Netskope PublisherはUbuntu Linux上で動作します。基盤となるOSカーネルのセキュリティと最新性を維持するために、PublisherはUbuntuのネイティブな無人アップグレードメカニズムを利用してカーネルのパッチ適用を自動化しています。
この記事では、カーネルアップデートの仕組み、アップデートが適用されるタイミング、そして完全自動化されたパッチ適用を実現するための推奨設定について説明します。
メカニズム：無人アップグレード
発行元 Ubuntu の unattended-upgrades パッケージ (アップデート用) は、カーネル パッケージを含むセキュリティ アップデートを自動的にダウンロードしてインストールします。
仕組み
・自動アップグレードサービスは毎日実行されます。
・Ubuntuの公式セキュリティリポジトリで利用可能なアップデートを確認し、自動的にインストールします。
・カーネルパッケージは含まれていますが、新しいカーネルバージョンは毎日公開されるわけではありません。これらはUbuntuによって必要に応じて（通常は月に数回）リリースされます。
• 新しいカーネルパッケージがインストールされても、パブリッシャーを再起動するまでは有効になりません。
Key takeaway: unattended-upgradesはパッチが迅速にダウンロードおよびインストールされることを保証しますが、新しいカーネルを有効にするには再起動が必要です。
再起動：新しいカーネルはいつ有効になりますか？
保留中のカーネルアップデートは、次回のパブリッシャー再起動時に適用されます。これには2つの発生方法があります。発行元の自動更新と、手動/スケジュールされた再起動です。
パブリッシャーの自動更新機能経由（推奨）
パブリッシャーの自動更新が有効になっている場合：
• Netskope 、新しい Publisher バージョンをほぼ毎月リリースします。
・自動更新処理中に、システムが保留中の再起動（適用待ちのカーネル更新など）を検出した場合、更新処理の一環として自動的に再起動が行われます。
・これは、自動更新を有効にすることで、手動操作なしにカーネルの更新が毎月確実に適用されることを意味します。
手動/スケジュールによる再起動
自動更新が有効になっていない場合、またはカーネルの更新をより頻繁に適用する必要がある場合：
・少なくとも月に一度は再起動をスケジュールしてください。
• PublisherウィザードのUIを使用するか、以下のコマンドを実行して、再起動が保留中かどうかを確認します。
ls /var/run/reboot-required
推奨構成
完全に自動化された、手間のかからないパッチ適用を実現するには、以下の両方の設定を有効にしてください。
| Setting | Recommendation |
|---|---|
| Enable Kernel Updates | On |
| パブリッシャーの自動更新 | 有効（月1回以上） |
両方を有効にした場合：
1. unattended-upgrades は、カーネルパッチが利用可能になり次第ダウンロードします。
2. パブリッシャーによる自動更新が毎月実行され、システムが再起動され、最新のカーネルが適用されます。
自動更新が無効になっている場合は、保留中のカーネル更新を適用するために、手動で再起動をスケジュールする必要があります。
プラットフォームサポート
カーネル更新機能は、発行元のイメージタイプとバージョンによって異なります。
| 出版社タイプ | Kernel Updates | 注記 |
|---|---|---|
| AMI | デフォルトで利用可能 | 何もする必要はありません |
| VHD / VHDX | デフォルトで利用可能 | 何もする必要はありません |
| OVA（新規インストール、R111以降） | デフォルトで利用可能 | 何もする必要はありません |
| OVA（R111より前に配備） | 有効化が必要です | 古いOVAパブリッシャーでカーネルアップデートを有効にする方法については、「古いOVAパブリッシャーでカーネルアップデートを有効にする」を参照してください。 |
確認方法
カーネル更新機能を確認するには、パブリッシャーにSSH接続して、次のコマンドを実行します。
apt list --installed | grep linux-image-generic
linux-image-genericが存在する場合、カーネルのアップデートは正常に機能します。
よくある質問
Q: Are kernel updates applied automatically?
Aカーネルパッケージは、unattended-upgradesによって自動的にダウンロードおよびインストールされます。ただし、新しいカーネルは再起動後にのみ有効になります。自動アップグレードが有効になっている場合、再起動は次回のパブリッシャーアップグレードサイクル中に自動的に実行されます。
Q: How often do kernel updates occur?
A: unattended-upgrades は毎日チェックを行います。カーネルパッケージは、必要に応じてUbuntuによってリリースされます（通常は月に数回）。カーネルは次回の再起動時にアクティブになります。
Q: Does the Publisher reboot automatically after a kernel update?
Aすぐには無理です。再起動は以下の場合に発生します。
• パブリッシャーの自動アップグレードが実行されます（推奨）、または
・管理者がパブリッシャーを手動で再起動します。
Q: Is there a difference between OVA and non-OVA Publishers?
AAMI、VHD、VHDXの場合、カーネルのアップデートは特に設定をしなくても動作します。R111より前に導入されたOVA Publisherの場合、一度限りの有効化プロセス（ディスク拡張＋パッケージのインストール）が必要です。こちらの記事を参照してください:古い OVA パブリッシャーでカーネル アップデートを有効にする。
Q: What about CVEs that affect the host OS?
A: PublisherはUbuntu上で動作しており、カーネルまたはシステムパッケージにおけるOSレベルのCVEの影響を受ける可能性があります。カーネルのアップデートと自動アップグレードを有効にすることで、Ubuntuが修正プログラムを公開した際に、これらのCVEパッチが自動的に適用されるようになります。自動アップグレード（再起動をトリガーする）と組み合わせることで、手動による介入なしにタイムリーな修復が可能になります。
ホストOSの脆弱性スキャンを実施するお客様の場合、パッチ適用済みのベースラインを維持するためには、 「カーネルアップデートを有効にする」と「自動アップグレードを有効にする」の両方を有効にしておくことをお勧めします。