Pro e contro dell'installazione automatica degli aggiornamenti di sicurezza?

1

Recentemente sono entrato in una discussione riguardante l'installazione automatica degli aggiornamenti di sicurezza. Il sistema è utilizzato e gestito da una piccola organizzazione non profit, essenzialmente uno o due amministratori che gestiscono il sistema nel loro tempo libero. Di solito toccano la casella solo se ci sono aggiornamenti delle funzionalità da fare, o se qualcosa non funziona (cosa che in genere riscontra da parte delle persone che si lamentano perché non c'è monitoraggio).

Poiché c'è un alto rischio che gli amministratori trascurino gli aggiornamenti di sicurezza, ho suggerito di automatizzare gli aggiornamenti di sicurezza (in particolare l'installazione di soli aggiornamenti di sicurezza, non altri aggiornamenti). Ora qualcun altro ha affermato che nessun amministratore serio avrebbe mai configurato l'installazione automatica degli aggiornamenti software.

Le possibili ragioni contro l'automazione che riesco a pensare non mi sembrano importanti:

  • Archivio di aggiornamenti contraffatti - l'aggiornamento manuale rende questo non meno probabile che accada, e con una verifica della firma appropriata, questo dovrebbe essere abbastanza difficile da sfruttare.
  • Aggiornamenti che infrangono il sistema - gli aggiornamenti di sicurezza dovrebbero per la maggior parte mantenere la compatibilità dell'interfaccia e sarebbero quindi sostituzioni drop-in, quindi questo rischio è adeguatamente mitigato limitando l'installazione automatica agli aggiornamenti di sicurezza.
  • Danneggiamento dei dati a causa di aggiornamenti su un sistema in esecuzione: con le giuste procedure di installazione e installazione, mi aspetto che i pacchetti prendano le misure appropriate (ad esempio arrestando un servizio prima di aggiornarlo e riavviandolo in seguito).
  • Tempo di inattività: può essere controllato programmando gli aggiornamenti automatici da effettuare durante una finestra di manutenzione designata; a parte questo, lo considero meno un problema in questo caso particolare in quanto l'utilizzo del sistema è basso.

Qual è la raccomandazione generale riguardante l'installazione automatica degli aggiornamenti di sicurezza (considerando lo scenario di un sistema che riceve l'attenzione dell'amministratore solo sporadicamente)? Quali sono i rischi causati dall'installazione automatica degli aggiornamenti di sicurezza?

    
posta user149408 07.04.2018 - 18:19
fonte

2 risposte

3

Se guardi CIS Controls (precedentemente noto come TOP20 Critical Security Controls), e in particolare il numero # 3, troverai : Distribuire strumenti di aggiornamento software automatici per garantire che i sistemi operativi stiano eseguendo gli aggiornamenti di sicurezza più recenti forniti dal fornitore del software.

Quindi lo consiglierei, specialmente nel caso di "bassa attenzione da parte dell'amministratore".

Hai identificato bene i rischi, il più grande dei problemi operativi (aggiornamento che richiede un riavvio, aggiornamento di alcuni servizi, ecc.)

Per quanto riguarda il rischio di repository di aggiornamento contraffatto, oggi la maggior parte dei sistemi di aggiornamento si basa sull'autenticazione TLS e / o sulla firma del pacchetto, limitando questo rischio. Questo rischio è in genere inferiore a quello di un sistema con vulnerabilità critica priva di patch.

Alla fine della giornata, dovresti considerare anche l'esposizione al rischio del sistema (esposizione a Internet, ecc.) nella tua matrice decisionale.

    
risposta data 07.04.2018 - 21:31
fonte
2

Fraga dà una grande risposta. Mi piacerebbe solo aggiungere una rotazione DevOps ad esso.

Se hai serie preoccupazioni riguardo agli aggiornamenti che causano errori nei sistemi esistenti, puoi attenuarli eseguendo gli aggiornamenti di sistema attraverso una pipeline CI.

Questo è reso relativamente banale con l'uso di Docker. Dovresti "semplicemente" innescare una nuova immagine da costruire quando viene rilevato un aggiornamento della sicurezza per l'immagine di base o una delle tue dipendenze, eseguire la nuova immagine tramite test automatici e inviarla automaticamente alla produzione.

Ci sono modi per fare cose simili senza andare ai contenitori, ma Docker ha il vantaggio di fornire strumenti che rendono questo relativamente banale rispetto alle distribuzioni bare metal o alle macchine virtuali stateful.

    
risposta data 07.04.2018 - 21:46
fonte

Leggi altre domande sui tag