Funcionamiento de las reglas de bases de referencia de parches en los sistemas basados en Linux

Las reglas de una base de referencia de parches para distribuciones de Linux funcionan de forma diferente en función del tipo de distribución. A diferencia de actualizaciones de revisiones en los nodos administrados de Windows Server, las reglas se evalúan en cada uno de los nodos para tener en cuenta los repositorios configurados en ellos. Patch Manager, una capacidad de AWS Systems Manager, utiliza el administrador de paquetes nativo para impulsar la instalación de revisiones aprobadas por la base de referencia de revisiones.

Para los tipos de sistemas operativos basados en Linux que informan de un nivel de gravedad de las revisiones, Patch Manager utiliza el nivel de gravedad notificado por el editor de software para el aviso de actualización o la revisión individual. Patch Manager no deriva los niveles de gravedad de orígenes de terceros, como el Sistema de puntuación de vulnerabilidades comunes (CVSS), ni de las métricas publicadas por la Base de datos nacional de vulnerabilidades (NVD).

Funcionamiento las reglas de la línea de base de revisiones en Amazon Linux 1, Amazon Linux 2, Amazon Linux 2022 y Amazon Linux 2023

En Amazon Linux 1, Amazon Linux 2, Amazon Linux 2022 y Amazon Linux 2023, el proceso de selección de parches es el siguiente:

1. En el nodo administrado, la biblioteca YUM (Amazon Linux 1, Amazon Linux 2) o la biblioteca DNF (Amazon Linux 2022 y Amazon Linux 2023) accede al archivo updateinfo.xml de cada repositorio configurado.

   nota

   Si no encuentra el archivo updateinfo.xml, la instalación de las revisiones variará en función de la configuración de la opción Incluir actualizaciones no relacionadas con la seguridad y Aprobación automática. Por ejemplo, si se permiten las actualizaciones no relacionadas con la seguridad, se instalarán en el momento en que se realice la aprobación automática.

2. Cada aviso de actualización de updateinfo.xml incluye varios atributos que denota las propiedades de los paquetes del aviso, tal y como se describe en la siguiente tabla.

   Atributos de aviso de actualización
   Atributo	Descripción
   type	Corresponde al valor del atributo clave Classification en el tipo de datos PatchFilter de la base de referencia de parches. Denota el tipo de paquete incluido en el aviso de actualización. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   severity	Corresponde al valor del atributo clave Severity en el tipo de datos PatchFilter de la base de referencia de parches. Denota la gravedad de los paquetes incluidos en el aviso de actualización. Solo se suele aplicar para los avisos de actualización Security. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   update_id	Denota el ID de Advisory, como ALAS-2017-867. El ID de Advisory se puede utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   references	Contiene información adicional acerca del aviso de actualización, como un ID de CVE (formato: cVE-2017-1234567). El ID de CVE se puede utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   updated	Corresponde a ApproveAfterDays en la base de referencia de parches. Denota la fecha de publicación (fecha de actualización) de los paquetes incluidos en el aviso de actualización. Una comparación entre la marca de tiempo actual y el valor de este atributo. Además, ApproveAfterDays se utiliza para determinar si la revisión está aprobada para la implementación.

   nota

   Para obtener información acerca de los formatos aceptados para las Listas de revisiones aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

3. El producto del nodo administrado se determina en función del SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

4. Los paquetes se seleccionan para la actualización de acuerdo con las siguientes directrices:

   Opción de seguridad	Selección de parches
   Líneas de base de revisiones predeterminadas y predefinidas proporcionadas por AWS y líneas de base de revisiones personalizadas en las que no está seleccionada la opción Incluir actualizaciones no relacionadas con la seguridad	Para cada aviso de actualización de updateinfo.xml; la base de referencia de parches se usa como filtro, de modo que solo se permiten que los paquetes cualificados se incluyan en la actualización. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente. En Amazon Linux 1 y Amazon Linux 2, el comando YUM equivalente para este flujo de trabajo es el siguiente: sudo yum update-minimal --sec-severity=Critical,Important --bugfix -y En Amazon Linux 2022 y Amazon Linux 2023, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade-minimal --sec-severity=Critical --sec-severity=Important --bugfix -y
   Líneas de base de revisiones personalizadas en las que la casilla de verificación Incluir actualizaciones no relacionadas con la seguridad sí está seleccionada con una lista de GRAVEDAD de [Critical, Important] y una lista de CLASIFICACIÓN de [Security, Bugfix]	Además de aplicar las actualizaciones de seguridad que se han seleccionado desde updateinfo.xml, Patch Manager aplicará actualizaciones no relacionadas con la seguridad y que, por otro lado, cumplen las reglas de filtrado de parches. En Amazon Linux y Amazon Linux 2, el comando yum equivalente para este flujo de trabajo es el siguiente: sudo yum update-minimal --security --sec-severity=Critical,Important --bugfix -y En Amazon Linux 2022 y Amazon Linux 2023, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade-minimal --security --sec-severity=Critical --sec-severity=Imporant --bugfix -y

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de la línea de base de revisiones en CentOS y CentOS Stream

Los repositorios predeterminados de CentOS y CentOS Stream no incluyen un archivo updateinfo.xml. Sin embargo, los repositorios personalizados que se cree o se utilicen pueden incluir este archivo. En este tema, las referencias a updateinfo.xml se aplicarán únicamente a estos repositorios personalizados.

En CentOS y CentOS Stream, el proceso de selección de revisiones es el siguiente:

1. En el nodo administrado, la biblioteca YUM (en las versiones CentOS 6.x y 7.x) o la biblioteca DNF (en CentOS 8.x y CentOS Stream) obtiene acceso al archivo updateinfo.xml, si existe en un repositorio personalizado, correspondiente a cada uno de los repositorios configurados.

   Si no encuentra el archivo updateinfo.xml, el cual incluye los repositorios predeterminados, la instalación de los parches variará según la configuración de la opción Incluir actualizaciones no relacionadas con la seguridad y Aprobación automática. Por ejemplo, si se permiten las actualizaciones no relacionadas con la seguridad, se instalarán en el momento en que se realice la aprobación automática.

2. Si updateinfo.xml está presente, cada aviso de actualización en el archivo incluye varios atributos que denota las propiedades de los paquetes del aviso, tal y como se describe en la siguiente tabla.

   Atributos de aviso de actualización
   Atributo	Descripción
   type	Corresponde al valor del atributo clave Classification en el tipo de datos PatchFilter de la base de referencia de parches. Denota el tipo de paquete incluido en el aviso de actualización. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   severity	Corresponde al valor del atributo clave Severity en el tipo de datos PatchFilter de la base de referencia de parches. Denota la gravedad de los paquetes incluidos en el aviso de actualización. Solo se suele aplicar para los avisos de actualización Security. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   update_id	Denota el ID de Advisory, como CVE-2019-17055. El ID de Advisory se puede utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   references	Contiene información adicional acerca del aviso de actualización, como un ID de CVE (formato: cVE-2019-17055) o un ID de Bugzilla (formato: 1463241). El ID de CVE y de Bugzilla se pueden utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   updated	Corresponde a ApproveAfterDays en la base de referencia de parches. Denota la fecha de publicación (fecha de actualización) de los paquetes incluidos en el aviso de actualización. Una comparación entre la marca de tiempo actual y el valor de este atributo. Además, ApproveAfterDays se utiliza para determinar si la revisión está aprobada para la implementación.

   nota

   Para obtener información acerca de los formatos aceptados para las Listas de revisiones aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

3. En todos los casos, el producto del nodo administrado se determina según el SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

4. Los paquetes se seleccionan para la actualización de acuerdo con las siguientes directrices:

   Opción de seguridad	Selección de parches
   Líneas de base de revisiones predeterminadas y predefinidas proporcionadas por AWS y líneas de base de revisiones personalizadas en las que no está seleccionada la opción Incluir actualizaciones no relacionadas con la seguridad	Para cada aviso de actualización de updateinfo.xml, si existe un repositorio personalizado, la base de referencia de parches se utiliza como un filtro, de modo que solo se permiten que los paquetes cualificados se incluyan en la actualización. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente. En CentOS 6 y 7 donde updateinfo.xml esté presente, el comando YUM equivalente para este flujo de trabajo es el siguiente: sudo yum update-minimal --sec-severity=Critical,Important --bugfix -y En CentOS 8 y CentOS Stream donde updateinfo.xml esté presente, el comando YUM equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade-minimal --sec-severity=Critical --sec-severity=Important --bugfix -y
   Líneas de base de revisiones personalizadas en las que la casilla de verificación Incluir actualizaciones no relacionadas con la seguridad sí está seleccionada con una lista de GRAVEDAD de [Critical, Important] y una lista de CLASIFICACIÓN de [Security, Bugfix]	Además de aplicar las actualizaciones de seguridad que se han seleccionado desde updateinfo.xml, si existe un repositorio personalizado, Patch Manager aplicará actualizaciones no relacionadas con la seguridad y que, por otro lado, cumplen las reglas de filtrado de parches. En CentOS 6 y 7 donde updateinfo.xml esté presente, el comando YUM equivalente para este flujo de trabajo es el siguiente: sudo yum update --sec-severity=Critical,Important --bugfix -y En CentOS 8 y CentOS Stream donde updateinfo.xml esté presente, el comando YUM equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade --security --sec-severity=Critical --sec-severity=Important --bugfix -y Para los repositorios predeterminados y los repositorios personalizados sin updateinfo.xml, debe seleccionar la casilla de verificación Incluir actualizaciones que no sean de seguridad para actualizar los paquetes del sistema operativo (SO).

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de bases de referencia de parches en Debian Server y Raspberry Pi OS

En Debian Server y Raspberry Pi OS (anteriormente Raspbian), el servicio de bases de referencia de revisiones permite filtrar en los campos Priority (Prioridad) y Section (Sección). Estos campos suelen estar presentes para todos los paquetes de Debian Server y Raspberry Pi OS. Para determinar si un parche se ha seleccionado mediante la base de referencia de parches, Patch Manager hace lo siguiente:

1. En sistemas Debian Server y Raspberry Pi OS, el equivalente de sudo apt-get update es ejecutar para actualizar la lista de paquetes disponibles. Los repositorios no están configurados y los datos se obtienen de los repositorios configurados en una lista de sources.

2. Si está disponible una actualización para python3-apt (una interfaz de biblioteca de Python para libapt), se actualiza a la versión más reciente. (Este paquete no relacionado con la seguridad se actualiza aunque no haya seleccionado la opción Include nonsecurity updates [Incluir actualizaciones no relacionadas con la seguridad]).

   importante

   Solo en Debian Server 8: debido a que los sistemas operativos Debian Server 8.* hacen referencia a un repositorio de paquetes obsoleto (jessie-backports), Patch Manager lleva a cabo los siguientes pasos adicionales para garantizar que las operaciones de aplicación de revisiones se efectúen correctamente:

   1. En el nodo administrado, la referencia al repositorio jessie-backports se indica en la lista de ubicaciones de origen (/etc/apt/sources.list.d/jessie-backports). Por consiguiente, no se intenta descargar los parches desde esa ubicación.

   2. Se importa una clave de firma de actualización de seguridad de Stretch. Esta clave proporciona los permisos necesarios para las operaciones de actualización e instalación en las distribuciones de Debian Server 8.*.

   3. A esta altura, se ejecuta la operación apt-get para asegurarse de que la versión más reciente de python3-apt esté instalada antes de que comience el proceso de aplicación de parches.

   4. Una vez finalizado el proceso de instalación, se restaura la referencia al repositorio jessie-backports y se elimina la clave de firma del conjunto de claves de las fuentes de apt. Esto se hace para dejar la configuración del sistema tal como estaba antes de la operación de aplicación de parches.

3. Después, se aplican las listas de GlobalFilters, ApprovalRules, ApprovedPatches y RejectedPatches.

   nota

   Como no es posible determinar de forma fiable las fechas de lanzamiento de los paquetes de actualización para Debian Server, las opciones de aprobación automática no son compatibles con este sistema operativo.

   Sin embargo, las reglas de aprobación también están sujetas a si se seleccionó la casilla de verificación Include nonsecurity updates (Incluir actualizaciones no relacionadas con la seguridad) durante la creación o la última actualización de una base de referencia de parches.

   Además, si se excluyen las actualizaciones no relacionadas con la seguridad, se aplica una regla implícita para seleccionar únicamente los paquetes con actualizaciones en repositorios de seguridad. Para cada paquete, la versión candidata del paquete (que suele ser la última) debe formar parte de un repositorio de seguridad. En este caso, en Debian Server, las versiones candidatas a revisiones se limitan a las revisiones incluidas en los siguientes repositorios:

   Estos repositorios se denominan de la siguiente manera:

   • Debian Server 8: debian-security jessie

   • Debian Server y Raspberry Pi OS 9: debian-security stretch

   • Debian Server 10: debian-security buster

   • Debian Server 11: debian-security bullseye

   • Debian Server 12: debian-security bookworm

   Si se incluyen actualizaciones no relacionadas con la seguridad, también se tienen en cuenta los parches de los demás repositorios.

   nota

   Para obtener información acerca de los formatos aceptados para las listas de parches aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

Para ver el contenido de los campos Priority y Section , ejecute el siguiente comando aptitude:

nota

Es posible que necesite instalar por primera vez Aptitude en sistemas Debian Server.

aptitude search -F '%p %P %s %t %V#' '~U'

En la respuesta a este comando, todos los paquetes actualizables se notifican en este formato:

name, priority, section, archive, candidate version

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de bases de referencia de parches en macOS

En las instancias de macOS, el proceso de selección de parches es el siguiente:

1. En el nodo administrado, Patch Manager accede al contenido analizado del archivo InstallHistory.plist e identifica los nombres y las versiones de los paquetes.

   Para obtener más detalles acerca del proceso de análisis, consulte la pestaña macOS en Cómo se instalan las revisiones.

2. El producto del nodo administrado se determina en función del SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

3. Los paquetes se seleccionan para la actualización de acuerdo con las siguientes directrices:

   Opción de seguridad	Selección de parches
   Líneas de base de revisiones predeterminadas y predefinidas proporcionadas por AWS y líneas de base de revisiones personalizadas en las que no está seleccionada la opción Incluir actualizaciones no relacionadas con la seguridad	En cada actualización de paquetes disponibles, la base de referencia de parches se usa como filtro, de modo que solo se incluyen en la actualización los paquetes aplicables. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente.
   Líneas de base de revisiones personalizados en las que la casilla de verificación Incluir actualizaciones no relacionadas con la seguridad está seleccionada	Además de aplicar las actualizaciones de seguridad que se han identificado mediante InstallHistory.plist , Patch Manager aplicará actualizaciones no relacionadas con la seguridad que además cumplen las reglas de filtrado de parches.

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de bases de referencia de parches en Oracle Linux

En las instancias de Oracle Linux, el proceso de selección de parches es el siguiente:

1. En el nodo administrado, la biblioteca YUM accede al archivo updateinfo.xml de cada repositorio configurado.

   nota

   El archivo updateinfo.xml podría no estar disponible si Oracle no administra el repositorio. Si no encuentra el archivo updateinfo.xml, la instalación de las revisiones variará en función de la configuración de la opción Incluir actualizaciones no relacionadas con la seguridad y Aprobación automática. Por ejemplo, si se permiten las actualizaciones no relacionadas con la seguridad, se instalarán en el momento en que se realice la aprobación automática.

2. Cada aviso de actualización de updateinfo.xml incluye varios atributos que denota las propiedades de los paquetes del aviso, tal y como se describe en la siguiente tabla.

   Atributos de aviso de actualización
   Atributo	Descripción
   type	Corresponde al valor del atributo clave Classification en el tipo de datos PatchFilter de la base de referencia de parches. Denota el tipo de paquete incluido en el aviso de actualización. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   severity	Corresponde al valor del atributo clave Severity en el tipo de datos PatchFilter de la base de referencia de parches. Denota la gravedad de los paquetes incluidos en el aviso de actualización. Solo se suele aplicar para los avisos de actualización Security. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   update_id	Denota el ID de Advisory, como CVE-2019-17055. El ID de Advisory se puede utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   references	Contiene información adicional acerca del aviso de actualización, como un ID de CVE (formato: cVE-2019-17055) o un ID de Bugzilla (formato: 1463241). El ID de CVE y de Bugzilla se pueden utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   updated	Corresponde a ApproveAfterDays en la base de referencia de parches. Denota la fecha de publicación (fecha de actualización) de los paquetes incluidos en el aviso de actualización. Una comparación entre la marca de tiempo actual y el valor de este atributo. Además, ApproveAfterDays se utiliza para determinar si la revisión está aprobada para la implementación.

   nota

   Para obtener información acerca de los formatos aceptados para las Listas de revisiones aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

3. El producto del nodo administrado se determina en función del SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

4. Los paquetes se seleccionan para la actualización de acuerdo con las siguientes directrices:

   Opción de seguridad	Selección de parches
   Líneas de base de revisiones predeterminadas y predefinidas proporcionadas por AWS y líneas de base de revisiones personalizadas en las que no está seleccionada la opción Incluir actualizaciones no relacionadas con la seguridad	Para cada aviso de actualización de updateinfo.xml; la base de referencia de parches se usa como filtro, de modo que solo se permiten que los paquetes cualificados se incluyan en la actualización. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente. En los nodos administrados de la versión 7, el comando yum equivalente para este flujo de trabajo es: sudo yum update-minimal --sec-severity=Important,Moderate --bugfix -y En los nodos administrados de las versiones 8 y 9, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade-minimal --security --sec-severity=Moderate --sec-severity=Important
   Líneas de base de revisión personalizadas en las que la opción Incluir actualizaciones no relacionadas con la seguridad sí está seleccionada con una lista de GRAVEDAD de [Critical, Important] y una lista de GLASIFICACIÓN de [Security, Bugfix]	Además de aplicar las actualizaciones de seguridad que se han seleccionado desde updateinfo.xml, Patch Manager aplicará actualizaciones no relacionadas con la seguridad y que, por otro lado, cumplen las reglas de filtrado de parches. En los nodos administrados de la versión 7, el comando yum equivalente para este flujo de trabajo es: sudo yum update --security --sec-severity=Critical,Important --bugfix -y En los nodos administrados de las versiones 8 y 9, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade --security --sec-severity=Critical, --sec-severity=Important --bugfix y

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de líneas de base de revisiones en AlmaLinux, RHEL y Rocky Linux

En AlmaLinux, Red Hat Enterprise Linux (RHEL) y Rocky Linux, el proceso de selección de revisiones es el siguiente:

1. En el nodo administrado, la biblioteca YUM (RHEL 7) o la biblioteca DNF (AlmaLinux 8 y 9, RHEL 8 y 9, y Rocky Linux 8 y 9) accede al archivo updateinfo.xml de cada repositorio configurado.

   nota

   El archivo updateinfo.xml podría no estar disponible si Red Hat no administra el repositorio. Si no se encuentra updateinfo.xml; no se aplica ningún parche.

2. Cada aviso de actualización de updateinfo.xml incluye varios atributos que denota las propiedades de los paquetes del aviso, tal y como se describe en la siguiente tabla.

   Atributos de aviso de actualización
   Atributo	Descripción
   type	Corresponde al valor del atributo clave Classification en el tipo de datos PatchFilter de la base de referencia de parches. Denota el tipo de paquete incluido en el aviso de actualización. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   severity	Corresponde al valor del atributo clave Severity en el tipo de datos PatchFilter de la base de referencia de parches. Denota la gravedad de los paquetes incluidos en el aviso de actualización. Solo se suele aplicar para los avisos de actualización Security. Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.
   update_id	Denota el ID de Advisory, como RHSA-2017:0864. El ID de Advisory se puede utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   references	Contiene información adicional acerca del aviso de actualización, como un ID de CVE (formato: cVE-2017-1000371) o un ID de Bugzilla (formato: 1463241). El ID de CVE y de Bugzilla se pueden utilizar en los atributos ApprovedPatches o RejectedPatches en la base de referencia de parches.
   updated	Corresponde a ApproveAfterDays en la base de referencia de parches. Denota la fecha de publicación (fecha de actualización) de los paquetes incluidos en el aviso de actualización. Una comparación entre la marca de tiempo actual y el valor de este atributo. Además, ApproveAfterDays se utiliza para determinar si la revisión está aprobada para la implementación.

   nota

   Para obtener información acerca de los formatos aceptados para las Listas de revisiones aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

3. El producto del nodo administrado se determina en función del SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

4. Los paquetes se seleccionan para la actualización de acuerdo con las siguientes directrices:

   Opción de seguridad	Selección de parches
   Líneas de base de revisiones predeterminadas y predefinidas proporcionas AWS y líneas de base de revisiones en las que la casilla de verificación Incluir actualizaciones no relacionadas con la seguridad no está seleccionada para ninguna regla	Para cada aviso de actualización de updateinfo.xml; la base de referencia de parches se usa como filtro, de modo que solo se permiten que los paquetes cualificados se incluyan en la actualización. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente. En RHEL 7, el comando yum equivalente para este flujo de trabajo es: sudo yum update-minimal --sec-severity=Critical,Important --bugfix -y En AlmaLinux 8 y 9, RHEL 8 y 9 y Rocky Linux 8 y 9, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade-minimal --sec-severity=Critical --sec-severity=Important --bugfix -y
   Líneas de base de revisiones personalizadas en las que la casilla de verificación Incluir actualizaciones no relacionadas con la seguridad sí está seleccionada con una lista de GRAVEDAD de [Critical, Important] y una lista de CLASIFICACIÓN de [Security, Bugfix]	Además de aplicar las actualizaciones de seguridad que se han seleccionado desde updateinfo.xml, Patch Manager aplicará actualizaciones no relacionadas con la seguridad y que, por otro lado, cumplen las reglas de filtrado de parches. En RHEL 7, el comando yum equivalente para este flujo de trabajo es: sudo yum update --security --sec-severity=Critical,Important --bugfix -y En AlmaLinux 8 y 9, RHEL 8 y 9 y Rocky Linux 8 y 9, el comando dnf equivalente para este flujo de trabajo es el siguiente: sudo dnf upgrade --sec-severity=Critical --sec-severity=Important --bugfix -y

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.

Funcionamiento de las reglas de bases de referencia de parches en SUSE Linux Enterprise Server

En SLES, cada parche incluye los siguientes atributos que denotan las propiedades de los paquetes del parche:

• Category (Categoría): Corresponde al valor del atributo clave Classification (Clasificación) en el tipo de datos PatchFilter de la base de referencia de parches. Denota el tipo de parche incluido en el aviso de actualización.

  Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.

• Gravedad: corresponde al valor del atributo clave Gravedad en el tipo de datos PatchFilter de la línea de base de revisiones. Denota la gravedad de los parches.

  Puede consultar la lista de valores admitidos mediante el comando describe-patch-properties de la AWS CLI o la operación DescribePatchProperties de la API. También puede consultar la lista en el área Approval rules (Reglas de aprobación) de la página Create patch baseline (Crear una base de referencia de parches) o Edit patch baseline (Editar una base de referencia de parches) de la consola de Systems Manager.

El producto del nodo administrado se determina en función del SSM Agent. Este atributo corresponde al valor del atributo clave Product (Producto) del tipo de datos PatchFilter de la base de referencia de parches.

En cada parche, la base de referencia de parches se usa como filtro, de modo que solo se incluyen en la actualización los paquetes cualificados. Si varios paquetes son aplicables después de la aplicación de la definición de bases de referencia de parches, se usa la más reciente.

nota

Para obtener información acerca de los formatos aceptados para las listas de parches aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

Funcionamiento de las reglas de bases de referencia de parches en Ubuntu Server

En Ubuntu Server, el servicio de bases de referencia de parches permite filtrar en los campos Priority (Prioridad) y Section (Sección). Estos campos suelen estar presentes para todos los paquetes de Ubuntu Server. Para determinar si un parche se ha seleccionado mediante la base de referencia de parches, Patch Manager hace lo siguiente:

1. En sistemas Ubuntu Server, el equivalente de sudo apt-get update es ejecutar para actualizar la lista de paquetes disponibles. Los repositorios no están configurados y los datos se obtienen de los repositorios configurados en una lista de sources.

2. Si está disponible una actualización para python3-apt (una interfaz de biblioteca de Python para libapt), se actualiza a la versión más reciente. (Este paquete no relacionado con la seguridad se actualiza aunque no haya seleccionado la opción Include nonsecurity updates [Incluir actualizaciones no relacionadas con la seguridad]).

3. Después, se aplican las listas de GlobalFilters, ApprovalRules, ApprovedPatches y RejectedPatches.

   nota

   Debido a que no es posible determinar de forma fiable las fechas de lanzamiento de los paquetes de actualización para Ubuntu Server, las opciones de aprobación automática no son compatibles con este sistema operativo.

   Sin embargo, las reglas de aprobación también están sujetas a si se seleccionó la casilla de verificación Include nonsecurity updates (Incluir actualizaciones no relacionadas con la seguridad) durante la creación o la última actualización de una base de referencia de parches.

   Además, si se excluyen las actualizaciones no relacionadas con la seguridad, se aplica una regla implícita para seleccionar únicamente los paquetes con actualizaciones en repositorios de seguridad. Para cada paquete, la versión candidata del paquete (que suele ser la última) debe formar parte de un repositorio de seguridad. En este caso, en Ubuntu Server, las versiones candidatas a revisiones se limitan a las revisiones incluidas en los siguientes repositorios:

   • Ubuntu Server 14.04 LTS: trusty-security

   • Ubuntu Server 16.04 LTS: xenial-security

   • Ubuntu Server 18.04 LTS: bionic-security

   • Ubuntu Server 20.04 LTS: focal-security

   • Ubuntu Server 20.10 STR: groovy-security

   • Ubuntu Server 22.04 LTS (jammy-security)

   • Ubuntu Server 23.04 (lunar-security)

   Si se incluyen actualizaciones no relacionadas con la seguridad, también se tienen en cuenta los parches de los demás repositorios.

   nota

   Para obtener información acerca de los formatos aceptados para las listas de parches aprobados y rechazados, consulte Acerca de los formatos de nombre de paquete para listas de parches aprobados y rechazados.

Para ver el contenido de los campos Priority y Section , ejecute el siguiente comando aptitude:

nota

Es posible que necesite instalar por primera vez Aptitude en sistemas Ubuntu Server 16.

aptitude search -F '%p %P %s %t %V#' '~U'

En la respuesta a este comando, todos los paquetes actualizables se notifican en este formato:

name, priority, section, archive, candidate version

Para obtener información sobre los valores de estado de conformidad de parches, consulte Conocimiento de los valores del estado de conformidad de parches.