Уязвимости и обновления

Вкладка «Безопасность» показывает, какие уязвимости закроют уже доступные обновления, — по таблицам исправлений самого дистрибутива, а не по номерам версий исходных проектов: исправления, перенесённые в старые версии пакетов, не дают ложных «дыр». Вкладка есть на всех тарифах, включая бесплатное «Наблюдение».

Что видно во вкладке

• У каждой CVE — номер и описание из БДУ ФСТЭК, уровень опасности по БДУ, оценка CVSS, отметки «эксплойт есть» (по БДУ) и «используется в атаках» (каталог CISA KEV). Сверху — то, что уже используют в атаках, затем уязвимости с эксплойтом, затем по уровню опасности.
• «Нужна перезагрузка» — установлено ядро новее работающего, система сама просит перезагрузку (/var/run/reboot-required) или так отвечает dnf needs-restarting.
• Полный список доступных обновлений — в свёрнутом блоке.
• Дата данных: «БДУ ФСТЭК на …, CISA KEV на …», для Astra — дата OVAL-описаний.

Откуда данные

Сертифицированные ветки ALT и Astra не на x86-64 пока не поддерживаются — вкладка пишет «CVE для этой ОС — скоро». Уязвимость, исправление которой есть только в репозитории, не подключённом на сервере, в список не попадает: вкладка показывает то, что закроют доступные обновления.

Как собираются данные

Список обновлений собирается с каждого сервера раз в 6 часов, после установки обновлений — сразу. Кнопка «Собрать заново» — не чаще раза в 5 минут на сервер. Агент без root собирает список через службу исполнения: без неё он неполный, потому что обновить индекс пакетов может только root. Если агент старой версии, вкладка пишет «нет сведений — обновите агент»; обновить агентов можно кнопкой прямо во вкладке.

Установка исправлений

Отметьте серверы или выберите группу: «Установить исправления безопасности» поставит только пакеты с исправлениями, «Перезагрузить» перезагрузит отмеченные серверы. Перед запуском — подтверждение со списком серверов, затем ход по каждому. Обычные обновления ставятся во вкладке «Действия». Кнопки работают на любом тарифе; нужна роль оператора или выше, а на сервере не должны быть выключены действия (--actions=off).

Автообновление по расписанию

С тарифа Starter WarpFleet ставит обновления сам — в окно обслуживания, которое вы задаёте.

• Для чего — все серверы, группа или один сервер. Действует самое узкое правило: сервер, затем группа, затем «все серверы». Выключенное правило на сервере тоже действует — так задаётся «этот сервер не обновлять».
• Что ставить — только исправления безопасности или все обновления.
• Окно — дни недели (не выбраны — каждый день), время начала и длительность от 1 до 12 часов по выбранному часовому поясу (по умолчанию — московское время). Окно может переходить через полночь.
• Не трогать — до 50 имён пакетов, можно с * и ? (например, postgresql-*). Исключение передаётся и менеджеру пакетов, поэтому такой пакет не обновится и как зависимость другого.
• Перезагрузка — «не перезагружать» (сервер будет отмечен «нужна перезагрузка») или «перезагрузить в окне, если нужна».

Серверы в окне обновляются по одному, а не весь парк разом. На каждом сервере за одно окно запуск бывает один раз: свежий список обновлений, установка, повторная проверка, при необходимости — перезагрузка, пока окно не закрылось. Если агент не на связи, WarpFleet ждёт его до конца окна; не дождался — запуск пропускается. Каждый запуск виден в «Последних запусках» (готово, нечего ставить, ошибка, пропущено) и в журнале действий от имени «автообновление». Правила создаёт администратор; закончился платный тариф — запуски пропускаются с объяснением. Системные механизмы автообновления (unattended-upgrades, dnf-automatic) на серверах не настраиваются.

Отчёт

• CSV — строка на пакет: сервер, группа, ОС, версии, CVE, номера БДУ ФСТЭК, наибольший CVSS, эксплойт, CISA KEV, нужна ли перезагрузка, дата данных.
• PDF — страница для печати: сводка по парку, серверы и уязвимости с номерами БДУ ФСТЭК и датой данных; сохраняется в PDF из окна печати браузера. Это исходные данные для отчётности, а не заключение о соответствии требованиям ФСТЭК.

Self-hosted и закрытый контур

Bridge сам к источникам (БДУ, OSV, бюллетени дистрибутивов) не обращается — он получает от WarpFleet уже подписанный набор: с выходом в интернет — раз в 12 часов с download.warpfleet.ru, в закрытом контуре — офлайн-архивом (как загрузить). Подпись и контрольные суммы проверяются при установке набора.