Technische Unterstützung
Dokumentation
Anmeldung
Kontakt
Strategien für den Umgang mit auslaufenden Betriebssystemen
Januar 30, 2023 - TuxCare PR Team
Das Ende der Lebensdauer von Software ist eine Tatsache in unserem schnelllebigen Technologieleben. Technikteams wissen, dass sie den Lebenszyklus von Software verwalten müssen. Die Teams wissen auch, dass sie den Einsatz von Software, die nicht mehr unterstützt wird, um jeden Preis vermeiden müssen.
Nichtsdestotrotz geraten Unternehmen manchmal wegen auslaufender Software in die Bredouille, und das manchmal ohne eigenes Verschulden.
In diesem Artikel werden Strategien für den Umgang mit auslaufender Software erörtert, wobei der Schwerpunkt auf Betriebssystemen liegt - unsere Ratschläge gelten jedoch auch für jede andere auslaufende Technologie, ob Hardware oder Software.
Was bedeutet "Ende des Lebens"?
Um mit dem technologischen Wandel Schritt zu halten, werden die meisten Softwarelösungen alle paar Jahre einer großen Aktualisierung unterzogen. Von den Nutzern wird erwartet, dass sie auf neuere Softwareversionen umsteigen, aber sie brauchen auch Zeit, um diese Umstellung abzuschließen - vor allem, wenn es sich um ein Betriebssystem handelt.
Aus diesem Grund wird eine Software, die von einer neueren Version abgelöst wurde, weiterhin unterstützt: Es bleibt Zeit für Tests und Migration.
Doch irgendwann muss der Softwareanbieter mit älteren Versionen seiner Software Schluss machen. Es ist zum Beispiel nicht realistisch, ein 30 Jahre altes Betriebssystem weiter zu unterstützen.
End of Life (EOL) ist die Bezeichnung für diese Art von Software, die vom Hersteller nicht mehr unterstützt oder gewartet wird. Das bedeutet, dass der Hersteller keine Updates, Fehlerbehebungen oder technischen Support mehr anbietet und - in den meisten Fällen - auch keine kritischen Sicherheitsupdates.
Rechnen Sie also nicht mit einem Patch des Herstellers, wenn eine schwerwiegende Sicherheitslücke in einem auslaufenden Betriebssystem gefunden wird. Stattdessen geht der Hersteller davon aus, dass Benutzer wie Sie inzwischen auf eine unterstützte Version des Betriebssystems umgestiegen sind.
Infolgedessen ist jeder, der sich auf auslaufende Software ohne Herstellersupport verlässt, Sicherheitslücken ausgesetzt, da er nicht in der Lage ist, einen vom Hersteller bereitgestellten Patch zum Schutz vor neu entdeckten Sicherheitslücken anzuwenden.
Warum ist EOL-Software überhaupt ein Problem?
Der Begriff "End of Life" sagt alles, und Systemadministratoren sollten nicht viel mehr Motivation brauchen, um auf die neueste Version eines Betriebssystems zu aktualisieren, bevor es zu spät ist. Außerdem werden die technischen Teams in der Praxis immer rechtzeitig informiert, da die Softwarehersteller ihre Supportpläne lange im Voraus veröffentlichen.
Was ist es also, das schief geht? Warum wird End-of-Life-Software trotz der Risiken so häufig eingesetzt?
Dafür gibt es ein paar Gründe. End-of-Life-Software ist trügerisch stabil, denn schließlich funktioniert alles noch. Warum sollte man eine Lösung, die ihren Zweck einwandfrei erfüllt, nur wegen einiger fadenscheiniger Sicherheitsbedenken aus dem Verkehr ziehen?
Die Aktualisierung eines Servers auf ein Betriebssystem der nächsten Generation ist gelinde gesagt mühsam, weshalb viele Administratoren den Prozess hinauszögern. Manchmal sind die personellen Ressourcen für eine Migration ohnehin zu knapp bemessen.
Es gibt Bedenken hinsichtlich des Risikos: Nur weil die aktuelle Version reibungslos läuft, heißt das nicht, dass die neueste Version ohne Probleme läuft. Derzeit installierte Software funktioniert möglicherweise nicht mit neueren Versionen, und Konfigurationsänderungen können zu Ausfällen führen.
Nichtsdestotrotz ist die Migration auf eine unterstützte, gepatchte Version eines Betriebssystems eine wichtige Aufgabe für die Technikteams, und in den meisten Fällen kann und sollte sie rechtzeitig erfolgen.
CentOS als abschreckendes Beispiel
Wir sagten "in den meisten Fällen", weil Probleme mit EOL-Software nicht unbedingt die Schuld überlasteter oder nachlässiger Systemadministratoren sind. Es kann eine Vielzahl von Gründen für die praktischen Auswirkungen der Verwendung von End-of-Life-Software geben, darunter auch Entscheidungen des Herstellers.
Genau das ist mit CentOS passiert. CentOS ist eine weit verbreitete Linux-Distribution, die auf Red Hat Enterprise Linux (RHEL) basiert. CentOS wurde als freie, quelloffene Alternative zu RHEL gefeiert, die sich gut für Rechenzentren und andere Unternehmensanwendungen eignet.
Im Dezember 2021 kündigte Red Hat abrupt an, den Support für CentOS einzustellen, was für einige CentOS-Distributionen eine End-of-Life-Klippe bedeutete.
Die plötzliche Ankündigung des End-of-Life von CentOS ließ viele Unternehmen ohne ein stabiles und zuverlässiges Betriebssystem zurück, da die Wiederherstellung der Herstellerunterstützung bedeutete, erhebliche Summen für RHEL auszugeben oder eine Alternative wie AlmaLinux oder RockyLinux zu testen und zu wechseln.
Das Ergebnis ist, dass eine beträchtliche Anzahl von Unternehmen mit veralteten CentOS 6- oder CentOS 8-Rechnern arbeitet, für die es keinen Herstellersupport mehr gibt. Und das ist wirklich wichtig, denn Unternehmen, die schlechte Strategien für End-of-Life-Software hatten in eine sehr schwierige Lage geraten sind.
Warum das wichtig ist: Sicherheit
Sehen wir uns also genauer an, warum die Verwendung eines auslaufenden Betriebssystems so eine große Sache ist. Die bei weitem größte Gefahr bei der Verwendung eines EOL-Betriebssystems sind die Sicherheitslücken, die nach Ablauf des Supports gefunden werden. Und warum? Weil der Hersteller keine Patches für diese Schwachstellen herausgibt.
Der Linux-Kernel 2.6.32 zum Beispiel ist schon lange ausgemustert, aber seit seiner Ausmusterung wurden viele Schwachstellen entdeckt, sogar noch im Jahr 2019. Alle Linux-Server mit Distributionen, die auf dem älteren Kernel basieren, wären anfällig für Denial-of-Service-Angriffe.
Wenn Sie ein auslaufendes Betriebssystem installiert lassen, erhalten Sie keine Sicherheits-Patches mehr, und jede öffentliche Bekanntgabe einer Sicherheitslücke macht Ihren Server zu einem offenen Ziel. Keine Patches bedeutet, dass die Administratoren die Infrastruktur nicht schützen können.
Auch die Wahrscheinlichkeit eines Angriffs ist höher als man denkt: Da viele Server öffentlich zugänglich sind und Angreifer automatisierte Scanning-Tools verwenden, besteht ein reales Risiko, dass Angreifer irgendwann herausfinden, dass die Server anfällig sind.
Angreifer erstellen rund um die Uhr Fingerabdrücke von Ihrer Architektur und werden sich auf ein nicht unterstütztes, anfälliges Betriebssystem stürzen. Die Folgen können gravierend sein.
Warum es wichtig ist: Compliance-Risiko
Gesetzliche Normen für Finanz- und Gesundheitsinformationen schreiben bestimmte Cybersicherheitsverfahren zum Schutz von Kundendaten vor. Der Einsatz von nicht unterstützter, nicht gepatchter Software verstößt gegen die Vorgaben mehrerer dieser Compliance-Standards.
Dazu gehört, dass kritische Sicherheitslücken innerhalb eines bestimmten Zeitrahmens geschlossen werden. Was aber, wenn Sie nicht in der Lage sind, einen Patch zu erhalten? Auch die Compliance-Vorschriften sehen vor, dass Unternehmen keine Software verwenden dürfen, die nicht vom Hersteller oder von Dritten unterstützt wird.
Ein Beispiel, Die PCI DSS-Anforderungen gelten für Unternehmen, die Zahlungskartendaten verarbeiten und beinhalten die ausdrückliche Forderung, dass kritische Schwachstellen innerhalb von 30 Tagen behoben werden müssen. Alle Unternehmen, die diese Frist nicht einhalten, würden als nicht PCI DSS-konform eingestuft werden.
Veraltete Software kann zu hohen Geldstrafen und Rechtsstreitigkeiten führen, die noch Jahre nach einer Datenschutzverletzung andauern können. So wurde zum Beispiel eine 40-Millionen-Dollar-Klage wegen der Datenschutzverletzung bei Target im Jahr 2013 erst 2016 beigelegt.
Warum es wichtig ist: Das Beste vom Rest
Wenn die Bedenken hinsichtlich der Cybersicherheit und der Einhaltung von Vorschriften im Zusammenhang mit der Verwendung von End-of-Life-Software nicht schon alarmierend genug sind, dann sollten Sie auch die folgenden Gründe berücksichtigen:
- Inkompatible Software: Wenn ein Betriebssystem nicht mehr unterstützt wird, stellen auch die Entwickler von Drittanbieteranwendungen die Unterstützung für das ältere System ein. Es ist möglich, dass Aktualisierungen aktueller Anwendungen zu Problemen mit dem älteren Betriebssystem führen oder dass die Software einfach nicht mehr mit dem EOL-Betriebssystem funktioniert.
- Schlechte Leistung: Es ist nicht ungewöhnlich, dass ältere Software auf älterer Hardware läuft. Das bedeutet, dass Engpässe auf eine ältere Infrastruktur im Netz zurückzuführen sein können. Wenn Sie sich auf ein veraltetes Betriebssystem verlassen, verlieren Sie auch die Leistungsverbesserungen, die mit den neuesten Versionen des Betriebssystems einhergehen.
- Verlässlichkeit: Da ältere Anwendungen nicht mehr unterstützt werden, werden auch keine Patches für Abstürze und Bugs bereitgestellt. Wenn die Software ausfällt, kann Ihr Server möglicherweise nicht mehr booten, was sich auf SLAs und Betriebszeiten auswirkt.
- Hohe Kosten: Das ständige Anbringen von Pflastern, um Software zu reparieren und aufrechtzuerhalten, die vom Hersteller nicht mehr unterstützt wird, wird schnell teuer, und man weiß nie, wann eine unerwartete Panne auftritt. Die Entwickler von EOL-Software verlangen einen Aufschlag für den Support pro Gerät, was für ein großes Unternehmen teuer werden kann.
Es mag also so aussehen, als ob Ihre EOL-Betriebssysteme noch gut laufen, aber die Wahrheit ist viel düsterer, und die Chancen stehen gut, dass Sie eher früher als später gegen eine Wand rennen werden. Ein Anfang ist es, herauszufinden, wo Sie in Bezug auf auslaufende Software gefährdet sind.
Beginnen Sie mit der Feststellung des Status Quo
Wenn Sie noch keine Inventarisierungsstrategie haben, ist es an der Zeit, eine zu entwickeln. Es geht nicht nur um Software; auch bei Hardware kann ein Punkt erreicht werden, an dem es Zeit wird, sie auszumustern. Mit Hilfe der Bestandsverwaltung lässt sich feststellen, welche Infrastruktur und Software aufgerüstet und welche Infrastruktur außer Betrieb genommen werden sollte.
Ein Inventarisierungsprozess zeigt auf, welche Software das Ende ihrer Lebensdauer erreicht hat, und ermöglicht es den IT-Abteilungen, schnell und einfach festzustellen, welche Software vom Hersteller nicht mehr unterstützt wird, und Pläne zu machen, um sie so schnell wie möglich entweder zu aktualisieren oder zu ersetzen.
Anhand Ihrer Bestandsaufnahme können Sie feststellen, auf welchen Rechnern oder Knoten ein Betriebssystem läuft, das kurz vor dem Ende seiner Lebensdauer steht - und wo Sie noch genügend Zeit haben, sich um das EOL zu kümmern. Ihr Inventarisierungsprozess sollte auch ermitteln, welche Betriebssysteminstanzen am Ende ihres Lebenszyklus (oder kurz davor) am kritischsten sind, damit Sie die Maßnahmen zum Entfernen, Ausmustern oder Ersetzen der Instanzen nach Prioritäten ordnen können.
Mit einem Inventarisierungsprozess können Unternehmen den effizienten Ersatz oder das Upgrade von Software, die nicht mehr benötigt wird, planen und so das Risiko unerwarteter Ausfallzeiten oder Sicherheitsverletzungen verringern.
Migrieren Sie so schnell Sie können - wenn Sie können
Die Aktualisierung von Software und Betriebssystemen auf die neuesten Versionen kann schnell zu einem Schneeballsystem werden. Die Migration sollte so schnell wie möglich abgeschlossen werden, um eine Kettenreaktion verzögerter Aktualisierungen zu vermeiden - und um eine überstürzte Migration zu vermeiden, die am Ende zu Störungen führen kann.
Planung ist daher von entscheidender Bedeutung. Mit einer gründlichen Bestandsaufnahme in der Hand und der Arbeit mit den EOL-Zeitplänen der Anbieter sollten die technischen Teams in der Lage sein, die Migration so zu planen, dass der Druck verringert wird, aber auch die Arbeit rechtzeitig erledigt wird.
Eine unternehmenskritische Infrastruktur muss aktualisiert werden, aber ein neues Betriebssystem muss immer zuerst getestet werden. Eine Spiegelung der Produktionsumgebung in einer Staging-Umgebung kann helfen, unvorhergesehene Probleme während der Migration zu vermeiden.
Auch die Stilllegung ist eine Option. Wenn Sie einen Server nicht aufrüsten, kann es irgendwann an der Zeit sein, ihn auszumustern. Eine Alternative besteht darin, ausgemusterte Geräte in die Cloud zu verlagern und zu einer virtualisierten Umgebung zu migrieren.
Erwägen Sie den Kauf von erweitertem Support
Eine rechtzeitige Migration ist nicht immer eine Option. Es kann vorkommen, dass Sie nur ein paar zusätzliche Monate benötigen, um Ihren Migrationsplan gründlich zu testen. Glücklicherweise ist in vielen Fällen ein erweiterter Hersteller- oder Drittanbieter-Support verfügbar.
Dieser Preis gilt in der Regel pro Gerät und kann teuer sein. Das EOL von Windows 7 war beispielsweise im Januar 2020, und das erste Jahr des Supports kostet 25 $/Gerät und 100 $/Gerät. Bei den Linux-Distributionen bieten Anbieter wie Ubuntu und Red Hat Enterprise Linux erweiterten Support an, allerdings nur für Kunden, die umfassende Enterprise-Pläne (zu erheblichen Kosten) abschließen.
Drittanbieter sind eine weitere Option. Wenn Sie einen zuverlässigen Anbieter finden, können Sie erweiterten Support zu sehr günstigen Preisen erwerben. Ein Beispiel, Der erweiterte Lebenszyklus-Support von TuxCare für End-of-Life-Versionen von CentOS und Ubuntu bereits ab 4,25 USD/Server/Monat.
Auch solche erweiterten Supportleistungen laufen irgendwann aus, da Hersteller und Drittanbieter den erweiterten Support auf z. B. 4 oder 5 Jahre begrenzen. Abgesehen davon verschafft der erweiterte Lifecycle-Support eine Menge Zeit für Fälle, in denen die Planung einfach nicht funktioniert hat.
Optionen der letzten Instanz
Ja, manchmal klappt es einfach nicht. Sie können nicht schnell genug migrieren, es ist kein erweiterter Support verfügbar, oder - aus irgendeinem Grund - erfordert Ihre Arbeitsbelastung einfach, dass Sie ein auslaufendes Betriebssystem in seinem aktuellen Zustand betreiben, ob es Ihnen gefällt oder nicht.
Wenn Sie unbedingt ein nicht unterstütztes, nicht gepatchtes und potenziell anfälliges Betriebssystem einsetzen müssen, sollten Sie die Isolierung und das Risikomanagement im Auge behalten:
- Netzwerk-IsolierungDie Netzwerkisolierung ist eine Methode, um zu verhindern, dass Systeme mit einem nicht unterstützten Betriebssystem mit externen Rechnern interagieren. Indem der Zugang zu anderen Geräten in Ihrem Netzwerk und zum Internet blockiert wird, kann die Netzwerksegmentierung manchmal EOL-Geräte vor potenziellen Bedrohungen schützen - allerdings ist dies keine hieb- und stichfeste Lösung und hat ihren Preis in Sachen Effizienz.
- Virtualisierung zur IsolierungHosting von End-of-Life-Betriebssystemen in virtualisierten Umgebungen verbessert die Kontrolle über diese Bestände und erleichtert das Re-Imaging im Falle eines Sicherheitsvorfalls, während gleichzeitig die Exposition des EOL-Systems gegenüber der Außenwelt eingeschränkt wird. Außerdem können die betroffenen Anlagen schnell isoliert und neu initialisiert werden.
- Anwendungskontrolle und Whitelisting: Ähnlich wie bei den vorangegangenen Vorschlägen isoliert diese Strategie das anfällige Betriebssystem, indem nur bekannte "gute" Anwendungen darauf ausgeführt werden können - und mit ihm interagieren dürfen. Es handelt sich um ein Modell, das den Zugriff standardmäßig verweigert und nur vorab genehmigte Verbindungen zulässt.
Nichtsdestotrotz, ist es zweifellos eine riskante Strategie, ein nicht unterstütztes Betriebssystem zu isolieren, um damit durchzukommen - Es gibt zahllose Angriffsvektoren, und es besteht die Möglichkeit, dass ein gewiefter Angreifer Ihre Isolierungsbemühungen durchkreuzen könnte.
Schlussfolgerung
Bei ausreichender Planung sollte es wirklich nicht zu verzweifelten Maßnahmen wie der Isolierung von Rechnern kommen, auf denen nicht unterstützte Betriebssysteme laufen. Im Idealfall sollte ein Team rechtzeitig migrieren und immer ein unterstütztes Betriebssystem einsetzen, das dank leicht zugänglicher Hersteller-Patches sicher ist.
Aber das technische Leben kann einem in die Quere kommen - einschließlich unüberlegter Entscheidungen von Anbietern, wie wir am Beispiel von CentOS gezeigt haben.
Wenn dies der Fall ist, kann die Unterstützung durch Dritte eine Menge Zeit sparen. Ein Supportplan des ursprünglichen Anbieters könnte die Aufgabe erfüllen (zu hohen Kosten). Wenn Sie jedoch ein veraltetes CentOS, Oracle Linux oder Ubuntu einsetzen, sollten Sie den Kauf von erweitertem Support von einem Experten wie TuxCare in Erwägung ziehen, der fortlaufende Sicherheitsupdates zu einem wesentlich günstigeren Preis als die Distributionsanbieter liefert.
