[Infra Ops] OS 보안 패치와 미들웨어 버전 업 절차

개발계(Dev) → 검증계(Staging) → 운영계(Prod)
        24h 관찰           24h 관찰

# 업데이트 가능한 패키지 전체 목록
sudo yum check-update

# 보안 패치만 확인 (Security Advisory 분류된 것만)
sudo yum check-update --security

# Ubuntu/Debian 계열
sudo apt update
apt list --upgradable 2>/dev/null | grep -i security

# 특정 패키지의 현재 설치 버전 확인
rpm -qa | grep openssl
# openssl-1.1.1k-9.el8.x86_64
# openssl-libs-1.1.1k-9.el8.x86_64

# 설치 가능한 버전 목록 (yum)
sudo yum list --showduplicates openssl | tail -10

# dry-run 먼저 — 실제 설치 없이 변경 목록만 확인
sudo yum update --security --assumeno

# 실제 보안 패치 적용
sudo yum update --security -y

# 특정 패키지만 업데이트 (영향 범위 최소화)
sudo yum update openssl openssl-libs -y

# Ubuntu/Debian 계열 보안 패치만
sudo apt-get upgrade -y --with-new-pkgs $(apt-get -s upgrade 2>/dev/null | grep "^Inst" | grep -i security | awk '{print $2}' | tr '\n' ' ')

# yum 패치 이력 (날짜별 트랜잭션 목록)
sudo yum history list | head -20
# ID  | Command                      | Date               | Action | Altered
#  15 | update --security -y         | 2024-12-10 23:14   | Update |      8

# 특정 트랜잭션 상세 내용
sudo yum history info 15

# 로그 파일로 확인
sudo grep -i "updated\|installed" /var/log/yum.log | tail -30

# apt 패치 이력 (Debian 계열)
grep "upgrade\|install" /var/log/apt/history.log | tail -30

# 현재 실행 중인 커널 버전
uname -r
# 5.14.0-362.8.1.el9_3.x86_64

# 설치된 커널 전체 목록
rpm -qa | grep '^kernel-[0-9]' | sort
# kernel-5.14.0-362.8.1.el9_3.x86_64
# kernel-5.14.0-427.13.1.el9_4.x86_64  ← 이미 설치된 최신 버전

# 커널 업데이트 (재부팅 필요)
sudo yum update kernel -y

# 다음 부팅에서 사용할 기본 커널 확인
sudo grubby --default-kernel
# /boot/vmlinuz-5.14.0-427.13.1.el9_4.x86_64

# 사용 가능한 커널 목록
sudo grubby --info=ALL | grep "^kernel"

# 재부팅
sudo reboot

# 재접속 후 새 커널 버전 확인
uname -r
# 5.14.0-427.13.1.el9_4.x86_64  ← 새 커널로 올라왔으면 성공

# 기본 커널 경로와 실행 중인 커널 일치 여부 확인
sudo grubby --default-kernel

# kpatch 설치 (RHEL/CentOS 계열)
sudo yum install kpatch kpatch-dnf -y

# 적용 가능한 라이브 패치 목록 확인
sudo kpatch list

# kpatch는 일부 취약점에만 제공되며, 커널 패치의 완전한 대체재가 아닙니다.
# Critical 커널 취약점은 결국 재부팅 패치가 필요합니다.

# 물리 서버/KVM: 재부팅 시 GRUB 메뉴에서 방향키로 이전 커널 선택
# 클라우드 VM: 콘솔/직렬 포트 접근 후 GRUB 메뉴 선택

# CLI로 기본 커널 변경 (이전 커널로 롤백)
sudo grubby --set-default /boot/vmlinuz-5.14.0-362.8.1.el9_3.x86_64

# 변경 확인
sudo grubby --default-kernel
# /boot/vmlinuz-5.14.0-362.8.1.el9_3.x86_64

sudo reboot

# 현재 버전 확인
nginx -v
# nginx version: nginx/1.18.0

java -version
# openjdk version "1.8.0_392"

# Release Notes에서 반드시 확인할 항목:
# - Deprecated → Removed 항목 (기존 설정이 오류가 되는 것)
# - 기본값 변경 사항
# - 의존 라이브러리 최소 버전 변경

# Nginx 설정 전체 백업
sudo tar czf /opt/backup/nginx-conf-$(date +%Y%m%d).tar.gz /etc/nginx/

# Tomcat 설정 백업
sudo tar czf /opt/backup/tomcat-conf-$(date +%Y%m%d).tar.gz /opt/tomcat/conf/

# JDK 환경변수 기록
echo "JAVA_HOME=$JAVA_HOME" > /opt/backup/java-env-$(date +%Y%m%d).txt
java -version >> /opt/backup/java-env-$(date +%Y%m%d).txt 2>&1

# 현재 패키지 목록 스냅샷 (RPM 환경)
rpm -qa | sort > /opt/backup/rpm-list-$(date +%Y%m%d).txt

# Nginx 버전 업 (yum 환경)
sudo yum update nginx -y

# 설정 파일 문법 검사
sudo nginx -t
# nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
# nginx: configuration file /etc/nginx/nginx.conf test is successful

# 문법 오류 시 즉시 확인
sudo nginx -T 2>&1 | grep -i error

# 서비스 재기동
sudo systemctl restart nginx
sudo systemctl status nginx

# 응답 확인
curl -I http://localhost/health
# HTTP/1.1 200 OK

# 오류 로그 확인 (재기동 후 1분간)
sudo tail -f /var/log/nginx/error.log

# 이전 버전 바이너리 보존 (yum은 자동 보존)
sudo yum list installed nginx
sudo yum list --showduplicates nginx | grep nginx

# 이전 버전으로 다운그레이드 (필요 시)
sudo yum downgrade nginx-1.18.0 -y
sudo systemctl restart nginx

# JDK 8 → 11 전환 시 javax → jakarta 패키지 변경으로 기동 실패 사례
# 애플리케이션 pom.xml 또는 build.gradle의 의존성 버전도 함께 확인 필요

# 현재 사용 중인 JDK 확인
alternatives --list | grep java
# java  auto  /usr/lib/jvm/java-11-openjdk-11.0.21.0.9-2.el9.x86_64/bin/java

# JDK 여러 버전 공존 설치 후 전환
sudo alternatives --config java