Jan.Trippler@t-online.de (Jan Trippler) writes:
Am Montag, 24. Mai 2004 00:07 schrieb Martin Schmitz:
Außerdem hast Du den Smiley übersehen. Ich halte aber tatsächlich nicht viel davon, auf Teufel komm raus *jeden* Patch einzuspielen. Wenn die gepatchte Schwachstelle auf die Sicherheit meiner Systeme keine erkennbaren Auswirkungen hat, laß ich es.
Und das kannst immer in voller Tragweite beurteilen, ja?
Immer nicht, aber oft. Wenn zum Beispiel eine Symlink-Schwachstelle existiert, aber der einzige, der auf dem Rechner Symlinks anlegt, bin ich, dann brauche ich den Patch nicht. Ich spiele ihn ein, wenn es im Rahmen von anderen Wartungsarbeiten passt. Oder Apache: da gibt es z.B. eine Schwachstelle in Apache <= 1.3.29, die ermöglicht, daß ein "Angreifer" Escape-Sequenzen in Deine Logfiles schreiben kann, die ggf. einen Exploit für ein Terminal enthalten könnten, so es denn einen solchen Exploit gäbe und man sich die Logfiles eben mit diesem Terminal ansieht. -> Kann ich ausschließen; brauch ich nicht (den Patch mein ich - für Debian gibt's ohnehin noch keinen).
Debian-Leute auch. Ich halte Deine Einstellung für extrem fahrlässig. Ein öffentlich zugänglicher Webserver sollte IMHO mindestens _täglich_ aktualisiert werden, wenn Security-Updates vorliegen - sowas lässt sich sicher auch automatisieren.
Automatisieren tue ich das nicht. Aber aus Erfahrung weiß ich, daß ich sehr vorsichtig bin und kein bißchen fahrlässig.
Wenn Du Deinen Kunden 24x7-Server verkauft hast, ohne über Hochverfügbarkeit nachgedacht zu haben, dann hast Du IMHO ziemlich blauäugig gehandelt.
Hab ich nicht.
In jedem anderen Fall sind Offline-Zeiten zur Wartung normal und im Bereich von ein paar Minuten pro Tag auch vertretbar.
Sie sind nicht nur vertretbar, es würde bei vielen Rechnern vermutlich nichtmal auffallen, wenn sie des Nachts mal für ein paar Stunden nicht verfügbar wären. ;-) Martin