Sélection des correctifs de sécurité

Les référentiels préconfigurés sont gérés différemment sur Amazon Linux 1 et Amazon Linux 2 par rapport à Amazon Linux 2022 et Amazon Linux 2023.

Sur Amazon Linux 1 et Amazon Linux 2, le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés sur le nœud géré. Un nœud comporte généralement deux référentiels préconfigurés :

Les instances Amazon Linux 2023 (AL2023) contiennent initialement les mises à jour disponibles dans la version AL2 0.23 et la version choisie. AMI. Par défaut, votre instance AL2 023 ne reçoit pas automatiquement les mises à jour de sécurité critiques et importantes supplémentaires au lancement. Au lieu de cela, grâce à la fonctionnalité de mises à niveau déterministes via des référentiels versionnés de la version AL2 023, qui est activée par défaut, vous pouvez appliquer les mises à jour selon un calendrier qui répond à vos besoins spécifiques. Pour plus d'informations, veuillez consulter la rubrique Mises à niveau déterministes via des référentiels versionnés dans le Guide de l'utilisateur Amazon Linux 2023.

Sur Amazon Linux 2022, les référentiels préconfigurés sont liés à des versions verrouillées des mises à jour des packages. Quand c'est nouveau Amazon Machine Images (AMIs) pour Amazon Linux 2022 sont publiés, ils sont verrouillés sur une version spécifique. Pour les mises à jour des correctifs, Patch Manager récupère la dernière version verrouillée du référentiel de mises à jour des correctifs, puis met à jour les packages sur le nœud géré en fonction du contenu de cette version verrouillée.

Le AL2 023, le référentiel préconfiguré est le suivant :

Sur Amazon Linux 2022 (version préliminaire), les référentiels préconfigurés sont liés à des versions verrouillées des mises à jour des packages. Quand c'est nouveau Amazon Machine Images (AMIs) pour Amazon Linux 2022 sont publiés, ils sont verrouillés sur une version spécifique. Pour les mises à jour des correctifs, Patch Manager récupère la dernière version verrouillée du référentiel de mises à jour des correctifs, puis met à jour les packages sur le nœud géré en fonction du contenu de cette version verrouillée.

Sur Amazon Linux 2022, le référentiel préconfiguré est le suivant :

Les nœuds gérés Amazon Linux 1 et Amazon Linux 2 utilisent Yum comme gestionnaire de packages. Amazon Linux 2022 et Amazon Linux 2023 sont utilisés DNF comme gestionnaire de packages.

Les deux gestionnaires de packages utilisent le concept d'un avis de mise à jour comme fichier nommé updateinfo.xml. Une notice de mise à jour est simplement un ensemble de packages qui corrigent des problèmes spécifiques. Tous les packages figurant dans un avis de mise à jour sont considérés comme sécurisés par Patch Manager. Aucune classification ni aucun niveau de gravité ne sont attribués aux packages individuels. Pour cette raison, Patch Manager attribue les attributs d'un avis de mise à jour aux packages associés.

Sur CentOS et CentOS Stream, le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés (repos) sur le nœud géré. La liste suivante fournit des exemples pour un CentOS 8.2 fictif Amazon Machine Image (AMI):

Les nœuds gérés CentOS 6 et 7 utilisent Yum comme gestionnaire de package. CentOS 8 et CentOS Stream les nœuds sont utilisés DNF comme gestionnaire de packages. Les deux gestionnaires de packages utilisent le concept d'un avis de mise à jour. Une notice de mise à jour est simplement un ensemble de packages qui corrigent des problèmes spécifiques.

Cependant, CentOS et CentOS Stream les dépôts par défaut ne sont pas configurés avec un avis de mise à jour. Cela signifie que Patch Manager ne détecte pas les packages sur CentOS par défaut et CentOS Stream repos. Pour autoriser Patch Manager pour traiter les packages qui ne figurent pas dans un avis de mise à jour, vous devez activer l'EnableNonSecurityindicateur dans les règles de base des correctifs.

Activé Debian Server and Raspberry Pi OS (anciennement Raspbian), le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés (dépôts) sur l'instance. Ces référentiels préconfigurés sont utilisés pour extraire une liste mise à jour des mises à niveau de package disponibles. Pour cela, Systems Manager exécute l'équivalent d'une commande sudo apt-get update.

Les packages sont ensuite filtrés à partir du référentiel debian-security codename. Cela signifie que sur chaque version de Debian Server, Patch Manager identifie uniquement les mises à niveau qui font partie du dépôt associé à cette version, comme suit :

Activé Oracle Linux, le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés (repos) sur le nœud géré. Un nœud comporte généralement deux référentiels préconfigurés :

Oracle Linux 7  :

Oracle Linux 8  :

Oracle Linux 9  :

Oracle Linux les nœuds gérés utilisent Yum comme gestionnaire de packages, et Yum utilise le concept d'avis de mise à jour sous forme de nom de fichier. updateinfo.xml Une notice de mise à jour est simplement un ensemble de packages qui corrigent des problèmes spécifiques. Les packages ne se voient pas attribuer des classifications ou des niveaux de sévérité. Pour cette raison, Patch Manager attribue les attributs d'un avis de mise à jour aux packages associés et installe les packages en fonction des filtres de classification spécifiés dans la ligne de base des correctifs.

Activé AlmaLinux, Red Hat Enterprise Linux, et Rocky Linux le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés (repos) sur le nœud géré. Un nœud comporte généralement trois référentiels préconfigurés :

Toutes les mises à jour sont téléchargées à partir des référentiels distants configurés sur le nœud géré. Par conséquent, le nœud doit disposer d'un accès sortant à l'internet afin de se connecter aux référentiels pour que le correctif puisse être exécuté.

Red Hat Enterprise Linux 7 nœuds gérés utilisent Yum comme gestionnaire de packages. AlmaLinux, Red Hat Enterprise Linux 8, et Rocky Linux les nœuds gérés sont utilisés DNF comme gestionnaire de packages. Les deux gestionnaires de packages utilisent le concept d'un avis de mise à jour comme fichier nommé updateinfo.xml. Une notice de mise à jour est simplement un ensemble de packages qui corrigent des problèmes spécifiques. Les packages ne se voient pas attribuer des classifications ou des niveaux de sévérité. Pour cette raison, Patch Manager attribue les attributs d'un avis de mise à jour aux packages associés et installe les packages en fonction des filtres de classification spécifiés dans la ligne de base des correctifs.

Activé SUSE Linux Enterprise Server (SLES) nœuds gérés, la ZYPP bibliothèque obtient la liste des correctifs disponibles (un ensemble de packages) aux emplacements suivants :

SLES les nœuds gérés utilisent Zypper comme gestionnaire de packages, et Zypper utilise le concept de correctif. Un correctif est simplement un ensemble de packages qui corrigent un problème spécifique. Patch Manager gère tous les packages référencés dans un correctif comme étant liés à la sécurité. Étant donné que les packages individuels ne sont ni classés ni sévérité, Patch Manager attribue aux packages les attributs du correctif auquel ils appartiennent.

Activé Ubuntu Server, le service de base de correctifs de Systems Manager utilise des référentiels préconfigurés (repos) sur le nœud géré. Ces référentiels préconfigurés sont utilisés pour extraire une liste mise à jour des mises à niveau de package disponibles. Pour cela, Systems Manager exécute l'équivalent d'une commande sudo apt-get update.

Les packages sont ensuite filtrés à partir des codename-security dépôts, dont le nom de code est unique à la version publiée, par exemple pour trusty Ubuntu Server 14. Patch Manager identifie uniquement les mises à niveau qui font partie de ces dépôts :

Sur les systèmes d'exploitation Microsoft Windows, Patch Manager récupère la liste des mises à jour disponibles que Microsoft publie sur Microsoft Update et qui sont automatiquement disponibles pour Windows Server Update Services (WSUS).

Patch Manager surveille en permanence les nouvelles mises à jour dans chaque Région AWS. La liste des mises à jour disponibles est actualisée dans chaque région au moins une fois par jour. Lorsque les informations relatives aux correctifs provenant de Microsoft sont traitées, Patch Manager supprime de sa liste de correctifs les mises à jour remplacées par des mises à jour ultérieures. Par conséquent, seule la mise à jour la plus récente est affichée et disponible pour être installée. Par exemple, en cas KB4012214 de remplacementKB3135456, seule une mise à jour KB4012214 est disponible dans Patch Manager.

De même, Patch Manager ne peut installer que les correctifs disponibles sur le nœud géré au moment de l'opération d'application des correctifs. Par défaut, Windows Server 2019 et Windows Server 2022 supprime les mises à jour remplacées par des mises à jour ultérieures. Par conséquent, si vous utilisez le ApproveUntilDate paramètre dans un Windows Server référence du correctif, mais la date sélectionnée dans le ApproveUntilDate paramètre est antérieure à la date du dernier correctif, le scénario suivant se produit :

Cela signifie que le nœud géré est conforme en termes de fonctionnement de Systems Manager, même si un correctif critique du mois précédent n'est peut-être pas installé. Ce même scénario peut se produire lors de l'utilisation du ApproveAfterDays paramètre. En raison du comportement des correctifs remplacé par Microsoft, il est possible de définir un nombre (généralement supérieur à 30 jours) afin que les correctifs pour Windows Server ne sont jamais installés si le dernier correctif disponible de Microsoft est publié avant la fin du délai ApproveAfterDays imparti. Notez que ce comportement du système ne s'applique pas si vous avez modifié les paramètres de votre objet de stratégie de groupe Windows (GPO) pour que le correctif remplacé soit disponible sur vos nœuds gérés.