Maintenir un serveur cloud à jour

Bien que les mises à jour de packages ne puissent pas empêcher complètement les cyberattaques, vous pouvez éviter les serveurs compromis si les serveurs sont mis à jour avec les correctifs de sécurité appropriés. La mise à jour de vos serveurs doit être un élément clé de votre stratégie de sécurité.

Cet article décrit comment mettre à jour les packages sur votre serveur de cloud public Rackspace et comment les maintenir à jour.

Migrer hors des systèmes d'exploitation EOL

Une fois qu'un système d'exploitation (OS) atteint sa date de fin de vie (EOL), il n'est plus pris en charge par le fournisseur du système d'exploitation et ne reçoit plus de mises à jour de sécurité. Par exemple, CentOS5, Debian 6 (Squeeze) et Ubuntu 12 LTS ont atteint leur date de fin de vie. Consultez la page d'accueil de votre système d'exploitation pour connaître les dates de fin de vie et prévoyez de migrer vers un système d'exploitation plus récent avant la date de fin de vie.

Activer les mises à jour automatiques lors de la création d'un serveur

Lorsque vous créez un nouveau serveur de cloud public Rackspace via le panneau de configuration du cloud, vous pouvez activer les mises à jour automatiques.

Dans la section Installations recommandées de la page Créer un serveur, sélectionnez le correctif de sécurité du système d'exploitation appliqué aux images sélectionnées option.

Remarque : Cette option n'est pas disponible pour tous les types de serveurs cloud.

Activer les mises à jour automatiques sur les serveurs cloud existants

Si vos serveurs de cloud public Rackspace existants n'ont pas de mises à jour automatiques activées, vous pouvez les activer manuellement. Consultez les étapes suivantes pour votre système d'exploitation.

Windows 2008

Se connecter au serveur.
Depuis le début menu, sélectionnez Panneau de configuration> Système et sécurité .
Dans la section Windows Update , cliquez sur Activer ou désactiver la mise à jour automatique .
Dans le menu déroulant, sélectionnez Installer les mises à jour automatiquement (recommandé) .
Cochez la case sous Mises à jour recommandées afin que les mises à jour recommandées soient automatiques.
Pour autoriser tous les utilisateurs à installer les mises à jour sur le serveur, cochez la case sous Qui peut installer les mises à jour .

Windows 2012

Se connecter au serveur.
Cliquez sur l'icône Windows dans le coin inférieur gauche et sélectionnez Panneau de configuration> Système et sécurité .
Dans la mise à jour Windows section, cliquez sur Activer ou désactiver la mise à jour automatique .
Dans le menu déroulant, sélectionnez Installer les mises à jour automatiquement (recommandé) .
Cochez la case sous Mises à jour recommandées afin que les mises à jour recommandées soient automatiques.
Pour activer les mises à jour pour d'autres produits Microsoft en même temps que les mises à jour Windows sont terminées, cochez la case sous Microsoft Update .

Debian ou Ubuntu 14.04 et 16.04

Connectez-vous au serveur.
Exécutez sudo apt install unattended-upgrades .
Exécutez vim /etc/apt/apt.conf.d/50unattended-upgrades pour ouvrir le fichier de configuration.
Toute ligne commençant par "//" sera ignorée lors de l'exécution de la commande. Supprimez le "//" avant le ${distro\_id}:${distro\_codename}-update; ligne. Pour cela, saisissez « i » sur votre clavier, utilisez le pavé directionnel pour naviguer jusqu'à la ligne. Appuyez sur supprimer appuyez deux fois pour supprimer le "//".
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.
Utilisez vim /etc/apt/apt.conf.d/10periodic pour définir l'heure de récurrence souhaitée pour chacune des mises à jour. Cliquez sur la touche "i" de votre clavier pour entrer en mode "Insérer". Utilisez les touches de votre clavier pour naviguer jusqu'au nombre entre guillemets que vous souhaitez modifier. Appuyez sur supprimer appuyez deux fois sur la touche pour supprimer le nombre, puis entrez le nombre de fois que vous souhaitez que le serveur mette à jour chaque jour.
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.
(Facultatif) Configurez les notifications pour les mises à jour automatiques des packages (heure d'installation, packages installés, erreurs lors de l'installation) en saisissant sudo apt-get install apticron
Entrez vim /etc/apt/apt.conf.d/50unattended-upgrades pour configurer les mises à niveau sans surveillance. Faites défiler jusqu'à la partie contenant la ligne //Unattended-Upgrade::Mail "root"; puis entrez le i clé. Entrez le del touche deux fois pour supprimer le // au début de la ligne. Notez que la couleur de la ligne change. Déplacez le curseur vers la droite et saisissez del clé pour supprimer root entre les guillemets. Entrez l'e-mail que vous souhaitez utiliser entre les guillemets.
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.
Entrez vim /etc/apticron/apticron.conf et faites défiler jusqu'à la partie qui commence par "EMAIL". Cliquez sur la touche "i" de votre clavier, puis le curseur à droite et supprimez la root situé entre guillemets par. Entrez l'adresse e-mail entre les mêmes guillemets que vous souhaitez que les notifications soient envoyées.
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.

Red Hat Enterprise Linux (RHEL 6) et CentOS 6

Connectez-vous à votre serveur CentOS 6 ou RHEL 6, puis exécutez yum –y install yum-cron .
Pour afficher la configuration de yum-cron, exécutez vi /etc/sysconfig/yum-cron . Par défaut, la configuration doit être définie pour télécharger et installer les mises à jour.
(Facultatif) Configurez des notifications pour les mises à jour automatiques des packages (heure d'installation, packages installés, erreurs lors de l'installation). Appuyez sur la touche « i » de votre clavier pour passer en mode « INSERT », sauf si vous y êtes encore depuis les étapes précédentes). Utilisez les touches fléchées de votre clavier pour descendre jusqu'à la section avec un champ "MAILTO=". Saisissez l'e-mail souhaité après "MAILTO=".
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.
Démarrez le service yum-cron, exécutez /etc/inid.d/yum-cron start .
Pour configurer le serveur afin qu'il démarre le service yum-cron lors d'un redémarrage, exécutez chkconfig yum-cron on

Red Hat Enterprise Linux 7 (RHEL 7) et CentOS 7

Connectez-vous à votre serveur CentOS 7 ou RHEL 7, puis exécutez yum –y install yum-cron .
Exécutez vi /etc/sysconfig/yum-cron pour afficher la configuration de yum-cron.
Vérifiez que download\_updates et apply\_updates sont définis sur "oui" afin que les mises à jour automatiques soient activées.
(Facultatif) Des notifications peuvent être configurées afin que la sortie des mises à jour yum soit envoyée par e-mail pour informer l'utilisateur des mises à jour terminées et des mises à jour qui ont échoué. Utilisez les touches fléchées du clavier pour descendre jusqu'à la section intitulée « émetteurs ». Le emit\_via la valeur doit être définie sur stdio .
Déplacez votre curseur vers la section « e-mail ».
Mettez à jour la configuration pour modifier le email\_to champ à l'e-mail auquel vous souhaitez que la sortie vous soit envoyée.
Cliquez sur échap clé, puis entrez les clés :wq pour enregistrer la configuration. En cas de succès, un message indiquant que le fichier a été correctement écrit apparaît.
Exécutez systemctl status yum-cron pour vérifier que le service yum-cron est déjà actif. Si le service est inactif, exécutez systemctl start yum-cron .
Assurez-vous que le service yum-cron est configuré pour démarrer lors d'un redémarrage systemctl list-unit-files –type=service Trouvez le yum-cron.service process dans le fichier et assurez-vous qu'il est défini sur enabled . Si le processus est disabled lancez systemctl enable yum-cron .
Exécutez systemctl list-unit-files –type=service pour retrouver le service yum-cron. Le service ne doit pas être défini sur enabled .