Automatyczne poprawki bezpieczeństwa w Ubuntu: konfiguracja i sprawdzenie

Automatyczne aktualizacje pomagają wtedy, gdy komputer rzeczywiście pobiera i instaluje poprawki, a nie tylko ma zaznaczoną odpowiednią opcję. Trzeba ustalić źródła pakietów, sposób uruchamiania zadania i zasady restartu. Dopiero wynik testu oraz późniejsze logi pokazują, czy mechanizm działa.

Poniższy przykład dotyczy Ubuntu z APT i systemd. Inne dystrybucje mogą korzystać z innego narzędzia; konfiguracji Ubuntu nie należy kopiować do Fedory ani traktować jako gotowej polityki dla Debiana. Zacznij od sprawdzenia, czy używane wydanie nadal otrzymuje poprawki bezpieczeństwa.

Przed konfiguracją sprawdź stan APT

Zapisz ważne ustawienia i przygotuj aktualną kopię danych. Przy pracy zdalnej ustal sposób odzyskania dostępu, jeśli aktualizacja usługi przerwie połączenie. Kopia katalogu domowego chroni pliki użytkownika, ale sama nie stanowi obrazu całego systemu ani kopii wszystkich ustawień usług.

W Ubuntu pakiet unattended-upgrades bywa już zainstalowany i włączony. Możesz sprawdzić jego stan poleceniem:

dpkg-query -W unattended-upgrades

Jeśli go brakuje, odśwież listę pakietów i zainstaluj narzędzie:

sudo apt update
sudo apt install unattended-upgrades

Przeczytaj proponowane zmiany przed zatwierdzeniem. Błędy pobierania, podpisów repozytorium lub konfiguracji pakietów wymagają wyjaśnienia. Wyłączenie kontroli podpisów nie jest naprawą automatycznych aktualizacji. Konto wykonujące zmiany potrzebuje właściwego dostępu przez sudo.

Oddziel częstotliwość od zakresu aktualizacji

Sprawdź istniejący plik /etc/apt/apt.conf.d/20auto-upgrades. Dwa podstawowe ustawienia mają postać:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

W tym mechanizmie wartość 1 oznacza okres jednego dnia, a 0 wyłącza daną czynność. Nie jest to wskazanie godziny ani polecenie wykonywane dokładnie co 24 godziny niezależnie od pracy komputera.

Edytuj istniejące ustawienia świadomie, zachowując kopię poprzedniej konfiguracji. Nie zastępuj całego katalogu plikami znalezionymi w poradniku. Każdy wpis wymaga cudzysłowu i końcowego średnika. Pliki w tym katalogu są wczytywane w określonej kolejności, więc późniejszy wpis może zmienić wartość pojedynczej opcji.

Zakres źródeł sprawdź w /etc/apt/apt.conf.d/50unattended-upgrades. Interesuje Cię polityka dla Twojego wydania, przede wszystkim poprawki bezpieczeństwa. Samo dodanie zewnętrznego repozytorium do APT nie oznacza, że jego pakiety będą automatycznie aktualizowane przez to narzędzie.

Nie kopiuj całego bloku dozwolonych źródeł z innej wersji systemu. Listy w konfiguracji APT mogą być rozszerzane kolejnymi wpisami; ponowne otwarcie bloku nie usuwa wcześniejszych pozycji. Dlatego sprawdzenie jednego pliku nie zawsze pokazuje pełny wynik. Polecenie apt-config dump pozwala obejrzeć konfigurację odczytaną przez APT.

Najpierw symulacja, później działanie w tle

Uruchom próbę bez instalowania aktualizacji:

sudo unattended-upgrade --dry-run --debug

Nazwa pakietu kończy się na -upgrades, a użyte tu polecenie na -upgrade. W komunikatach sprawdź dozwolone źródła, wybrane pakiety i ewentualne błędy. Brak pakietów do instalacji może oznaczać, że system jest już aktualny; nie jest samodzielnym dowodem awarii.

Symulacja nie potwierdza, że rzeczywista instalacja zakończyła się poprawnie ani że wszystkie aplikacje zachowają zgodność. Pokazuje przewidywany wybór pakietów i pomaga wychwycić błędną politykę. Jeśli wynik obejmuje nieoczekiwane repozytorium, wróć do konfiguracji przed pozostawieniem zadania bez nadzoru.

W systemie z systemd terminy zadań APT zobaczysz poleceniem:

systemctl list-timers --all 'apt-daily*'

Harmonogram może stosować losowe opóźnienie. Komputer wyłączony przez część dnia nie zainstaluje nic w tym czasie. Oceniaj kilka kolejnych uruchomień, zamiast uznawać brak działania o jednej konkretnej godzinie za usterkę.

Ustal, kto odpowiada za restart i kontrolę wyniku

Jeżeli restart ma pozostać decyzją użytkownika, sprawdź skuteczną wartość opcji:

Unattended-Upgrade::Automatic-Reboot "false";

To ustawienie nie oznacza, że wszystkie usługi pozostaną uruchomione bez przerwy. Aktualizacje mogą wymagać ich ponownego uruchomienia. Domowy serwer przechowujący dokumenty potrzebuje ustalonego czasu na takie prace i późniejszego sprawdzenia dostępu.

Wyniki narzędzia trafiają do /var/log/unattended-upgrades/unattended-upgrades.log, a przebieg operacji pakietowych do unattended-upgrades-dpkg.log w tym samym katalogu. Sprawdź datę ostatniego wykonania oraz rezultat, nie tylko obecność pliku. Po aktualizacji wymagającej restartu wykonaj go w dogodnym terminie i przetestuj najważniejsze funkcje.

Ta konfiguracja dotyczy wybranych pakietów APT. Programy instalowane innymi sposobami, w tym przez Snap lub Flatpak, wymagają własnych zasad aktualizacji. Automatyzacja nie zastępuje też przejścia z niewspieranego wydania Ubuntu na wersję nadal objętą utrzymaniem.