Автоматически проверять наличие обновлений безопасности в CentOS или Scientific Linux?

Если вы абсолютно хотите использовать yum security plugin Есть способ сделать это, хотя немного сложнее. Но как только вы это настроите, все будет автоматизировано.

Единственное требование - вам необходимо иметь хотя бы одну подписку на RHN. Что является хорошим инвестиционным ИМО, но давайте придерживаться сути.

1. Получив подписку, вы можете использовать mrepo или reposync для настройки внутреннего репозитория Yum, отражающего репозитории CentOS. (или вы можете просто использовать rsync).
2. Затем используйте скрипт, прикрепленный к этому сообщению в списке рассылки, чтобы периодически подключаться к вашей подписке RHN, чтобы загружать информацию о пакетах безопасности. Теперь у вас есть два варианта.
   1. Извлеките только имена пакетов из сгенерированного файла "updateinfo.xml". И используйте эту информацию для "поиска" на ваших серверах Rpms, нуждающихся в безопасности или других обновлениях, используя puppet или cfengine или ssh-in-a-for-loop. Это проще, дает вам все, что вы хотите, но вы не можете использовать yum security,
   2. Другой вариант заключается в использовании modifyrepo команда, как показано здесь, чтобы ввести updateinfo.xml в repomd.xml, Перед этим вам нужно будет изменить скрипт perl, чтобы изменить суммы Rpm MD5 внутри xml, от значений RHN до Centos. И вы должны будете убедиться, что репозитории CentOS действительно имеют все Rpms, упомянутые в updateinfo.xml, поскольку они иногда отстают от RHN. Но это нормально, вы можете игнорировать обновления, с которыми CentOS не догнал, так как мало что можно с этим поделать, за исключением построения их из SRPM.

С вариантом 2, вы можете установить yum security Плагин на всех клиентах, и он будет работать.

Изменить: Это также работает для Redhat RHEL 5 и 6 машин. И это проще, чем использование тяжелого решения, такого как Spacewalk или Pulp.

У меня такая же проблема. Я попытался создать некоторый код на Python, чтобы собрать обновления Yum и рекомендации с упомянутого выше сайта Steve-Meier Errata (я фильтрую его на основе установленных пакетов).

В случае, если это помогает, вот источник: https://github.com/wied03/centos-package-cron

На CentOS вы можете использовать

yum list updates

вместо yum-plugin-security или, может быть, вы хотите попробовать это сканирование сценариев на основе новостных лент безопасности CentOS: LVPS.

Scientific Linux (по крайней мере 6.2 и 6.3; у меня не осталось ни одной системы 6.1) не только поддерживает yum-plugin-security но файл конфигурации для yum-autoupdate, /etc/sysconfig/yum-autoupdateПозволяет включить только установку обновлений безопасности.

# USE_YUMSEC
#   This switches from using yum update to using yum-plugin-security
#     true  - run 'yum --security' update rather than 'yum update'
#     false - defaults to traditional behavior running 'yum update' (default)
#   + anything other than true defaults to false
#USE_YUMSEC="false"
USE_YUMSEC="true"

Поскольку у вас есть CFEngine, вы можете применять изменения к группам систем одновременно на основе обновлений безопасности, размещенных по адресу: http://twitter.com/

Я не самый большой инженер по серверной безопасности... но я склонен считать, что мне небезразлично лишь несколько пакетов, когда речь заходит о безопасности. Все, что является общедоступным (ssl, ssh, apache) или имеет существенный эксплойт, получает приоритет. Все остальное оценивается ежеквартально. Я не хочу, чтобы эти вещи обновлялись автоматически, потому что обновленные пакеты могут потенциально сломать другие элементы в производственной системе.

Вы также можете попробовать создать generate_updateinfo проект. Это скрипт Python, который обрабатывает errata.latest.xml файл, скомпилированный проектом CEFS и генерирующий updateinfo.xml файл с метаданными обновлений безопасности. Затем вы можете добавить его в свой локальный репозиторий обновлений CentOS 6 (7). Довольно просто интегрировать его с пользовательскими / локальными репозиториями, созданными createrepo команда:

• зеркальный репозиторий с reposync команда
• создать локальный репозиторий с createrepo команда
• скачать и сгенерировать updateinfo.xml файл с generate_updateinfo.py скрипт
• внедрить сгенерированные метаданные обновлений безопасности в локальный репозиторий с помощью modifyrepo команда

Для Centos 6, Centos 7 и Centos 8 самый простой способ - использовать Updateinfo Стива Мейера : репозиторий yum с информацией об ошибках CentOS.

Это готовое репо yum, которое обслуживает и обновляет автор проекта CEFS.

Это платная услуга, но на данный момент она стоит всего 3 доллара в месяц за неограниченное количество серверов (но рекомендуется использовать зеркало для большого парка).

Обратите внимание, что это то же самое, что вы можете сделать самостоятельно в соответствии с ответом dsmsk80. Но разве вы не предпочитаете поддерживать энтузиаста, который сделал это решение возможным?:)

На CentOS6 вы можете использовать плагин yum-security:

yum install yum-security

Проверить с:

yum --security check-update

Эта команда возвращает код 0, если нет доступных обновлений безопасности.

В сочетании с yum-cron вы можете получать электронную почту только при наличии доступных обновлений безопасности, изменив файл / etc / sysconfig / yum-cron:

YUM_PARAMETER="--security"