우분투 자동 보안 업데이트로 패치 누락 없이 서버를 안전하게 유지합니다

우분투 자동 보안 업데이트 설정의 중요성을 알게 된 건 CVE가 발표된 후 몇 주가 지나서야 패치가 안 됐다는 걸 감사 리포트에서 발견했을 때였습니다. 수동으로 업데이트하는 루틴이 있었지만 바쁜 주에는 밀리기 일쑤였습니다. 이후 unattended-upgrades로 보안 패치만 자동 적용하되, 불필요한 재부팅은 막는 방식으로 조정했습니다.

unattended-upgrades 설치 및 활성화

# 패키지 설치 (대부분 이미 설치돼 있음)
sudo apt install unattended-upgrades apt-listchanges

# 자동 업데이트 활성화
sudo dpkg-reconfigure --priority=low unattended-upgrades

설정 파일 위치: /etc/apt/apt.conf.d/50unattended-upgrades

핵심 설정 조정

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

// 보안 업데이트만 자동 적용
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};

// 자동 재부팅 비활성화 (직접 통보 후 재부팅)
Unattended-Upgrade::Automatic-Reboot "false";

// 재부팅이 필요한 경우 알림만 발송
Unattended-Upgrade::Mail "admin@example.com";
Unattended-Upgrade::MailReport "on-change";

// 오래된 패키지 자동 삭제
Unattended-Upgrade::Remove-Unused-Packages "true";

주기 설정 (/etc/apt/apt.conf.d/20auto-upgrades):

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
APT::Periodic::AutocleanInterval "7";

동작 확인 및 테스트

# 실제 실행 없이 시뮬레이션 (dry-run)
sudo unattended-upgrades --dry-run --verbose

# 강제 실행
sudo unattended-upgrades -v

# 업데이트 로그 확인
cat /var/log/unattended-upgrades/unattended-upgrades.log

# 재부팅 필요 여부 확인
cat /var/run/reboot-required 2>/dev/null && echo "재부팅 필요" || echo "재부팅 불필요"

자동 보안 업데이트는 설정 한 번으로 보안 패치 누락을 방지합니다. 재부팅이 필요한 커널 업데이트는 이메일 알림을 받고 점검 창에서 직접 처리하면 됩니다.