Я пытаюсь создать службу, которая может принимать дистрибутив, пакет и номер версии, и использовать эту информацию, чтобы проверить, есть ли активный CVE для этого кортежа.
после некоторого поиска я обнаружил, что журналы изменений надежно ссылаются на CVE, поэтому я подумал о разборе журналов изменений на идентификаторы CVE и создании отчетов на их основе. К сожалению, мы используем очень неоднородную архитектуру, в которой мы работаем с CentOS, Ubuntu и Debian.
Я знаю, что каждый ящик может сам получать журналы изменений, но это невозможно из-за того, как мы настроили мониторинг (я знаю, что знаю, но поверьте мне в этом). У меня есть дамп данных с информацией о пакете для всех этих машин, находящихся на сервере, и данные регулярно обновляются по мере того, как эти ящики звонят домой.
есть ли способ получить одну машину, которая может получать журналы изменений для каждого дистрибутива? или мне нужна машина Ubuntu для получения журналов изменений Ubuntu, CentOS для вызова yum changelog, и т.д.?
Спасибо!
Поскольку вы уже явно спрашивали о CVE, вам, скорее всего, захочется не анализировать журналы изменений вручную, а лучше использовать существующие наборы инструментов для изучения того, какие CVE исправлены в каких выпусках дистрибутивов.
В каждом дистрибутиве есть система для централизованного отслеживания проблем безопасности.
Для Ubuntu это называется ubuntu-cve-tracker. Хороший пример того, что вы можете с ним сделать: веб-сайт отслеживания ubuntu cve. Есть репозиторий всего состояния трекера, который вы можете изучить с помощью bazaar:
$ bzr branch lp:ubuntu-cve-tracker
$ grep xenial_ ubuntu-cve-tracker/active/CVE-2017-9936
xenial_tiff: needed
xenial_tiff3: DNE
Подумайте о том, чтобы изучить каталог / scripts и сами убедитесь, каким образом вы можете повторно использовать код оттуда.
Смелое предупреждение: не просто автоматизируйте доступ к панели запуска или зеркалам журнала изменений Ubuntu иначе, чем так, как задумали разработчики Ubuntu. Зеркала Ubuntu и Launchpad работают, потому что люди выделяют огромное количество бесплатных ресурсов и ожидается, что вы либо будете использовать уже задокументированные способы доступа к данным, либо вежливо сообщите об ошибке.