1.9.5 系统更新与漏洞管理

系统更新与漏洞管理是安全加固的核心环节，目标是通过可控的补丁生命周期、漏洞情报跟踪与变更治理，降低已知漏洞被利用的风险，同时保证业务稳定性。

原理草图：补丁生命周期与回滚闭环

更新策略与流程（含示例）#

分级策略：按风险与业务影响划分紧急、安全、功能、可选四类更新，优先处理高危与被广泛利用的漏洞。
环境分层：测试、预发布、生产分层推进，验证兼容性与回滚方案。
变更窗口：选择低峰期执行，更新前完成备份与健康验证。

变更流程示例（含命令解释）

# 1) 记录当前版本与包清单，便于回滚
uname -r                      # 查看当前内核版本
rpm -qa > /var/log/pkg.list   # 记录已安装包（Debian系可用 dpkg -l）

# 2) 备份关键配置
tar -czf /backup/etc_$(date +%F).tgz /etc

# 3) 测试环境更新（示例：Rocky/CentOS）
dnf clean all
dnf update --security -y      # 仅更新安全补丁

# 4) 更新完成后校验服务
systemctl status sshd
systemctl status nginx

预期效果：安全补丁更新后，核心服务状态为 active (running)，业务自检通过。

系统更新管理（安装/更新/锁定/回滚）#

Debian/Ubuntu（APT）#

安装与更新示例

# 更新索引并安装安全更新（包含可用更新列表）
apt update
apt list --upgradable
apt upgrade -y

# 仅安装安全更新（需启用安全源）
apt install -y unattended-upgrades
unattended-upgrades --dry-run --debug

版本锁定示例（防止意外升级）

# 锁定指定包版本（例如 nginx）
apt-mark hold nginx
apt-mark showhold

回滚示例

# 列出可用历史版本并回滚
apt-cache policy nginx
apt install -y nginx=1.18.0-0ubuntu1

RHEL/CentOS/Rocky（YUM/DNF）#

安装与更新示例

# 仅更新安全补丁
dnf update --security -y

# 列出可更新包并查看变更
dnf check-update
dnf updateinfo list security

版本锁定示例

dnf install -y dnf-plugins-core
dnf versionlock add nginx
dnf versionlock list

回滚示例

# 回滚到之前的事务
dnf history
dnf history undo <ID>

漏洞情报与评估（示例）#

CVE影响评估流程示例

# 查询系统内 OpenSSL 版本
openssl version

# 在安全公告中比对版本范围（示意）
# 例如：CVE-2023-XXXX 影响 OpenSSL < 3.0.7
# 若本机版本为 3.0.6，则需要紧急修复

快速评估建议
- CVSS ≥ 7 且服务对外暴露 → 高优先级
- 可远程利用且无需认证 → 最高优先级

补丁验证与回滚（含检测命令）#

验证要点
- 服务可用性
- 关键业务流程
- 性能基线

验证命令示例

# 端口与服务检查
ss -lntp | grep -E 'nginx|mysqld|redis'
curl -I http://127.0.0.1

# 性能基线（简易示例）
uptime
free -m

回滚方案示例

# 内核回滚（以 GRUB 选择旧内核为主）
grub2-editenv list
# 重启时选择旧内核启动（生产建议配合维护窗口）

漏洞扫描与基线检查（安装与示例）#

Lynis 基线检查

# 安装
dnf install -y epel-release
dnf install -y lynis

# 扫描
lynis audit system --quick

OpenSCAP 漏洞扫描

# 安装与扫描（RHEL系示例）
dnf install -y openscap-scanner scap-security-guide
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard \
  --results /var/log/oscap-results.xml \
  /usr/share/xml/scap/ssg/content/ssg-rl9-ds.xml

常见故障排查（示例）#

问题1：更新失败提示依赖冲突

dnf update --allowerasing -y   # 允许替换冲突包
dnf repoquery --unsatisfied    # 查看未满足依赖

问题2：更新后服务启动失败

journalctl -u nginx -xe
nginx -t                         # 校验配置语法

问题3：签名验证失败

timedatectl status              # 时间偏差会导致签名校验失败
dnf clean all && dnf makecache

运维最佳实践清单#

统一时间同步（NTP/chrony）
最小安装，减少攻击面
更新操作全程记录（命令、版本、影响范围）
高危漏洞建立快速响应与回滚流程

练习题（动手操作）#

在测试机上启用安全更新并只安装安全补丁，记录更新前后的内核版本。
使用 dnf history（或 apt 的日志）查看最近一次更新事务并尝试回滚。
用 Lynis 扫描一次系统并定位一个高风险项，给出整改思路。