Debian 12: unattended-upgrades를 쓰더라도 ‘재부팅 정책’은 따로 필요하다

대상 OS: Debian 12 (bookworm)

unattended-upgrades는 보안 업데이트 적용 지연을 줄이는 데 매우 유용합니다. 하지만 자동 업데이트를 켰다고 해서 운영 리스크가 자동으로 사라지진 않습니다. 이유는 단순합니다.

커널/핵심 라이브러리 업데이트는 재부팅(또는 서비스 재시작)이 필요할 수 있음
언제 재부팅할지 결정하지 않으면, “적용됐는지/안 됐는지 모르는 중간 상태”가 지속됨
무작정 자동 재부팅은 가용성 사고를 만들 수 있음(업무 시간/배치 시간/클러스터 상태 무시)

따라서 unattended-upgrades는 “패치 적용”의 자동화이고, 재부팅 정책은 별도의 운영 의사결정(프로세스)입니다.

1) unattended-upgrades 동작 확인(증거 기반)

우선 ‘정말로 자동 업데이트가 도는지’를 로그로 확인합니다.

# 최근 자동 업데이트 로그
sudo tail -n 200 /var/log/unattended-upgrades/unattended-upgrades.log

# APT 히스토리도 같이 확인
sudo tail -n 200 /var/log/apt/history.log

2) 재부팅 필요 여부 확인(운영에서 자주 쓰는 방법)

Debian/Ubuntu 계열은 재부팅 필요 시 다음 파일이 생성되는 경우가 많습니다.

# 재부팅 필요 여부(파일 존재 확인)
if [ -f /var/run/reboot-required ]; then
  echo "REBOOT_REQUIRED"
  cat /var/run/reboot-required || true
else
  echo "NO_REBOOT_REQUIRED"
fi

또는 커널/라이브패치 전략에 따라 서비스 단위 재시작으로 해결될 때도 있으나, 커널 업데이트는 일반적으로 재부팅이 가장 명확합니다.

3) ‘재부팅 정책’의 최소 구성(현실적인 운영안)

거창한 자동화보다, 다음 4가지를 먼저 합의하면 운영 품질이 올라갑니다.

유지보수 창(maintenance window) 정의

예: 매주 수요일 03:00~04:00. 이 시간에 재부팅이 가능하다는 ‘조직 합의’를 먼저 만듭니다.
재부팅 트리거 정의

예: /var/run/reboot-required 존재 + 커널/openssl/glibc 등 핵심 업데이트 발생 시.
재부팅 전/후 헬스체크 자동화

재부팅 자체보다 “재부팅 후 서비스가 정상인지”가 중요합니다. 최소한 다음은 자동으로 확인되게 합니다.
```
# 예: 기본 헬스체크(서버 역할에 맞게 확장)
sudo systemctl --failed --no-pager || true
sudo ss -lntp | head
```
긴급 CVE 예외 프로세스

유지보수 창까지 기다리면 위험한 취약점은 예외로 처리합니다(승인/공지/롤백 포함).

4) 운영에 바로 붙일 수 있는 ‘가벼운’ 체크(예시 스크립트)

다음은 “재부팅 필요 여부를 표시”하는 최소 스크립트 예시입니다(모니터링/운영 배치에 넣기 쉬움).

#!/usr/bin/env bash
set -euo pipefail

HOST=$(hostname)
TS=$(date -Is)

if [ -f /var/run/reboot-required ]; then
  echo "$TS $HOST REBOOT_REQUIRED"
  exit 1
else
  echo "$TS $HOST OK"
  exit 0
fi

5) 사례(현장에서 자주 겪는 상황)

“보안 업데이트는 됐는데 커널은 옛날 그대로”: unattended-upgrades가 패키지는 올렸지만 재부팅이 안 되어 런타임 커널이 바뀌지 않은 상태. 재부팅 정책이 없을 때 흔합니다.
“자동 재부팅을 켰더니 새벽 배치/세션이 끊겨 장애가 났다”: 재부팅은 ‘업무/배치/클러스터 상태’를 고려해야 합니다. 자동 재부팅은 신중히, 최소한 유지보수 창/헬스체크와 함께.
“재부팅을 미루다 미루다 취약 기간이 길어짐”: ‘필요하면 언젠가’는 보통 ‘계속 미룸’이 됩니다. 정기 창을 만들고 리듬을 고정하는 게 가장 효과적입니다.

6) 트러블슈팅(증상→원인→해결)

증상: unattended-upgrades 로그가 거의 없음
원인: 패키지 미설치/비활성, 정책 파일 미구성
해결: dpkg -l | grep unattended-upgrades 확인 후 설치, 설정 점검(/etc/apt/apt.conf.d/)
증상: 업데이트는 되는데 재부팅 필요 표시가 안 생김
원인: 업데이트가 커널/핵심 구성요소가 아닌 경우, 또는 환경/훅 차이
해결: 커널 패키지 업데이트 여부 확인(apt-cache policy linux-image-amd64 등), 실행 중 커널 확인(uname -r)
증상: 재부팅 후 서비스가 일부 실패
원인: 부팅 순서/의존성/설정 누락, 디스크 부족, 인증서/키 권한 문제 등
해결: systemctl --failed, journalctl -b -p err로 부팅 이후 오류를 수집하고, 재부팅 전후 헬스체크에 해당 항목을 편입

root.so · Linux/Security 운영 노트

자동 보안 업데이트는 ‘적용 속도’를 올려주지만, 커널/핵심 업데이트의 ‘재부팅 의사결정’은 조직의 운영 정책으로 반드시 따로 설계해야 합니다.