How often should I review the inventory?

Review it whenever you add or change an app, and use the relevant vendor advisory feeds to trigger security updates.

Do I need to scan every file after a patch?

Focus first on the applicable advisory, the running package or image, and the critical service behavior. Broaden checks when the change or evidence calls for it.

Can I mark an issue fixed after pulling a new image?

No. Recreate or update the service as required and verify that the replacement process uses the patched image.

What if the installed version looks older than the fixed upstream version?

Check the distribution or vendor advisory for a backported fix and the required package revision.

Como acompanhar avisos de segurança e verificar correções nas aplicações do seu servidor doméstico

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

Patch the Planet official announcement cover artwork

Para acompanhar os patches de segurança de forma fiável, registe cada aplicação autoalojada numa linha de um inventário simples: responsável, origem do ambiente de execução, endereço exposto, canal de atualização e última implementação verificada. Quando surgir um aviso de segurança, associe-o a essa linha antes de alterar seja o que for. Uma lista de notícias de segurança guardadas nos favoritos não é um inventário do software afetado.

Numa aplicação Docker baseada em PHP, consulte o aviso de segurança do fornecedor da aplicação, atualize a imagem suportada, recrie o serviço e verifique o ambiente de execução no ambiente de substituição. No caso de um pacote da distribuição, siga as orientações de segurança dessa distribuição, incluindo as correções retroportadas. Guarde provas suficientes para responder a que correção está em execução e quando foi implementada.

O que deve constar de um inventário de segurança prático?

Campo	Exemplo de informações úteis
Aplicação e responsável	Instância do Nextcloud e pessoa responsável pela sua manutenção
Origem do ambiente de execução	Etiqueta e digest da imagem do fornecedor ou pacote da distribuição
Exposição	Nome de anfitrião público, acesso apenas por VPN ou acesso pela LAN
Canal de avisos	Página de segurança do fornecedor e feed de versões
Recuperação	Cópia de segurança da base de dados, cópia dos dados e exportação da configuração
Atualização verificada	Data de implementação e versão ou revisão do pacote em execução

Guarde este ficheiro numa pasta de manutenção, em vez de o misturar com os dados da aplicação que podem ser escritos. Guarde as credenciais noutro local. O guia da pilha de software ajuda a localizar os ambientes de execução ocultos sob os nomes das aplicações.

Que avisos de segurança devo acompanhar?

Subscreva as fontes de segurança relevantes para o seu inventário, incluindo as dos responsáveis pela manutenção da aplicação, dos publicadores dos contentores e do sistema operativo. Consulte os avisos upstream do PHP para obter contexto sobre o ambiente de execução, mas siga as instruções downstream para decidir que pacote ou imagem instalar. Registe o URL da fonte e o ramo afetado.

A explicação da resposta Patch the Planet mostra por que razão as notícias sobre investigação, as versões upstream e as atualizações de aplicações prontas a implementar podem surgir em momentos diferentes.

Como posso determinar se uma aplicação é afetada?

Identifique o processo que serve a aplicação. Inspecione o respetivo contentor ou ambiente de execução através do método suportado pelo fornecedor e compare o resultado com as condições do aviso de segurança. Um comando de CLI no anfitrião pode indicar uma instalação diferente do PHP. Tenha em conta as revisões dos pacotes do fornecedor e as correções retroportadas documentadas.

Use o guia de identificação da versão do PHP para fazer esta distinção. Se as provas forem incompletas, marque a entrada do inventário como desconhecida, em vez de presumir que a ausência de alertas significa que está tudo seguro.

Como posso verificar uma atualização sem fazer testes exaustivos?

Guarde uma cópia recuperável da base de dados e dos dados, instale a atualização suportada e, em seguida, verifique três coisas: o novo processo está em execução, a correção documentada ou a revisão do pacote está presente e um percurso crítico do utilizador continua a funcionar. Numa aplicação de ficheiros, inicie sessão e leia um ficheiro de teste; teste o carregamento de um ficheiro pequeno se os carregamentos forem importantes para a sua utilização.

Registe qualquer passo de migração e as limitações de reversão. Siga o guia de atualização de aplicações Docker quando o ambiente de execução estiver dentro de uma imagem.

Quando deve um aviso ser marcado como concluído?

Feche o aviso quando o serviço implementado tiver a correção aplicável e a verificação focada do serviço for aprovada. Guarde o resumo criptográfico da imagem ou a revisão do pacote, a data e o resultado. Uma imagem transferida para o disco, um pedido de integração aprovado ou um anúncio a montante são etapas intermédias.

Mantenha as cópias de segurança originais separadas da partilha normal de escrita da aplicação. Um ZimaCube 2 pode guardar estes registos e ficheiros de recuperação; o nosso guia de cópias recuperáveis explica por que motivo uma cópia de trabalho conveniente não deve ser a única opção de recuperação.

Perguntas frequentes

Com que frequência devo rever o inventário?

Reveja o inventário sempre que adicionar ou alterar uma aplicação e utilize os feeds de avisos dos fornecedores relevantes para desencadear atualizações de segurança.

Tenho de analisar todos os ficheiros depois de aplicar uma correção?

Comece pelo aviso aplicável, pelo pacote ou imagem em execução e pelo comportamento do serviço crítico. Alargue as verificações quando a alteração ou as evidências o justificarem.