Ubuntu 26.04 / Sicherheitsupdates und geplante Neustarts verwalten

Die Sicherheitswartung von Ubuntu endet nicht mit der erfolgreichen Paketinstallation. Überprüfen Sie den Umfang und die Protokolle der automatischen Updates und verifizieren Sie anschließend erforderliche Neustarts und Dienstreaktionen separat.

Überprüfen Sie die Konfiguration der automatischen Updates

dpkg-query -W unattended-upgrades
systemctl list-timers --all apt-daily.timer apt-daily-upgrade.timer
apt-config dump | grep -E 'Periodic|Unattended-Upgrade'

Wenn ein Paket oder Timer fehlt, identifizieren Sie zuerst den Installationstyp. Bevorzugen Sie eine effektive APT-Konfiguration und die tatsächliche Historie gegenüber Kommentaren in einer Datei. Die Installation von unattended-upgrades bedeutet nicht, dass Updates aus jeder Quelle autorisiert sind.

Der Leitfaden für automatische Updates von Ubuntu erklärt erlaubte Quellen, Zeitpläne, Protokolle und Neustart-Einstellungen.

Überprüfen Sie manuelle Updates und die Auswirkungen auf Dienste

sudo apt update
apt list --upgradable
apt-get -s upgrade

Überprüfen Sie Pakete, Speicherplatz und Serviceeffekte, planen Sie dann Arbeit und Backups vor sudo apt upgrade. Prüfen Sie sowohl den lokalen Prozessstart als auch die benötigten Zugriffe von außen, beispielsweise eine SSH-Verbindung oder die Antwort des Webdienstes. Unterscheiden Sie stufenweise Updates von gewöhnlichen Fehlern.

Verwenden Sie einen Testlauf und Protokolle für automatische Arbeiten

sudo unattended-upgrade --dry-run --debug
sudo journalctl -u apt-daily-upgrade.service --since today --no-pager
sudo ls /var/log/unattended-upgrades

Ein Testlauf untersucht, welche Pakete nach den aktuellen Regeln ausgewählt würden; er ist kein Beweis dafür, dass Updates installiert wurden. Überprüfen Sie die tatsächlichen Protokolle auf Erfolg, Misserfolg, Ausschlüsse und Zeit. Warten Sie auf eine andere APT-Operation, anstatt eine konkurrierende zu erstellen.

Machen Sie die Neustart-Richtlinie explizit

Für einen Laborserver, der nicht automatisch neu gestartet werden darf, sichern Sie die vorhandenen Einstellungen und definieren Sie die folgende lokale APT-Option. Eine mögliche Datei ist /etc/apt/apt.conf.d/52unattended-upgrades-local; überprüfen und kombinieren Sie stattdessen eine vorhandene Datei, anstatt sie zu überschreiben.

Unattended-Upgrade::Automatic-Reboot "false";

Überprüfen Sie den effektiven Wert mit apt-config dump. Das Verhindern eines automatischen Neustarts beseitigt nicht die Notwendigkeit eines Neustarts; ein Betreiber muss ihn planen. Eine Richtlinie, die einen Neustart erlaubt, sollte Zeitpunkt, angemeldete Benutzer, Dienstunterbrechung und Fehlerwarnungen behandeln.

Überprüfen Sie die Anforderungen für den Neustart und die Wiederherstellung

test -f /run/reboot-required && cat /run/reboot-required
uname -r
systemctl --failed

Speichern Sie die Arbeit und starten Sie zum geplanten Zeitpunkt neu, wenn dies erforderlich ist. Vergleichen Sie den laufenden Kernel, die Zeit, das Netzwerk, SSH und die Web-Antworten mit der Basislinie. Das installierte Kernel-Paket und der laufende Kernel können unterschiedlich sein. Verwenden Sie bei Bedarf Vorher-Update-Protokolle und vorbereitete Konsole oder Routen zur Wiederherstellung des vorherigen Kernels.

Stellen Sie nur die lokal geänderte Einstellung für die Übung wieder her und fragen Sie den effektiven Wert erneut ab. Deaktivieren Sie nicht alle Sicherheitsupdates oder löschen Sie Fehlerprotokolle, damit Überprüfungen erfolgreich erscheinen.