Mantengo algunos servidores web que ejecutan ubuntu, apache, mysql y python / django. Actualizo todas las bibliotecas trimestralmente, pero me gustaría actualizar más a menudo cuando se lance un parche para una vulnerabilidad importante.
¿Hay algún buen servicio para registrarse para recibir alertas por correo electrónico?
Puedes intentar registrarte en el Resumen de vulnerabilidad semanal de US-CERT .
El boletín de seguridad cibernética US-CERT proporciona un resumen de los nuevos vulnerabilidades que han sido registradas por el Instituto Nacional de Base de Datos de Vulnerabilidad Nacional (NVID) de Normas y Tecnología (NIST) en la semana pasada.
US-CERT también tiene otras alertas y opciones, incluidas las fuentes ATOM. Eche un vistazo a enlace .
La herramienta CASSANDRA de la Universidad de Purdue "simplifica mantenerse actualizado con las vulnerabilidades en la Base de datos de vulnerabilidad nacional (NVD, anteriormente ICAT) o Secunia. En lugar de ir a estos sitios todos los días y repetir sus búsquedas, Cassandra hace el trabajo para usted (incluso dos veces al día para Secunia). Funciona guardando listas de productos, proveedores y palabras clave en 'perfiles'. Siempre que haya nueva información disponible, Cassandra puede notificarle por correo electrónico. Puede crear tantos perfiles como desee, por redes, instalaciones típicas, hosts importantes o simplemente áreas de interés para usted. Lo importante es que debe recibir correos electrónicos solo para las cosas que sean relevantes para usted, de modo que no tenga que escanear cada mensaje en varias listas de correo ".
La interfaz de configuración es engorrosa, pero es gratuita y funciona.
Secunia también hace un pequeño paquete glorioso llamado Secunia PSI que le avisa cuando hay parches disponibles para el software instalado en su computadora. PSI es para uso personal, y es gratis. Para los dispositivos que no son Windows, obviamente es una buena idea suscribirse a la lista CERT relevante. El problema que tengo con las listas de CERT es que no informan sobre los errores de menor impacto que aún pueden ser realmente problemáticos para los usuarios finales. p.ej. informarán sobre un error en IE o flash, pero ninguno en Filezilla o uTorrent ... al final del día, esas aplicaciones de usuario final siguen siendo importantes para garantizar que su sistema (s) esté seguro.
La mayoría de los países tienen un 'CERT' (Equipo de preparación para emergencias informáticas) que proporciona servicios gratuitos y de pago para alertar a los suscriptores sobre anuncios de vulnerabilidad. La diferencia general entre el servicio de pago y el servicio gratuito es que los suscriptores de pago pueden recibir notificaciones anteriores o notificaciones adicionales a través de SMS, etc., para vulnerabilidades particularmente graves. Estos organismos a menudo también brindan otros servicios de valor agregado, como resúmenes de malware significativo, actividad de bonnet, etc.
Además de los cuerpos del CERT, también hay varios sitios de bases de datos de vulnerabilidades, como la Base de datos de vulnerabilidad nacional del NIST enlace . Algunos proveedores también proporcionan bases de datos similares, como la base de datos de Rapid7, en enlace . También puede encontrar útil la base de datos de vulnerabilidad de código abierto dados los sistemas que mencionó enlace
Por supuesto, si utiliza una única distribución, como Debian, Red Hat, etc., encontrará detalles de las actualizaciones de seguridad, etc. en sus sitios web y debería estar suscrito a sus repositorios de actualizaciones de seguridad, etc.
Lea otras preguntas en las etiquetas patching known-vulnerabilities