Cách thiết lập Cập nhật bảo mật tự động trên CentOS 7

[theanh]

Cập nhật bảo mật, như hầu hết các bạn đều đồng ý, rất quan trọng. Trên Linux, bạn nên luôn cập nhật các gói đã cài đặt, đặc biệt là khi nói đến bảo mật. Nhìn chung, người dùng nên áp dụng các bản cập nhật bảo mật cho hệ thống Linux của mình trong vòng 30 ngày kể từ ngày phát hành.

Trong hướng dẫn này, chúng tôi sẽ thảo luận về cách bạn có thể định cấu hình máy chủ CentOS 7 để cập nhật bảo mật tự động. Điều này sẽ đảm bảo hệ thống tự động tải xuống các gói và áp dụng tất cả các bản cập nhật bảo mật mà không cần bất kỳ sự can thiệp thủ công nào.

Những gì chúng ta sẽ thảo luận:

1. Cách cài đặt yum-cron trên CentOS 7
2. Cách cấu hình yum-cron để cập nhật bảo mật tự động
3. Cách loại trừ các gói cụ thể khỏi các bản cập nhật tự động
4. Cách kiểm tra nhật ký yum-cron

Điều kiện tiên quyết

• Máy chủ CentOS 7
• Quyền root

Bước 1 - Cài đặt yum-cron trên CentOS 7​

Yum-cron là một công cụ dòng lệnh để quản lý các bản cập nhật hệ thống và gói trên các hệ thống CentOS.

Tiện ích này có sẵn trong kho lưu trữ CentOS 7. Bạn có thể cài đặt nó bằng lệnh bên dưới.

yum -y install yum-cron

Sau khi cài đặt hoàn tất, hãy khởi động dịch vụ yum-cron, sau đó đảm bảo rằng nó tự động khởi động khi khởi động hệ thống từ bây giờ. Tất cả những điều này có thể được thực hiện bằng các lệnh sau:

systemctl start yum-cron
systemctl enable yum-cron

Vậy là xong. Yum-cron hiện đã được cài đặt đúng cách trên máy chủ CentOS 7 của bạn.

Bước 2 - Cấu hình Yum-Cron để cập nhật tự động​

Sau khi cài đặt gói yum-cron, chúng ta cần cấu hình nó để cập nhật tự động. Theo mặc định, yum-cron cung cấp ba loại cập nhật: cập nhật mặc định bằng lệnh yum upgrade, cập nhật tối thiểu và cập nhật bảo mật.

Lưu ý rằng trong hướng dẫn này, chúng ta sẽ cấu hình yum-cron để cập nhật bảo mật (liên quan đến cả hệ thống và gói). Vậy chúng ta hãy bắt đầu.

Đầu tiên, hãy vào thư mục cấu hình 'yum' và chỉnh sửa tệp 'yum-cron.conf' bằng trình soạn thảo Vim.

cd /etc/yum/
vim yum-cron.conf

Lưu ý: Tất nhiên, bạn có thể sử dụng bất kỳ trình soạn thảo nào khác mà bạn chọn. Và đối với những ai muốn tìm hiểu về Vim, hãy xem hướng dẫn toàn diện của chúng tôi tại đây.

Trong tệp, hãy chuyển đến dòng bắt đầu bằng chuỗi 'update_cmd' và xác định loại cập nhật bạn muốn sử dụng. Ví dụ, trong hướng dẫn này, chúng ta chỉ tập trung vào các bản cập nhật bảo mật, vì vậy hãy thay đổi giá trị từ 'default' thành 'security'.

update_cmd = security

Tương tự, hãy chuyển đến dòng bắt đầu bằng chuỗi 'update_messages' và đảm bảo giá trị của nó là 'yes'.

update_messages = yes

Sau đó, thực hiện tương tự cho các dòng 'download_updates' và 'apply_updates'.

download_updates = yes
apply_updates = yes

Vì vậy, bất cứ khi nào có bản cập nhật bảo mật, hệ thống sẽ tự động tải xuống các gói cần thiết và sau đó áp dụng tất cả các bản cập nhật.



Tiếp theo là cấu hình thông báo tin nhắn. Về cơ bản, Yum-cron cung cấp hai cách: bạn có thể hiển thị thông báo trên STDIO hoặc gửi chúng đến một địa chỉ email. Đối với hướng dẫn này, chúng ta sẽ sử dụng tùy chọn thứ hai, đó là email.

Vì vậy, hãy thay đổi giá trị của 'emit_via' thành 'email' như hiển thị bên dưới.

emit_via = email

Có một số thay đổi liên quan khác mà bạn phải thực hiện, bao gồm chỉ định địa chỉ email từ và đến và máy chủ email. Sau đây là các giá trị mà chúng tôi đã đặt:

email_from = root@hakase-labs
email_to = [emailprotected]
email_host = hakase-labs

Vậy là xong. Bây giờ hãy lưu tệp và thoát khỏi trình chỉnh sửa.

Bước cuối cùng là khởi động lại dịch vụ yum-cron, bạn có thể thực hiện bằng lệnh sau:

systemctl restart yum-cron

Ở giai đoạn này, mọi bản cập nhật bảo mật trên hệ thống sẽ được tự động tải xuống và áp dụng bằng yum-cron hàng ngày.

Bước 3 - Cấu hình các gói loại trừ​

Đôi khi, vì lý do nào đó, chúng ta không muốn áp dụng các bản cập nhật tự động trên một số gói, bao gồm cả kernel. Trong bước này, chúng ta sẽ thảo luận về cấu hình cho phép bạn tắt các bản cập nhật cho các gói đã chọn.

Vì vậy, bước đầu tiên ở đây là chỉnh sửa tệp cấu hình yum-cron.conf, nằm trong thư mục cấu hình yum.

cd /etc/yum/
vim yum-cron.conf

Gần cuối tệp, bạn sẽ thấy phần '[base]'. Thêm một dòng mới bên dưới phần này chứa tên các gói bạn muốn loại trừ. Ví dụ, một cái gì đó tương tự như sau:

exclude = mysql* kernel*

Bây giờ chỉ cần lưu các thay đổi và thoát.



Đúng rồi, bạn đoán đúng rồi, bây giờ bạn sẽ phải khởi động lại dịch vụ yum-cron.

systemctl restart yum-cron

Vì vậy, trong trường hợp của chúng tôi, tất cả các gói có tên bắt đầu bằng 'mysql' hoặc 'kernel' sẽ bị vô hiệu hóa để cập nhật tự động.

Bước 4 - Kiểm tra nhật ký yum-cron​

Yum-cron sử dụng một cronjob để cập nhật bảo mật tự động và tất cả các nhật ký cho cron này đều có sẵn trong thư mục '/var/log'.

Vì vậy, bạn cần đến thư mục '/var/log' để truy cập tệp nhật ký 'cron'.

cd /var/log/
cat cron | grep yum-daily

Và trong trường hợp bạn muốn xem các gói đã được cập nhật, bạn có thể kiểm tra tệp yum.log.

cat yum.log | grep Đã cập nhật

Tài liệu tham khảo

• https://www.stephenrlang.com/
• https://community.centminmod.com/