订单的生产服务器吗？一个小时的停机时间会花费你很多钱吗？

如果您不运行自动更新，您将更容易受到黑客和零日漏洞攻击。黑客能造成多大的伤害？您的服务器是否托管了大量非常敏感的信息，如果这些信息被盗，您可能会付出更多甚至几个小时的停机时间？

就个人而言，我在安全方面犯了错误并运行无人值守升级。但是为了尽量减少更新出错的可能性，我只进行安全更新，而我手动进行剩余的更新。

我认为如果更新会搞砸，在机器重新启动之前我不太可能注意到，在这种情况下，更新是手动安装还是自动安装没有区别。

Answer 2

最近我的 Ubuntu 软件包更新造成了严重破坏，因此我的建议是此时手动部署软件包（经过一些测试或至少是 VM 快照后），使用类似 apticron 的工具向您发送一封关于待定补丁。

也就是说，中央更新管理工具会好得多。不幸的是，似乎没有太大进展。