Ubuntu 24.04 unattended-upgrades aktivieren

Warum sich automatische Sicherheitsupdates lohnen

Ein nicht gepatchter Server ist das einfachste Ziel im Internet. Die meisten Sicherheitsverletzungen bei kleinen Servern sind nicht komplex; es handelt sich um bekannte Fehler in alten Paketen, die der Besitzer nie aktualisiert hat. Ubuntu liefert ein Werkzeug mit, das diese Lücke selbstständig schließt: unattended-upgrades installiert Sicherheitsupdates automatisch nach einem Zeitplan, ohne dass Sie sich anmelden müssen. Dies ist die kostengünstigste Sicherheitsmaßnahme auf einem VPS, und unter Ubuntu dauert die Einrichtung nur wenige Minuten.

Das Werkzeug ist bewusst konservativ eingestellt. Standardmäßig werden nur Sicherheitsupdates angewendet, nicht jedes Paket-Upgrade. Ein Sicherheitspatch ist risikoarm und kann ohne Überprüfung installiert werden, während ein Funktions-Upgrade das Verhalten von Anwendungen ändern kann, auf die Sie angewiesen sind. Diese Standardeinstellung ist für die meisten Server korrekt. Diese Anleitung behält sie bei und zeigt Ihnen nur die wenigen Einstellungen, die eine Änderung wert sind.

Schritt 1: Installieren und aktivieren

Auf Ubuntu 24.04 ist das Paket oft vorhanden, aber nicht immer aktiviert. Installieren Sie es und schalten Sie es ein:

sudo apt update
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Die dpkg-reconfigure-Aufforderung stellt eine einzige Ja/Nein-Frage, ob stabile Updates automatisch heruntergeladen und installiert werden sollen. Antworten Sie mit Ja. Dadurch wird die Datei geschrieben, die den täglichen Job aktiviert:

cat /etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Die erste Zeile aktualisiert täglich die Paketliste; die zweite führt täglich die unattended-upgrades aus. Die Einstellung auf 1 bedeutet, dass die Maschine jeden Tag über einen systemd-Timer nach Sicherheitsupdates sucht und diese anwendet, ohne weiteres Zutun Ihrerseits.

Schritt 2: Festlegen, was automatisch angewendet wird

Die Richtlinie befindet sich in /etc/apt/apt.conf.d/50unattended-upgrades. Öffnen Sie die Datei und prüfen Sie den Allowed-Origins-Block im oberen Bereich:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}";
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

Die -security-Zeilen sind entscheidend und sind standardmäßig aktiviert. Das ist die konservative Richtlinie: Sicherheitsupdates werden eingespielt, gewöhnliche Funktions-Updates müssen Sie manuell auswählen und anwenden. Sie können die "${distro_id}:${distro_codename}-updates"-Origin-Zeile hinzufügen, um alle Updates automatisch anzuwenden. Für einen Server, der wichtige Dienste hostet, ist es jedoch sicherer, standardmäßig nur Sicherheitspatches automatisch zu installieren. Lassen Sie die Einstellungen so, wie sie ausgeliefert wurden, es sei denn, Sie haben einen spezifischen Grund für eine Änderung.

Schritt 3: Neustarts handhaben

Einige Updates, wie ein Kernel oder eine Kernbibliothek, entfalten ihre volle Wirkung erst nach einem Neustart. unattended-upgrades wird Ihren Server nicht neu starten, es sei denn, Sie weisen es dazu an. Das bedeutet, ein gepatchter Kernel kann ungenutzt bleiben, bis Sie den Server manuell neu starten. Entscheiden Sie, wie Sie damit umgehen möchten, und legen Sie dies explizit in 50unattended-upgrades fest:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

Dies startet den Server um vier Uhr morgens neu, wenn und nur wenn ein Update dies erfordert. Auf einem einzelnen VPS ohne Failover-Cluster ist ein kurzer Neustart am frühen Morgen meist ein angemessener Kompromiss, um bei Kernel-Fixes auf dem neuesten Stand zu bleiben. Wenn Ihr Server Dienste ausführt, die niemals unerwartet neu starten dürfen, lassen Sie den Neustart deaktiviert und gewöhnen Sie sich an, den Server selbst neu zu starten, nachdem Sie /var/run/reboot-required geprüft haben.

Schritt 4: Die Funktionsweise prüfen

Warten Sie nicht einen Tag lang, um zu erfahren, ob der Job läuft. Führen Sie einen Testlauf (dry run) aus, der genau zeigt, was angewendet würde, ohne etwas zu ändern:

sudo unattended-upgrade --dry-run --debug

Die Ausgabe listet die Pakete auf, die das Tool in Betracht zieht, sowie deren Herkunft (origins), sodass Sie die Richtlinie in Aktion sehen können. Nachdem der echte Job mindestens einmal gelaufen ist, finden Sie das Protokoll hier:

cat /var/log/unattended-upgrades/unattended-upgrades.log

Dieses Log beantwortet die Frage: "Wird mein Server tatsächlich selbstständig gepatcht?" Wenn es anzeigt, dass Sicherheitspakete nach einem Zeitplan installiert werden, funktioniert der Job.

Einordnung

Automatische Updates sind eine Ebene der Absicherung eines gehärteten Servers, aber nicht die gesamte Absicherung. Sie verhindern, dass bekannte Fehler bestehen bleiben, aber sie regeln nicht, wer sich anmelden kann oder was exponiert ist. Kombinieren Sie sie mit einer SSH-Härtung (nur Keys), einer UFW-Firewall mit Default-Deny-Regel, damit nur das Erreichbare offen ist, und unprivilegierten Service-Usern, damit eine kompromittierte App nicht das gesamte System übernehmen kann. Patchen schließt die Lücken, die Sie kennen; die anderen Ebenen begrenzen den Schaden durch die Lücken, die Sie nicht kennen.

FAQ

Wendet unattended-upgrades jedes Update an oder nur Sicherheitsupdates?

Standardmäßig nur Sicherheitsupdates. Der Allowed-Origins-Block in /etc/apt/apt.conf.d/50unattended-upgrades aktiviert die -security-Origins und lässt gewöhnliche Funktions-Updates für eine manuelle Installation offen. Das ist Absicht: Sicherheitspatches sind risikoarm und können automatisch installiert werden, während Funktions-Upgrades das Verhalten ändern können. Die meisten Server sollten daher bei der konservativen Standardeinstellung bleiben.

Werden automatische Updates meinen Server neu starten?

Nur wenn Sie dies anweisen. Setzen Sie Unattended-Upgrade::Automatic-Reboot "true" und ein Automatic-Reboot-Time in der Konfiguration, und der Server startet zu dieser Zeit neu, wenn ein Update dies erfordert (z. B. nach einem Kernel-Patch). Wenn die Funktion deaktiviert ist, wartet ein gepatchter Kernel, bis Sie ihn selbst neu starten; prüfen Sie /var/run/reboot-required, um zu sehen, ob ein Neustart ansteht.

Wie prüfe ich, ob automatische Updates tatsächlich laufen?

Führen Sie sudo unattended-upgrade --dry-run --debug aus, um zu sehen, was aktuell ohne Änderungen angewendet würde, und lesen Sie /var/log/unattended-upgrades/unattended-upgrades.log für das Protokoll vergangener Durchläufe; jede automatische Installation wird auch in /var/log/apt/history.log protokolliert. Wenn das Log zeigt, dass Sicherheitspakete täglich installiert werden, funktioniert der Timer. Wenn der Testlauf No packages found that can be upgraded unattended ausgibt, sind entweder alle Pakete bereits aktuell oder Ihre erlaubten Origins sind zu eng gefasst, um das Sicherheits-Repository zu erfassen.

Reicht unattended-upgrades aus, um meinen Server sicher zu halten?

Nein, aber es ist eine notwendige Ebene. Es verhindert, dass bekannte Schwachstellen ungepatcht bleiben, was die häufigste Art von Sicherheitsverletzung stoppt, aber es kontrolliert weder den Zugriff noch die Exponierung. Kombinieren Sie es mit SSH-Härtung, einer Default-Deny-Firewall und Least-Privilege-Service-Usern für einen Server, der wirklich schwer zu hacken ist.