Apakah unattended-upgrades Aktif di Ubuntu 24.04?

Mengapa pembaruan keamanan otomatis layak disiapkan

Server yang tidak dipatch merupakan target termudah di Internet. Sebagian besar server kecil yang mengalami breach bukan karena serangan yang canggih. Penyebabnya biasanya bug yang sudah diketahui pada paket lama yang tidak pernah diperbarui oleh pemiliknya. Ubuntu menyediakan alat yang menutup celah tersebut secara otomatis: unattended-upgrades memasang pembaruan keamanan secara otomatis sesuai jadwal, tanpa Anda perlu login. Ini merupakan peningkatan keamanan termurah yang tersedia pada VPS, dan di Ubuntu penyiapannya hanya memerlukan beberapa menit.

Alat ini sengaja dibuat konservatif. Secara default, alat ini hanya menerapkan pembaruan keamanan, bukan semua peningkatan paket. Patch keamanan berisiko rendah dan layak diterapkan tanpa peninjauan, sedangkan peningkatan fitur dapat mengubah perilaku yang Anda andalkan. Default tersebut tepat untuk sebagian besar server, dan panduan ini mempertahankannya sambil menunjukkan beberapa pengaturan yang layak diubah.

Langkah 1: Instal dan aktifkan

Pada Ubuntu 24.04, paketnya sering sudah tersedia, tetapi belum tentu diaktifkan. Instal paket tersebut dan aktifkan:

sudo apt update
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Prompt dpkg-reconfigure mengajukan satu pertanyaan ya atau tidak, yaitu apakah pembaruan stabil akan diunduh dan diinstal secara otomatis. Jawab yes. Tindakan tersebut menulis file yang mengaktifkan job harian:

cat /etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Baris pertama memperbarui daftar paket setiap hari. Baris kedua menjalankan unattended upgrade setiap hari. Keduanya disetel ke 1, yang berarti mesin memeriksa dan menerapkan pembaruan keamanan setiap hari melalui timer systemd, tanpa tindakan lanjutan dari Anda.

Langkah 2: Tentukan apa yang diterapkan secara otomatis

Kebijakan tersebut berada di /etc/apt/apt.conf.d/50unattended-upgrades. Buka file itu dan lihat blok Allowed-Origins di dekat bagian atas:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}";
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

Baris -security adalah bagian yang penting dan secara default sudah diaktifkan. Itulah kebijakan konservatif: pembaruan keamanan diterapkan, sedangkan pembaruan fitur biasa dibiarkan untuk Anda terapkan secara manual saat diperlukan. Anda dapat menambahkan baris origin "${distro_id}:${distro_codename}-updates" untuk menerapkan semua pembaruan secara otomatis. Namun, untuk server yang meng-host sesuatu yang penting bagi Anda, hanya menerapkan patch keamanan secara otomatis merupakan default yang lebih aman. Biarkan pengaturan tersebut seperti saat dirilis, kecuali Anda memiliki alasan khusus untuk mengubahnya.

Langkah 3: Tangani reboot

Beberapa pembaruan, seperti kernel atau library inti, baru berlaku sepenuhnya setelah reboot. unattended-upgrades tidak akan melakukan reboot pada server kecuali Anda memintanya. Akibatnya, kernel yang sudah dipatch dapat tetap tidak digunakan sampai Anda melakukan restart. Tentukan cara penanganannya, lalu tetapkan secara eksplisit di 50unattended-upgrades:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

Pengaturan tersebut melakukan reboot pada server pukul empat pagi, dan hanya jika pembaruan memerlukannya. Pada satu VPS tanpa cluster untuk failover, reboot singkat pada pagi hari biasanya merupakan kompromi yang tepat agar perbaikan kernel tetap terbaru. Jika server menjalankan sesuatu yang tidak boleh restart secara tidak terduga, biarkan reboot otomatis tetap nonaktif dan biasakan melakukan reboot sendiri setelah memeriksa /var/run/reboot-required.

Langkah 4: Buktikan bahwa fitur ini berfungsi

Jangan menunggu sehari untuk mengetahui apakah job berjalan. Jalankan dry run yang menampilkan secara tepat apa yang akan diterapkan, tanpa mengubah apa pun:

sudo unattended-upgrade --dry-run --debug

Output tersebut mencantumkan paket yang dipertimbangkan dan origin masing-masing paket. Dengan demikian, Anda dapat melihat kebijakan tersebut berjalan. Setelah job sebenarnya berjalan setidaknya sekali, catatannya tersedia di sini:

cat /var/log/unattended-upgrades/unattended-upgrades.log

Log tersebut menjawab pertanyaan, "apakah server saya benar-benar melakukan patching sendiri?" Jika log menunjukkan paket keamanan diinstal sesuai jadwal, job tersebut berfungsi.

Penempatan fitur ini

Pembaruan otomatis merupakan salah satu lapisan server yang diperkuat, bukan keseluruhan konfigurasi. Pembaruan ini mencegah bug yang sudah diketahui tetap ada, tetapi tidak mengatur siapa yang dapat login atau apa yang terekspos. Padukan fitur ini dengan penguatan SSH yang hanya mengizinkan key agar akses awal tidak dapat diserang dengan brute force, firewall UFW default-deny agar hanya layanan yang Anda pilih dapat dijangkau, serta user layanan tanpa hak istimewa agar aplikasi yang mengalami breach tidak dapat mengambil alih seluruh server. Aplikasi yang Anda host juga memiliki secret masing-masing. Jika server ini menjalankan password vault yang di-host sendiri, penguatan Vaultwarden mencakup admin token dan file backup yang tidak dapat dilindungi oleh patching apt saja. Patching menutup celah yang Anda ketahui. Lapisan lain membatasi dampak dari celah yang belum Anda ketahui.

FAQ

Apakah unattended-upgrades menerapkan semua pembaruan atau hanya pembaruan keamanan?

Secara default, hanya pembaruan keamanan. Blok Allowed-Origins di /etc/apt/apt.conf.d/50unattended-upgrades mengaktifkan origin -security dan membiarkan pembaruan fitur biasa untuk Anda terapkan secara manual. Ini memang disengaja: patch keamanan berisiko rendah dan layak diterapkan secara otomatis, sedangkan peningkatan fitur dapat mengubah perilaku. Karena itu, sebagian besar server sebaiknya mempertahankan default yang konservatif.

Apakah pembaruan otomatis akan melakukan reboot pada server saya?

Hanya jika Anda mengaturnya. Tetapkan Unattended-Upgrade::Automatic-Reboot "true" dan sebuah Automatic-Reboot-Time dalam konfigurasi. Server akan melakukan reboot pada waktu tersebut jika pembaruan memerlukannya, misalnya setelah patch kernel. Jika pengaturan itu dibiarkan nonaktif, kernel yang sudah dipatch akan menunggu sampai Anda melakukan reboot sendiri. Periksa /var/run/reboot-required untuk mengetahui apakah ada reboot yang tertunda.

Bagaimana cara memeriksa apakah pembaruan otomatis benar-benar berjalan?

Jalankan sudo unattended-upgrade --dry-run --debug untuk melihat apa yang akan diterapkan saat ini, tanpa mengubah apa pun. Baca /var/log/unattended-upgrades/unattended-upgrades.log untuk melihat catatan eksekusi sebelumnya. Setiap instalasi otomatis juga tercatat di /var/log/apt/history.log. Jika log menunjukkan paket keamanan diinstal setiap hari, timer tersebut berfungsi. Jika dry run menampilkan No packages found that can be upgraded unattended, semua paket mungkin sudah terbaru atau origin yang diizinkan terlalu terbatas sehingga tidak mencakup repository keamanan.

Apakah unattended-upgrades cukup untuk menjaga keamanan server saya?

Tidak, tetapi fitur ini merupakan lapisan yang diperlukan. Fitur ini mencegah kerentanan yang sudah diketahui tetap tidak dipatch. Dengan demikian, jenis breach yang paling umum dapat dicegah. Namun, fitur ini tidak mengatur akses atau eksposur. Gabungkan dengan penguatan SSH, firewall default-deny, dan user layanan dengan hak akses minimal agar server benar-benar sulit ditembus.