Solaris 시스템에서의 자동 패치 스크립트
개요
Solaris 시스템에서 패치를 하려면 많은 시간과 노력을 투자할 수 밖에 없기
때문에 대부분의 관리자들이 패치를 소홀히 하게 되고 그로 인하여 시스템
보안에 많은 결점이 수정되지 않은 채 시스템이 방치되곤 합니다. 이러한 문제점을
극복하기 위해 Perl과 Shell script를 이용하여 자동으로 패치를 해주는
스크립트를 작성하였습니다.
패치하기 전 유의사항
패치를 하기 전에 점검해야 할 사항이 몇 가지 있습니다. 반드시 확인하시기 바랍니다. patch를 받아다가 깔게 되면, sendmail등의 프로그램이 patch에 의해 overwrite되기 때문에 sendmail을 다시 깔아야 하는 번거로움이 있습니다. 그래서 반드시 복사를 해두는 것이 바람직합니다. 다음은 수퍼유저의 권한으로 실행해야 합니다. 버전은 각각의 sendmail 버전을 적도록 합니다. 예를 들면 sendmail 버전이 8.9.2라면 sendmail.8.9.2라는 이름의 백업을 만들어 두는 거죠.
- cd /usr/lib;cp sendmail sendmail.버전
- cd /etc/mail;cp sendmail.cf sendmail.cf.버전;cp aliases aliases.버전
wu_ftp를 in.ftpd라는 이름으로 만들어 둔 시스템에서도 ftpd를 복사해 두는 것이 필요합니다. 위의 방법과 마찬가지입니다.
Recommended patching
일반적으로 솔라리스 시스템의 패치는
sunsolve.sun.com에서 받을 수 있습니다. 이렇게 무료로 받을 수 있는 패치를
public patch라고 하고 자신이 관리하고 있는 시스템에 다운로드 받은 후에
인스톨 스크립트를 실행하면 됩니다. 다음의 과정을 참고합니다.
- 우선, 시스템을 지금 막 설치하여 패치가 거의 되어있지 않은 경우나,
몇 년간 패치를 한 기억이 없는 경우에는 Patch Cluster라고도 하는 recommended
patch를 받아 설치하도록 합니다.
- 각자의 시스템에 맞는 patch cluster를 다운로드합니다.
- "버전번호_Recommended.tar.Z"라는 형식의 이름을 가진 패치 클러스터를
적당히 풀어서(GNU tar가 있으면 tar xvfz 버전번호_Recommended.tar.Z로,
아니면 gzip -cd 버전번호_Recommended.tar.Z | tar xvf -로 풀 수 있습니다.)
- 완전히 풀리게 되면, 버전번호_Recommended라는 디렉토리가 생기는데,
디렉토리를 거기로 옮겨서 104334-07과 같은 형식의 패치 디렉토리를 확인합니다.
- install_cluster라는 스크립트가 있으므로 ./install_cluster -nosave라는
명령으로 패치를 시작합니다.
- 패치가 모두 끝나면 이제부터는 추가되는 패치를 받아서 설치하는 작업에
신경쓸 수 있어야 합니다.
Automatic patching
이제 이미 recommended patch가 깔린 시스템에서 업데이트된 패치를 설치하는
것을 합니다. Patch Report를 읽어보면 패치 정보가 나오는데, 거기에 나열된
패치와 시스템에 설치된 패치를 비교하여 설치하기가 쉬운 일이 아닙니다.
시간도 많이 걸리고 신경도 많이 써야 하기 때문입니다. 그래서 필요한 것이
autopatch.pl과 patching.sh,
이 두 가지의 스크립트입니다. 이 스크립트에서는 GNU wget을 필요로 하니
반드시 설치하시기 바랍니다.
주의사항
패치를 하게 되면 이미 설치를 해 놓았던 sendmail이나 ftp daemon이 이전버전으로
돌아갈 우려가 있으므로 미리 다른 이름으로 복사해놓았다가 패치가 끝나면 테스트를
해보고 혹시나 이전버전으로 바뀌었다면 복사본을 다시 원본으로 복사해두는
습관을 가져야 합니다.
- 우선 두 가지의 스크립트를 모두 다운로드합니다.
- autopatch.pl을 실행합니다. 가능하면 수퍼유저
권한으로 실행합니다.
- autopatch.pl을 실행하면 시스템 종류에 따라 적절한 Patch report를 다운로드
하여 /var/sadm/patch에 있는 패치 정보와 비교하여 필요한 패치만 wget을 이용하여
ftp://sunsolve.sun.com으로부터 받아옵니다.
- 패치를 설치하는 작업은 수퍼유저의 권한이 필요하기 때문에 autopatch.pl이
수퍼유저의 권한으로 실행되었다면 컨트롤이 patching.sh로 넘겨지고 패치하는
작업이 실행되지만, 그렇지 않다면 그냥 멈춥니다.
- 만약 패치를 계속하고 싶다면, 수퍼유저권한으로 patching.sh을 실행시키면
됩니다.
- 패치가 끝나면 104234-02같은 디렉토리가 남아있는지 확인합니다. 패키지가
설치되어있지 않아서 쓸모없는 패치인 경우에는 패치가 실패하여 디렉토리가
남는 경우가 있는데, 대개는 그냥 디렉토리째 지워버리도록 합니다.
- 패치 중에는 kernel에 관련된 패치가 있어서 reboot이후에 제대로 작동하는
게 있습니다. 그럴 경우 메일을 보내어 사용자에게 알려주므로 꼭 메일이 왔는지
확인하도록 합니다. 만약 메일이 왔다면 리부팅하도록 합시다. 리부팅 전에는
sendmail이나 ftp 데몬을 확인하는 것을 잊지 말아야합니다.
개선할 점
아직은 patch order에 대한 정보를 이용할 수 없어서 그냥 번호순으로 패치를
하고 있습니다. 그러므로 Recommended patch를 사용하는 것이 유리한 경우도
더러 있습니다. 다음 버전에서는 sendmail이나 ftp의 복사본을 만들어 두었다가
복구시키는 기능을 추가할 예정입니다.
문의
버그가 생기거나 의문사항이 있을 때, terzeron@dblab.snu.ac.kr로 메일주시면 됩니다.