How often should I review the inventory?

Review it whenever you add or change an app, and use the relevant vendor advisory feeds to trigger security updates.

Do I need to scan every file after a patch?

Focus first on the applicable advisory, the running package or image, and the critical service behavior. Broaden checks when the change or evidence calls for it.

Can I mark an issue fixed after pulling a new image?

No. Recreate or update the service as required and verify that the replacement process uses the patched image.

What if the installed version looks older than the fixed upstream version?

Check the distribution or vendor advisory for a backported fix and the required package revision.

So verfolgen Sie Sicherheitshinweise und überprüfen Patches für Ihre Home-Server-Apps

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Patch the Planet official announcement cover artwork

Damit Sie Sicherheitspatches zuverlässig nachverfolgen können, erfassen Sie jede selbst gehostete Anwendung in einer einfachen Bestandsliste mit Verantwortlichen, Quelle der Laufzeitumgebung, exponierter Adresse, Update-Kanal und Datum der letzten verifizierten Bereitstellung. Wenn ein Sicherheitshinweis eintrifft, ordnen Sie ihn diesem Eintrag zu, bevor Sie Änderungen vornehmen. Eine Liste gespeicherter Sicherheitsnachrichten ist kein Inventar der betroffenen Software.

Prüfen Sie bei einer PHP-basierten Docker-App den Sicherheitshinweis des Anbieters der Anwendung, aktualisieren Sie das unterstützte Image, erstellen Sie den Dienst neu und überprüfen Sie die Laufzeitumgebung in der Ersatzumgebung. Verwenden Sie bei einem Distributionspaket die Sicherheitshinweise der jeweiligen Distribution, einschließlich Backports. Halten Sie genügend Belege fest, um nachvollziehen zu können, welcher Fix läuft und wann er bereitgestellt wurde.

Was gehört in ein praktisches Sicherheitsinventar?

Feld	Beispiel für hilfreiche Belege
Anwendung und Verantwortliche	Nextcloud-Instanz und zuständige Person
Quelle der Laufzeitumgebung	Image-Tag und Digest des Anbieters oder Distributionspaket
Exponierung	Öffentlicher Hostname, nur über VPN oder LAN-Zugriff
Sicherheitshinweis-Kanal	Sicherheitsseite des Anbieters und Release-Feed
Wiederherstellung	Datenbanksicherung, Datenkopie und Konfigurationsexport
Verifiziertes Update	Bereitstellungsdatum und laufende Version oder Paketrevision

Bewahren Sie diese Datei in einem Wartungsordner auf, statt sie mit den beschreibbaren Anwendungsdaten zu vermischen. Speichern Sie Zugangsdaten an einem anderen Ort. Der Leitfaden zum Software-Stack hilft dabei, Laufzeitumgebungen zu finden, die sich hinter Anwendungsnamen verbergen.

Welche Sicherheitshinweise sollte ich verfolgen?

Abonnieren Sie die für Ihren Bestand relevanten Sicherheitsquellen der Anwendungsbetreuer, Container-Publisher und Betriebssystemanbieter. Ziehen Sie Upstream-PHP-Sicherheitshinweise heran, um den Laufzeitkontext zu verstehen, richten Sie sich bei der Wahl des zu installierenden Pakets oder Images jedoch nach den nachgelagerten Anweisungen. Notieren Sie die URL der Quelle und den betroffenen Zweig.

Die Erklärung zur Patch-the-Planet-Reaktion zeigt, warum Forschungsnachrichten, Upstream-Veröffentlichungen und bereitstellbare Anwendungsupdates zu unterschiedlichen Zeitpunkten eintreffen können.

Wie stelle ich fest, ob eine App betroffen ist?

Ermitteln Sie den Prozess, der die Anwendung bereitstellt. Prüfen Sie die Container- oder Laufzeitumgebung mit der vom Anbieter unterstützten Methode und vergleichen Sie das Ergebnis mit den Bedingungen des Sicherheitshinweises. Ein CLI-Befehl auf dem Host kann eine andere PHP-Installation anzeigen. Berücksichtigen Sie Paketrevisionen des Anbieters und dokumentierte Backports.

Verwenden Sie den Leitfaden zur Ermittlung der PHP-Version, um dies zu unterscheiden. Sind die Belege unvollständig, kennzeichnen Sie den Bestandseintrag als unbekannt, statt anzunehmen, dass keine Warnung bedeutet, dass alles sicher ist.

Wie kann ich ein Update überprüfen, ohne erschöpfende Tests durchzuführen?

Sichern Sie eine wiederherstellbare Datenbank- und Datenkopie, installieren Sie das unterstützte Update und überprüfen Sie anschließend drei Dinge: Der neue Prozess läuft, der dokumentierte Fix oder die Paketversion ist vorhanden und ein wichtiger Nutzungsvorgang funktioniert weiterhin. Melden Sie sich bei einer Datei-App an und öffnen Sie eine Testdatei; testen Sie einen kleinen Upload, wenn Uploads für Ihre Nutzung wichtig sind.

Dokumentieren Sie alle Migrationsschritte und die Einschränkungen beim Rollback. Folgen Sie dem Leitfaden zum Aktualisieren von Docker-Anwendungen, wenn die Laufzeitumgebung in einem Image enthalten ist.

Wann sollte ein Sicherheitshinweis als erledigt markiert werden?

Schließen Sie den Vorgang ab, sobald für den bereitgestellten Dienst der entsprechende Fix installiert ist und die gezielte Dienstprüfung bestanden wurde. Speichern Sie den Image-Digest oder die Paketversion, das Datum und das Ergebnis. Ein auf die Festplatte geladenes Image, ein zusammengeführter Pull Request oder eine Upstream-Ankündigung sind Zwischenschritte.

Bewahren Sie Original-Backups getrennt von der regulären, beschreibbaren Freigabe der App auf. Ein ZimaCube 2 kann diese Aufzeichnungen und Wiederherstellungsdateien speichern; unser Leitfaden zu wiederherstellbaren Kopien erklärt, warum eine praktische Arbeitskopie nicht die einzige Wiederherstellungsoption sein sollte.

Häufig gestellte Fragen

Wie oft sollte ich die Bestandsaufnahme überprüfen?

Überprüfen Sie die Bestandsaufnahme immer dann, wenn Sie eine App hinzufügen oder ändern, und nutzen Sie die relevanten Sicherheitshinweis-Feeds der Anbieter, um Sicherheitsupdates anzustoßen.

Muss ich nach einem Patch jede Datei überprüfen?

Konzentrieren Sie sich zunächst auf den zutreffenden Sicherheitshinweis, das laufende Paket oder Image und das kritische Dienstverhalten. Führen Sie umfassendere Prüfungen durch, wenn die Änderung oder die vorliegenden Nachweise dies erfordern.