Eine umfassende Anleitung zum QEMU-Patching

Wenn es um das Patchen geht, ist Gründlichkeit ein entscheidender Aspekt - ein einziger ungepatchter Dienst reicht aus, um die Tür für ein schädliches Eindringen zu öffnen. Das Ergebnis ist eine lange Liste von Geräten, Diensten und Anwendungen, die regelmäßig gepatcht werden müssen - einschließlich Diensten, die im Hintergrund laufen, wie QEMU.

QEMU (Quick EMUlator) ist natürlich das beliebte Virtualisierungstool, das die Ausführung großer, komplexer Arbeitslasten in der Unternehmensumgebung effizienter macht. Auch wenn QEMU leise im Hintergrund arbeitet, ist es doch ein wichtiger Dienst, der ständig gepatcht werden muss.

Das Patchen von QEMU kann jedoch störend sein, weshalb QEMU in Bezug auf das Patchen manchmal hinten angestellt wird. In diesem Artikel erläutern wir, warum das Patchen von QEMU so wichtig ist und welche Schritte Sie unternehmen können, um sicherzustellen, dass QEMU sicher gepatcht ist. Wir behandeln auch einen unterbrechungsfreien Weg zum Patchen von QEMU - das Live-Patchen.

Inhalt:
1 - Warum ist QEMU-Patching wichtig - und warum ist es so kompliziert?
2 - Ihr Leitfaden zum Patchen von QEMU
3 - Die schnelle und schmutzige - aber nachlässige - Methode
4 - Ein Sysadmin-Ansatz
5 - Best-Practice, ein Ansatz für Unternehmen
6 - Live-Patching ist eine Alternative
7 - Schlussfolgerung

Warum ist QEMU-Patching so wichtig - und warum ist es so kompliziert?

So gut wie jede Anwendung und jeder Dienst auf einem Computer ist ein Ziel für Hacker - wenn sie aktiv sind, werden sie garantiert angegriffen. Dabei spielt es keine Rolle, ob die Anwendung im Hintergrund läuft und eine unsichtbare Aufgabe erfüllt.

QEMU sollte genau wie jeder andere Dienst gepatcht werden, auch wenn es nicht das sichtbarste Element Ihres Workloads ist. Suchen Sie und Sie werden Schwachstellen für QEMU finden, genau wie für jeden anderen Dienst und jede andere Anwendung, die Sie verwenden.

Ein Beispiel, Im Jahr 2019 wurde eine Sicherheitslücke gemeldet die virtuelle Instanzen von QEMU-KVM betrifft, die das vhost/vhost_net-Netzwerk-Backend verwenden. Indem die virtuelle Maschine zur Migration gezwungen wird, kann das Protokoll der schmutzigen Seiten zum Überlauf gebracht werden, da der Kernel die Grenzen des Protokolls nicht überprüft.

Eine weitere QEMU-Schwachstelle tauchte 2015 aufdiesmal eine Schwachstelle in der virtuellen Floppy-Steuerung für QEMU. Sie wurde Venom genannt und betraf auch Systeme, bei denen QEMU nicht mit einem Diskettenlaufwerk konfiguriert wurde, weil der Code in QEMU immer aktiv ist.

Schwachstellen, die QEMU betreffen, werden sich weiter häufen. Diese Schwachstellen sind besonders gefährlich, da jede Schwachstelle, die Ihre QEMU-Dienste betrifft, auch die virtuellen Maschinen betrifft, die unter QEMU ausgeführt werden - einschließlich der virtuellen Maschinen Ihrer Kunden, zum Beispiel.

Deshalb müssen Sie sicherstellen, dass Sie QEMU genauso konsequent patchen wie jedes andere Tool in Ihrem technischen Arsenal. Das QEMU-Patching kann jedoch manchmal vernachlässigt werden, da sich das Patchen der virtuellen Umgebung auch auf die darauf laufenden Maschinen auswirkt.

Mit anderen Worten: Je nachdem, welchen Weg Sie für das Patchen von QEMU wählen, könnten Sie feststellen, dass das Patchen zu erheblichen Ausfallzeiten führt, mit denen Ihre Kunden oder andere Interessengruppen nicht unbedingt einverstanden sind.

Ihr Leitfaden zum Patchen von QEMU

Es gibt mehrere Möglichkeiten, QEMU zu patchen. In diesem Abschnitt werden wir Ihnen die Optionen erläutern. Der von Ihnen gewählte Ansatz wird bestimmen, wie viel Risiko Sie mit Ihren Bemühungen eingehen - und wie viel Störung Ihre Patching-Bemühungen mit sich bringen.

Es ist erwähnenswert, dass die unten aufgeführten Ansätze - mit Ausnahme von Live-Patching - für die meisten Virtualisierungslösungen, einschließlich VMware, Xen, Hyper-V usw., anwendbar sind, auch wenn die Schritte leicht unterschiedlich sein können.

Die schnelle und schmutzige - aber nachlässige - Methode

Wenn Sie es eilig haben, können Sie einfach loslegen und einen Patch aufspielen, ohne viel zu planen. Dies wären die Schritte, die Sie unternehmen:

1. Sie melden sich bei Ihrem Host an und aktualisieren QEMU und seine Abhängigkeiten mit dem Paketmanager Ihrer Wahl.

2. Der Paketmanager wendet die Patches an und startet die betroffenen Dienste unter Umständen nicht sofort neu, wodurch auch laufende virtuelle Maschinen angehalten und neu gestartet werden können.

3. Sie starten QEMU neu, um die Updates zu übernehmen, und stoppen damit alle virtuellen Maschinen.

4. Die Mieter und Beteiligten Ihrer virtuellen Maschinen sind nicht glücklich darüber, dass ihre Arbeit beeinträchtigt, unterbrochen oder zerstört wurde.

5. Sie starten die virtuellen Maschinen neu und hoffen, dass sie ihre Workloads automatisch neu starten.

Obwohl Sie diesen Ansatz wählen könnten, wenn Sie ein Einzelsystem und ein Heimlabor mit nur einem Benutzer betreiben, werden Sie garantiert großen Ärger mit Ihrem Arbeitgeber - oder mit Ihren Kunden - bekommen, wenn Sie versuchen, Live-Workloads auf solch eine unsaubere Weise zu patchen. Einfach ausgedrückt: Wenn Sie versuchen, QEMU auf diese Weise zu patchen, werden Sie den Rest Ihrer Woche damit verbringen, sich zu erklären und die Anwendungen von Ihnen und Ihren Kollegen zu reparieren.

Ein Systemadministrator-Ansatz

Wenn Sie ein professioneller Systemadministrator sind, werden Sie es natürlich besser wissen. In diesem Abschnitt sprechen wir über einen vernünftigeren Weg, QEMU zu patchen.

1. Sie beginnen mit der Planung eines Wartungsfensters, einschließlich der Schätzung der erforderlichen Zeit, einer Liste der betroffenen virtuellen Maschinen und der Auswirkungen auf andere Systeme, die mit den virtuellen Maschinen interagieren.

2. Sie informieren Ihre Stakeholder über die Ausfallzeit und holen die Genehmigung für die Operation in einem Monat oder so ein. Das Zeitfenster für diese Ankündigung hängt davon ab, wie kritisch die Schwachstelle ist - je gefährlicher die Schwachstelle ist, desto schneller müssen Sie den Patch aufspielen.

3. Warten Sie einen Monat, um mit der Wartung zu beginnen, und hoffen Sie, dass Sie in der Zwischenzeit nicht gehackt worden sind.

4. Sie fahren alle virtuellen Maschinen ordnungsgemäß herunter und verwenden den Paketmanager Ihrer Distribution, um alle Updates für QEMU anzuwenden.

5. Sie starten QEMU neu, und Sie starten alle virtuellen Maschinen neu.

6. Wenn alles nach Plan läuft, beenden Sie die Wartungsarbeiten und teilen Ihren Beteiligten mit, dass alles wieder in Ordnung ist.

7. Sie verbringen die nächsten Tage mit der Fehlersuche - zum Beispiel damit, die eine virtuelle Maschine aufzuspüren, die im Boot-Prozess stecken geblieben ist, und sie zu reparieren.

Sie werden nicht so viele Leute verärgern, wenn Sie den oben genannten Ansatz verfolgen, und Sie werden nicht so viel Zeit verlieren, wenn Sie versuchen, defekte Anwendungen und Dienste zu reparieren. Obwohl dieser Ansatz in einer Unternehmensumgebung funktioniert, ist er nicht wirklich für Unternehmen geeignet und unter bestimmten Bedingungen nicht akzeptabel. Insbesondere besteht bei diesem Ansatz immer noch die Gefahr, dass alle möglichen unerwarteten Probleme aufgedeckt werden.

Best-Practice-Ansatz, der für Unternehmen geeignet ist

In der Technologie wie im Leben gibt es immer Kompromisse, und das gilt auch für unsere Best-Practice-Methode. Die folgende Methode ist zwar die sicherste und am wenigsten störende Methode zum Patchen von QEMU, aber sie ist auch die aufwändigste und erfordert einen hohen Ressourceneinsatz von Ihrem Technikteam.

Wenn Sie jedoch eine einigermaßen unterbrechungsfreie Methode zum Patchen Ihrer von QEMU abhängigen Workloads wünschen, empfehlen wir Ihnen, die folgenden Schritte zu befolgen:

1. Zu Beginn stellen Sie sicher, dass Ihre Arbeitslasten von mehreren QEMU-Hosts abhängen, die die Arbeitslast auf Ihre virtuellen Maschinen aufteilen und als eine Art Redundanz dienen, falls einer der Knoten ausfällt.

2. Sie richten Hochverfügbarkeitsmechanismen zwischen virtuellen Maschinen auf verschiedenen Knoten ein, um sowohl den Host als auch die virtuellen Workloads vor Ausfällen zu schützen.

3. Sie planen den Wartungsvorgang und berücksichtigen dabei wichtige Details - zum Beispiel, dass sich verschiedene virtuelle Hochverfügbarkeitsmaschinen, die Teil desselben Dienstes sind, nicht auf demselben Virtualisierungshost befinden dürfen, wenn der Patching-Prozess eingeleitet wird. Dieser Prozess wird als "Orchestrierung" bezeichnet.

4. Informieren Sie die Beteiligten darüber, dass es eine Wartungsmaßnahme geben wird und dass sie mit Leistungseinbußen rechnen müssen, aber nicht mit einem Ausfall der Dienste.

5. Sie beantragen die Genehmigung zur Durchführung der Operation, und da kein Dienstausfall zu erwarten ist, erhalten Sie diese Genehmigung sofort.

6. Sie starten den Wartungsvorgang auf dem ersten QEMU-Knoten - der wiederum aus einer Reihe von Schritten besteht:

A. Sie migrieren die virtuellen Maschinen live auf andere Knoten, wobei Sie sicherstellen, dass die Knoten der virtuellen Maschinen desselben Hochverfügbarkeitsdienstes weiterhin getrennt bleiben, da Sie sonst die Hochverfügbarkeit in diesem Dienst verlieren würden.

Ein Beispiel für einen Migrationsbefehl würde folgendermaßen aussehen:

virsh migrieren web1 qemu+ssh://desthost/system

Es gibt viele verschiedene Möglichkeiten, dies zu erreichen, dies ist nur ein Beispiel für einen Migrationsbefehl.

B. Sie warten eine gewisse Zeit, bis die erforderlichen Daten über das Netz übertragen sind. Es ist ratsam, eine sekundäre Netzwerkverbindung für die Migration zur Verfügung zu haben oder zu verwenden, was mit diesem Befehl gesteuert werden kann:

virsh migrate web1 qemu://desthost/system tcp://10.0.0.1/

Diese Migrationsphase kann aufgrund der großen Anzahl virtueller Maschinen und/oder des Arbeitsspeichers bzw. der Ressourcen, die für jede migrierte virtuelle Maschine über das Netzwerk übertragen werden müssen, recht lang sein.

7. Nachdem alle virtuellen Maschinen migriert sind, beenden Sie QEMU.
8. Mit Ihrem Paketmanager aktualisieren Sie QEMU und die Abhängigkeiten.
9. Sie starten QEMU.
10. Sie migrieren die virtuellen Maschinen live zurück.
11. Sie wiederholen die Schritte 6 bis 10 auf jedem der Virtualisierungsknoten.
12. Sie beenden den Wartungsvorgang und informieren Ihre Stakeholder, dass der normale Betrieb wiederhergestellt ist.

Sie haben Ihre virtuellen Maschinen live migriert, also gibt es hoffentlich keine Unterbrechung - das sollte es auch nicht. Es gibt jedoch eine Sache, auf die Sie achten sollten: Einige Workloads können sehr empfindlich auf geringfügige Paketverluste während des Migrationsvorgangs reagieren, und in einigen sehr seltenen Fällen können diese Paketverluste Probleme verursachen. Stellen Sie sicher, dass Ihre Beteiligten sich dieses Risikos bewusst sind und dass sie bestätigen, dass auf jeder virtuellen Maschine alles in Ordnung ist.

Live-Patching ist eine Alternative

Unser dritter Vorschlag ist zwar eine sichere Methode zur Migration von Arbeitslasten, aber zweifellos ressourcenintensiv und erfordert ein hohes Maß an technischem Know-how, um eine hohe Verfügbarkeit und somit keine Ausfallzeiten zu gewährleisten.

Es gibt eine Alternative in Form von TuxCare's QEMUCare Live-Patching-Agent. Anstatt ein Patching durchzuführen, das eine QEMU-Instanz herunterfährt, wendet die Patching-Lösung von TuxCare Codekorrekturen an, während QEMU live und in Betrieb ist.

Der Einstieg in das QEMU-Live-Patching von TuxCare ist denkbar einfach. Es ist ein einmaliger Vorgang, Sie installieren einfach den TuxCare Live Patch Agent und fügen die entsprechende Lizenz hinzu. Sie können die Installation auf vielen Servern beschleunigen, indem Sie den TuxCare-Agenten mit Ansible oder einem anderen Automatisierungstool bereitstellen.

Einmal installiert, patcht das Live-Patching-Tool von TuxCare kontinuierlich Ihre QEMU-Instanzen, ohne die virtuellen Maschinen zu unterbrechen, die Sie auf QEMU laufen lassen.

Schlussfolgerung

Wir haben einen genauen Blick auf die verschiedenen Optionen geworfen, die Sie haben, wenn Sie Ihre QEMU-Instanzen patchen. Die erste Option steht Ihnen eigentlich nicht zur Verfügung, es sei denn, Sie patchen ein Test- oder Experimentalsystem. Abhängig von Ihren Ressourcen und der Komplexität Ihrer Workloads können Sie die zweite oder dritte Option wählen - und die meisten ernsthaften Unternehmens-Workloads würden sich wahrscheinlich für die dritte Option entscheiden.

Unsere letzte Option, das Live-Patching von TuxCare, eliminiert so viele problematische Schritte und vereinfacht den gesamten Prozess in einem solchen Maße, dass es nicht einmal in der gleichen Liga spielt wie andere Möglichkeiten, QEMU zu patchen. Unnötig zu sagen, dass Live-Patching von QEMU eine Überlegung wert ist.

Unabhängig davon, für welche Patching-Option Sie sich entscheiden, bleibt der Punkt bestehen, dass Patching ein kritischer Teil von SecOps ist und dass Sie gründlich patchen müssen - und zwar jeden Dienst in diesem Prozess, einschließlich QEMU.