Hur hanterar jag säkerhetsuppdateringar på en VPS?

Varför säkerhetsuppdateringar är kritiska

En av de vanligaste orsakerna till att servrar komprometteras är att kända säkerhetshål inte åtgärdats i tid. Angripare skannar kontinuerligt internet efter servrar med kända sårbarheter och utnyttjar dem inom timmar efter att en sårbarhet offentliggörs. Regelbundna uppdateringar är den enskilt viktigaste säkerhetsåtgärden du kan vidta.

Manuell uppdatering via terminalen

På Ubuntu och Debian är det grundläggande kommandot för att uppdatera alla paket:

sudo apt update && sudo apt upgrade -y

Det första kommandot hämtar information om tillgängliga uppdateringar. Det andra installerar dem. Kör detta regelbundet, minst en gång i veckan, och alltid när kritiska säkerhetsuppdateringar tillkännages.

På Rocky Linux eller AlmaLinux (RHEL-baserade system) används:

sudo dnf update -y

Automatiska säkerhetsuppdateringar med unattended-upgrades

Manuella uppdateringar fungerar, men det räcker med ett glömt uppdateringssteg för att servern ska bli sårbar. Paketet unattended-upgrades löser det genom att automatiskt installera säkerhetspatchar så fort de finns tillgängliga, utan att du behöver logga in.

Installera paketet på Ubuntu eller Debian:

sudo apt install unattended-upgrades

Aktivera sedan periodiska körningar genom att skapa eller redigera filen /etc/apt/apt.conf.d/20auto-upgrades med följande innehåll:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Den första raden gör att paketlistorna uppdateras dagligen. Den andra raden startar det faktiska uppgraderingssteget varje dag.

För att få e-postnotifiering när något uppdaterats eller kräver manuell åtgärd, redigera filen /etc/apt/apt.conf.d/50unattended-upgrades och lägg till din e-postadress:

Unattended-Upgrade::Mail "din@epost.se";

Det innebär att du alltid får en signal om systemet har uppdaterat sig, eller om något gick fel och kräver din uppmärksamhet. Det är bättre att få ett mejl i onödan än att missa ett kritiskt fel.

Kärn-uppdateringar (se nästa avsnitt) kräver en omstart för att träda i kraft. Om du vill automatisera omstarter lägger du till:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";

Omstartstiden anger när servern startar om efter en kärn-uppdatering. Välj ett klockslag med låg trafik. Föredrar du att schemalägga omstarter manuellt, lämnar du Automatic-Reboot på false och hanterar det själv.

På RHEL-baserade system som Rocky Linux och AlmaLinux finns motsvarigheten dnf-automatic, som konfigureras på ett liknande sätt via /etc/dnf/automatic.conf.

Kärn-uppdateringar och omstarter

Uppdateringar av Linux-kärnan träder inte i kraft förrän servern startas om. Kontrollera om omstart krävs med kommandot needs-restarting (RHEL) eller genom att kontrollera om filen /var/run/reboot-required existerar (Ubuntu). Planera kärn-uppdateringar under lågtrafiktimmar och meddela eventuella användare i förväg.

Managed VPS tar hand om uppdateringarna åt dig

Är uppdateringsarbetet mer än du vill lägga tid på? Med en managed VPS sköter leverantören säkerhetsuppdateringar, övervakning och underhåll åt dig. Du slipper hålla koll på patchar och kärn-omstarter, och kan fokusera på ditt projekt i stället. Det passar bra om du inte har en dedikerad systemadministratör, eller om du föredrar att betala för trygghet snarare än att administrera servern själv.

Om du däremot väljer en ohanterad VPS är allt som beskrivs i den här artikeln ditt eget ansvar.

Övrig mjukvara

Glöm inte att hålla webbapplikationer och tillägg uppdaterade. WordPress-kärnan, teman och plugins är vanliga attackvektorer. Databaser och webbservrar behöver också regelbundna uppdateringar utöver OS-patchar.

Driver du en egen mailserver på din VPS gäller samma princip för e-postmjukvaran, läs mer i vår guide om att sätta upp en egen mailserver på VPS.

Läs mer om säkerhet i vår FAQ om säkerhet och artikeln välj säkert webbhotell.