Una de las tareas recomendables que podemos ejecutar en nuestros sistemas operativos, sin importar su desarrollador, es mantenerlo actualizado con los últimos parches desarrollados por el fabricante ya que esto optimiza los mejores niveles de seguridad, compatibilidad y desempeño.
Aunque Linux es uno de los sistemas operativos más seguros, no podemos dejar a un lado el tema de las actualizaciones ya que con las constantes amenazas actuales han sido desarrolladas para afectar todo tipo de sistema operativo.
En ambientes Linux, siempre se recomienda mantener actualizados los paquetes instalados, especialmente cuando a nivel de seguridad. En general, los usuarios deben aplicar actualizaciones de seguridad a estos sistemas Linux dentro de los 30 días siguientes a su publicación oficial.
En el caso de CentOS 7 este es un punto crítico ya que es una de las distros más usadas como plataforma corporativa de muchas organizaciones a nivel mundial por sus diversas prestaciones y alcance y si se presenta algún fallo de seguridad podemos estar ante una situación que pondrá en riesgo toda la estructura que administramos.
Solvetic analizará a continuación como configurar un servidor CentOS 7 para que haga uso de las actualizaciones de seguridad automáticas y de esta forma asegura que el sistema descargue automáticamente los paquetes y aplique todas las actualizaciones de seguridad sin intervención manual por parte de nosotros como administradores o como usuarios.
Para esto será necesario lo siguiente:
- Contar con permisos de usuario roto.
- Disponer de un servidor CentOS 7
Te dejamos también el siguiente videotutorial con el que pdoer ver todo el proceso de instalación de Yum-cron y así configurar las actualizaciones automáticas de un servidor con CentOS 7:
1. Instalar yum-cron en CentOS 7
Yum-cron es una herramienta de línea de comandos la cual nos permite gestionar actualizaciones de sistemas y paquetes en sistemas CentOS.
Este daemon está disponible en CentOS y Fedora el cual hace uso de un script cron con el cual comprueba diariamente si existen actualizaciones disponibles, y en caso de existirlas nos brinda la posibilidad de instalarlas, descargarlas o enviarnos una notificación por email de su disponibilidad.
Con yum-cron será posible gestionar la actualización específica para el sistema, administrar la actualización y las actualizaciones de seguridad, el sistema y la actualización de paquetes o la actualización mínima para ambos.
Esta utilidad está disponible en el repositorio CentOS 7 y para su instalación ejecutaremos lo siguiente:
yum -y install yum-cron
Una vez la instalación haya sido completada, procedemos a iniciar el servicio yum-cron y a configurar que se inicie de forma automática en el inicio del sistema, para ello podemos ejecutar los siguientes comandos. De esta forma hemos instalado yum-cron en CentOS 7.
systemctl start yum-cron systemctl enable yum-cron
2. Configurar yum-cron para las actualizaciones automáticas en CentOS 7
Después de instalar el paquete yum-cron en CentOS 7, será necesario configurarlo para las actualizaciones automáticas. De forma predeterminada, yum-cron proporciona tres tipos de actualizaciones:
- Actualización predeterminada mediante el comando
yum upgrade
- Actualización mínima.
- Actualización de seguridad.
Para configurar estos valores debemos ir al directorio yum-cron.conf y acceder a él con el editor deseado, en este caso nano:
cd /etc/yum/ nano yum-cron.conf
En este archivo debemos ir a la línea update_cmd para definir el tipo de actualización que tendrá CentOS 7.
Podemos ver que su valor actual es default y para descargar e instalar las actualizaciones de seguridad definiremos la siguiente línea:
update_cmd = security
Ahora debemos confirmar que en la línea update_messages este el valor yes. Finalmente será necesario validar que las siguientes líneas esten en yes. De esta manera, siempre que haya una actualización de seguridad disponible, el sistema descargará automáticamente los paquetes requeridos y luego aplicará todas las actualizaciones.
download_updates = yes apply_updates = yes
Ahora, veremos cómo configurar la notificación de mensajes, recordemos que yum-cron nos permite enviar la notificación a una dirección de correo electrónico.
Si deseamos recibir la notificación por correo estableceremos el siguiente valor en la línea emit_via:
emit_via = email
Ahora podremos definir la dirección de correo electrónico:
email_from = root@localhost email_to = solvetic@outlook.com email_host = localhost
Guardamos los cambios usando la combinación de teclas siguiente:
Ctrl +O
Salimos del editor usando:
Ctrl + X
Una vez procesados los cambios reiniciaremos el servicio yum-cron ejecutando lo siguiente. Con este proceso, las actualizaciones de seguridad del sistema se descargarán automáticamente y se aplicarán utilizando yum-cron a diario.
systemctl restart yum-cron
3. Configurar para excluir paquetes en CentOs 7
En este punto es posible que no deseemos aplicar actualizaciones automáticas en algunos paquetes, incluido el kernel de CentOS 7.
Para estas excepciones accederemos de nuevo al archivo de configuración:
cd /etc/yum/ nano yum-cron.conf
En la parte final del archivo encontraremos la sección base y debemos añadir la siguiente línea, por ejemplo, para excluir el kernel con MySQL:
exclude = mysql* kernel*
En este ejemplo puntual, todos los paquetes con nombres que inicien con 'mysql' o 'kernel' se deshabilitarán para actualizaciones automáticas. Guardamos los cambios y reiniciamos el servicio ejecutando:
systemctl restart yum-cron
Dentro de este archivo de configuración de yum-cron podemos mencionar cuatro parámetros fundamentales que son:
4. Comprobar los logs de yum-cron en CentOs 7
El parámetro yum-cron hace uso de un cronjob para actualizaciones de seguridad automáticas y todos los registros de este cron estarán disponibles en el directorio /var/log.
Para ver estos registros ejecutaremos lo siguiente:
cd /var/log/ cat cron | grep yum-daily
Si deseamos ver los paquetes que han sido instalados ejecutaremos lo siguiente:
cat yum.log | grep Updated
Con esta opción yum-cron podemos estar seguros que las actualizaciones estarán listas para ser descargadas e instaladas tan pronto existen alguna disponible.
