Security Advisory в nagios

[shurik]

Всем доброго дня!

Скажите кто как мониторит в nagios сабж? Пока есть мысли периодически по крону пускать csup и наваять скрипт, который бы парсил /usr/src/UPDATING и вывод uname -r, и на основании этого делал бы вывод о состоянии системы. Может у кого-то есть более элегантное решение?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[angelas_]

А по-моему лучше мониторить этот линк:
http://security.freebsd.org/advisories/
Можно периодически натравливать на него скрипт, как только поавится что-нибудь новое можно из них вытаскивать информацию и отсылать в нагиос, сразу будете знать что там обновить надо. Не знаю существуют ли какие-то уже готовые решения, так как сам не пользуюсь таким. Но, думаю, если б надо было, то делал что-то в этом направлении.

[shurik]

Думал и над таким вариантом, миррорить на локальном хосте http://security.freebsd.org/advisories/, но как вытащить из полученных *.asc, что-то что можно было бы сравнить с текущей системой, я не нашел, поэтому вернулся к варианту с UPDATING. Там в явном виде указан номер текущего патча для этой системы (напр. p14), тобишь команда вида

Код: Выделить всё

uname -r | grep `grep -m 1 FreeBSD-SA /usr/src/UPDATING | awk '{print $2}'` | test -z

должна возвращать в нагиос 0 если версии патчей совпадают и 1 если нет

[angelas_]

Можно зеркалить на локальную машину, а можно только присылать самые новые файлы. Ну а когда файлы на диске из них вытаскивать информацию нетрудно. Ну видите, поскольку я на серверах использую -STABLE, то мне мне бы не подошёл ваш вариант.

[shurik]

Тут как бы да, вопросов нет... Но вот как определить собиралась ли система с этими апдейтами уже или нет. Разве что сравнивать дату последнего *.asc с датой сборки мира из uname. Или есть другие мысли?

[angelas_]

Не всё так просто. Например, с тем же самым rtld.c. Вам необязательно пересобирать мир, чтобы пропатчить систему. Поэтому может запросто случиться, когда дата мира будет старее нежели advisory, но система будет обновлена.
Думаю будет лучше вытаскивать номер ревизии вашей версии ОС из *.asc файлов и сравнивать её с номером версии в источниках системы. Но, система получится не дуракоустойчивая, так как если вы просто обновите дерево исходников системы и забудете пропатчить - нагиос не сработает. Да, здесь надо хорошенько пораскинуть мозгами...

[shurik]

Не всё так просто. Например, с тем же самым rtld.c. Вам необязательно пересобирать мир, чтобы пропатчить систему. Поэтому может запросто случиться, когда дата мира будет старее нежели advisory, но система будет обновлена.

Я как правило все же в таких случаях пересобираю ядро тоже, дабы отработал newvers.sh и uname выводила корректную дату сборки. А то если хостов много забываешь патчил ты систему или нет...