Автоматически проверьте на Обновления системы защиты на CentOS или Научном Linux?

Если вы абсолютно хотите использовать плагин безопасности yum , есть способ сделать это, хотя и немного сложный. Но после настройки все происходит автоматически.

Единственное требование - у вас должна быть хотя бы одна подписка на RHN. Это хорошее вложение, IMO, но давайте придерживаться сути.

1. После того, как у вас есть подписка, вы можете использовать mrepo или reposync , чтобы настроить репозиторий Yum, который является зеркалом репозиториев CentOS. (или вы можете просто использовать rsync).
2. Затем используйте скрипт, прикрепленный к этому сообщению списка рассылки , чтобы периодически подключаться к вашей подписке RHN и загружать информацию о пакетах безопасности. Теперь у вас есть два варианта.
   1. Извлеките только имена пакетов из сгенерированного файла «updateinfo.xml». И используйте эту информацию для «поиска» на ваших серверах Rpms, требующих безопасности или других обновлений, с помощью puppet, cfengine или ssh-in-a-for-loop. Это проще, дает вам все , что вы хотите, но вы не можете использовать yum security .
   2. Другой вариант - использовать команду modifyrepo как показано здесь , чтобы вставить updateinfo.xml в repomd.xml . Перед тем, как это сделает, вам нужно будет изменить сценарий perl, чтобы изменить суммы Rpm MD5 внутри xml, с RHN на суммы Centos. И вам нужно будет убедиться, что в репозиториях CentOS действительно есть все Rpms, упомянутые в updateinfo.xml , поскольку они иногда находятся за RHN. Но это' Хорошо, вы можете игнорировать обновления, которые CentOS не успела догнать, так как вы мало что можете с этим поделать, кроме создания их из SRPM.

С вариантом 2 вы можете установить yum security на всех клиентах, и он будет работать.

Изменить: это также работает для машин Redhat RHEL 5 и 6. И это проще, чем использовать тяжелые решения, такие как Spacewalk или Pulp.

Поскольку у вас есть CFEngine, вы можете применять изменения к группам систем во время на основе обновлений безопасности, размещенных по адресу: http://twitter.com/#!/CentOS_Announce

Я не самый крупный инженер по безопасности серверов ... но мне кажется, что когда дело касается безопасности, меня интересуют только несколько пакетов. Все, что открыто (ssl, ssh, apache) или имеет серьезный эксплойт, получает приоритет. Все остальное оценивается ежеквартально. Я не хочу, чтобы эти вещи обновлялись автоматически, потому что обновленные пакеты потенциально могут нарушить работу других элементов производственной системы.

Scientific Linux (как минимум 6.2 и 6.3; у меня не осталось систем 6.1) не только поддерживает yum-plugin-security , но и файл конфигурации для yum-autoupdate , / etc / sysconfig / yum-autoupdate , позволяет включить только установку обновлений безопасности.

# USE_YUMSEC
#   This switches from using yum update to using yum-plugin-security
#     true  - run 'yum --security' update rather than 'yum update'
#     false - defaults to traditional behavior running 'yum update' (default)
#   + anything other than true defaults to false
#USE_YUMSEC="false"
USE_YUMSEC="true"

В CentOS вы можете использовать

yum list updates

вместо yum-plugin-security, или, может быть, вы захотите попробовать это сканирование скрипта на основе лент новостей безопасности CentOS: LVPS .

На CentOS6 можно использовать плагин yum-security:

yum install yum-security

Проверьте:

yum --security check-update

Эта команда возвращает код 0, если обновления системы безопасности недоступны.

В сочетании с yum-cron, вы можете получить письмо только о доступных обновлениях безопасности, изменив файл /etc/sysconfig/yum-cron:

YUM_PARAMETER="--security"

У меня была такая же проблема. Я попытался создать код Python для объединения обновлений Yum и рекомендаций с упомянутого выше сайта Steve-Meier Errata (я фильтрую его по установленным пакетам).

Если это помогает, вот источник: https://github.com/wied03/centos-package-cron

Также можно попробовать проект generated_updateinfo. Это питоновый скрипт, который обрабатывает файл errata.last.xml, скомпилированный проектом CEFS и генерирует файл updateinfo.xml с метаданными обновления безопасности. Затем вы можете внедрить его в локальный репозиторий обновлений CentOS 6 (7). Довольно просто интегрировать его с пользовательскими/локальными репозиториями, созданными командой createrepo:

• зеркальное хранилище с помощью reposync command
• create local repository с помощью createrepo command
• download и генерирует файл updateinfo.xml с помощью generated_updateinfo. py скрипт
• внедряет сгенерированные метаданные обновлений безопасности в ваше локальное хранилище с помощью modifyrepo команды

Для Centos 6, Centos 7 и Centos 8 проще всего использовать Updateinfo Стива Мейера: репозиторий yum с информацией об ошибках CentOS. .

Это готовый репозиторий yum, обслуживаемый и обновляемый автором проекта CEFS.

Это платная услуга, но на данный момент она стоит всего лишь 3 доллара в месяц за неограниченное количество серверов (но рекомендуется использовать зеркало для большого парка).

Обратите внимание, что это то же самое, что вы можете сделать самостоятельно согласно ответу dsmsk80. Но разве вы не предпочитаете вместо этого поддержать энтузиаста, который сделал это решение возможным? :)