Curso de Ubuntu 26.04 / Gestionar actualizaciones de seguridad y reinicios

Las actualizaciones de seguridad de Ubuntu no se completan solo con la instalación exitosa de paquetes. Debe verificarse el alcance de la actualización automática y los registros reales, así como validar por separado los reinicios necesarios y la respuesta de los servicios.

Verificar la configuración actual de actualizaciones automáticas

dpkg-query -W unattended-upgrades
systemctl list-timers --all apt-daily.timer apt-daily-upgrade.timer
apt-config dump | grep -E 'Periodic|Unattended-Upgrade'

Si el comando falla o no hay temporizador, primero verifique el tipo de instalación y los paquetes correspondientes. Se juzga en base a la configuración final leída por APT y el historial de ejecución real, más que por un solo comentario de archivo de configuración. El hecho de que esté instalada la herramienta de actualización automática no significa que todas las actualizaciones de todos los repositorios estén permitidas.

La guía de actualizaciones automáticas de Ubuntu explica los orígenes permitidos, el horario, los registros y la configuración de reinicio.

Revisar actualizaciones manuales e impacto en servicios

sudo apt update
apt list --upgradable
apt-get -s upgrade

Lea los paquetes a actualizar, el tamaño y el impacto en los servicios, asegure copias de seguridad y una ventana de mantenimiento, luego aplique con sudo apt upgrade. Verifique no solo que la aplicación se inicie, sino también que las solicitudes necesarias desde el exterior tengan éxito. Distinga los paquetes retenidos en un despliegue gradual de errores generales.

Verifique las tareas automáticas mediante ejecuciones de prueba y registros

sudo unattended-upgrade --dry-run --debug
sudo journalctl -u apt-daily-upgrade.service --since today --no-pager
sudo ls /var/log/unattended-upgrades

La simulación de ejecución es un proceso para revisar qué objetivos se seleccionan en la configuración actual y no constituye evidencia de instalación completada. Los registros de ejecución reales permiten verificar las razones de éxito, fallo o suspensión y la hora correspondiente. Si se están ejecutando otras tareas de APT, no las interrumpa y espere a que se completen.

Especificar la política de reinicio automático

Si el servidor de práctica no permite reinicio automático, puede respaldar la configuración existente y especificar los elementos a continuación en la configuración local de APT. Por ejemplo, use /etc/apt/apt.conf.d/52unattended-upgrades-local, pero si ya existe un archivo con el mismo nombre, no lo sobrescriba y revise y combine el contenido.

Unattended-Upgrade::Automatic-Reboot "false";

Después de los cambios, verifique el valor final en apt-config dump. Restringir el reinicio automático no significa que el reinicio sea innecesario, por lo que el operador debe realizarlo en el momento establecido. Si la política lo permite, desarrolle el diseño considerando la hora, inicio de sesión del usuario, interrupción del servicio y notificación de fallos.

Verificar la necesidad de reinicio y los resultados de recuperación reales

test -f /run/reboot-required && cat /run/reboot-required
uname -r
systemctl --failed

Si es necesario, guarde el trabajo y reinicie en la hora planificada. Luego, compare el kernel en ejecución, la hora, la red, SSH y la respuesta web con los estándares originales. La versión del paquete del kernel instalado puede diferir del kernel que se está ejecutando. En caso de fallo, utilice los registros previos a la actualización, la consola o la versión anterior del kernel estable y otras rutas de recuperación preparadas.

Al terminar la práctica, compare el archivo de configuración local con la copia de seguridad inicial y revierta únicamente sus cambios. Después, vuelva a consultar los valores efectivos. No ajuste los resultados de la verificación apagando todas las actualizaciones de seguridad o borrando registros de errores.