¿Pros y contras de instalar actualizaciones de seguridad automáticamente?

Navega tus respuestas
1

Hace poco tuve una discusión sobre la instalación automática de actualizaciones de seguridad. El sistema es usado y administrado por una pequeña organización sin fines de lucro, esencialmente uno o dos administradores que administran el sistema en su tiempo libre. Por lo general, solo tocan la casilla si hay actualizaciones de características por hacer, o si algo no funciona (lo que generalmente descubren las personas que se quejan de ello, ya que no hay monitoreo).

Dado que existe un alto riesgo de que los administradores descuiden las actualizaciones de seguridad, sugerí automatizar las actualizaciones de seguridad (específicamente, instalar solo actualizaciones de seguridad, no otras actualizaciones). Ahora, otra persona afirmó que ningún administrador serio configuraría la instalación automática de actualizaciones de software.

Las posibles razones contra la automatización que se me ocurren no me parecen problemas importantes:

  • Repositorio de actualizaciones falsificadas: la actualización manual hace que esto no sea menos probable y, con la verificación de firmas adecuada, esto debería ser bastante difícil de explotar.
  • Las actualizaciones que rompen el sistema: la mayoría de las actualizaciones de seguridad deben mantener la compatibilidad de la interfaz y, por lo tanto, serían reemplazos directos, por lo tanto, este riesgo se mitiga adecuadamente al limitar la instalación automática a las actualizaciones de seguridad.
  • Corrupción de datos debido a las actualizaciones en un sistema en ejecución: con el empaquetado y las rutinas de instalación adecuadas, esperaría que los paquetes tomen las medidas adecuadas (por ejemplo, apagar un servicio antes de actualizarlo y reiniciarlo después).
  • Tiempo de inactividad: se puede controlar mediante la programación de actualizaciones automáticas que se llevarán a cabo durante una ventana de mantenimiento designada; Aparte de eso, considero que es un problema menor en este caso particular, ya que el uso del sistema es bajo.

¿Cuál es la recomendación general con respecto a la instalación automática de actualizaciones de seguridad (considerando el escenario de un sistema que atrae la atención del administrador solo de forma esporádica)? ¿Cuáles son los riesgos causados por la instalación automática de actualizaciones de seguridad?

    
pregunta user149408 07.04.2018 - 18:19
fuente

2 respuestas

3

Si observa los controles CIS (anteriormente conocidos como TOP20 Critical Security Controls), y particularmente el número # 3, encontrarás : Implemente herramientas de actualización de software automatizadas para garantizar que los sistemas operativos estén ejecutando las actualizaciones de seguridad más recientes proporcionadas por el proveedor de software.

Por lo tanto, lo recomendaría, especialmente en el caso de "baja atención de administrador".

Ha identificado bien los riesgos, el mayor de ellos son los problemas operativos (la actualización requiere un reinicio, la actualización detiene algunos servicios, etc.).

Con respecto al riesgo de un depósito de actualizaciones falsificado, hoy en día la mayoría de los sistemas de actualización se basan en la autenticación TLS y / o la firma del paquete, lo que limita este riesgo. De todos modos, este riesgo es generalmente más bajo que ejecutar un sistema con una vulnerabilidad crítica sin parches.

Al final del día, también debe considerar la exposición al riesgo del sistema (exposición a internet, etc.) en su matriz de decisión.

    
respondido por el fraga 07.04.2018 - 21:31
fuente
2

Fraga da una gran respuesta. Solo me gustaría añadirle un giro DevOps.

Si tiene serias inquietudes acerca de las actualizaciones que causan fallas en los sistemas existentes, puede mitigar eso ejecutando las actualizaciones del sistema a través de un canal de CI.

Esto se hace relativamente trivial con el uso de Docker. Usted "simplemente" activará una nueva imagen que se creará cuando se detecte una actualización de seguridad para su imagen base o cualquiera de sus dependencias, ejecute la nueva imagen a través de pruebas automatizadas, y empuje automáticamente esa imagen a producción.

Hay formas de hacer cosas similares sin tener que ir a los contenedores, pero Docker tiene la ventaja de proporcionar herramientas que hacen que esto sea relativamente trivial en comparación con implementaciones simples o máquinas virtuales con estado.

    
respondido por el nbering 07.04.2018 - 21:46
fuente

Lea otras preguntas en las etiquetas

Las inyecciones de SQL no parecen funcionar ¿Los estándares TLS requieren que se use siempre la preferencia del lado del servidor cuando se negocien los cifrados?