Vergleich von KernelCare Enterprise mit Red Hat kpatch

Live-Patching des Linux-Kernels verändert die SecOps, aber ist kpatchvon Red Hat die beste Wahl für Ihre Arbeitslasten?

Sie haben Probleme mit Wartungsfenstern und machen sich Sorgen über unvollkommene Patching-Mechanismen und die Auswirkungen auf Ihre Red Hat-Sicherheitsabläufe? Live-Linux-Kernel-Patching, auch bekannt als Hot-Patching, ist die Antwort auf beide Herausforderungen - aber nicht jedes Live-Kernel-Patching-Tool ist gleich aufgebaut.

Die meisten Anbieter von Unternehmens-Linux haben Live-Patching-Tools auf den Markt gebracht - darunter auch das Tool von Red Hat für Red Hat Enterprise Linux (RHEL) namens kpatch. Die Einführung von Live-Patching gehört heute zu den besten Praktiken im Bereich der Cybersicherheit, und die Verwendung des besten Tools für Ihre Bedürfnisse ist entscheidend.

kpatch wendet Änderungen am Kernel an, während dieser läuft, und entschärft damit die Herausforderungen im Zusammenhang mit Wartungsfenstern. Es unterstützt Red Hat-basierte Server-Workloads seit der frühesten Version von kpatch im Jahr 2014, hat aber seine Vor- und Nachteile. Werfen wir einen Blick darauf.

Inhaltsübersicht

1. Vergleichstabelle
2. Einführung des dynamischen Kernel-Patchings kpatch
3. Lebensdauer des Kernel-Patchings
4. Unterstützte Linux-Kernel
5. Abdeckung von Schwachstellen
6. Rollback-Funktionalität
7. Wie sieht es mit den Kosten aus?
8. Umstellung vom Dienstprogramm kpatch auf KernelCare
9. Die Wahl zwischen kpatch und KernelCare

Einführung des dynamischen Kernel-Patchings kpatch

Die Entscheidung von Red Hat, kpatch in die Linux-Kernel-Hauptlinie aufzunehmen, kam etwas spät, da es nach KSplice - dem MIT-Projekt - und nach KernelCare, entwickelt vom CloudLinux-Team, entwickelt wurde. Wie seine Kollegen führt kpatch ein Live-Patching durch, indem eine Ersatzfunktion, die eine gepatchte Version des Kernel-Codes enthält, im laufenden Betrieb ausgetauscht wird.

Mit anderen Worten: Mit kpatch können Sie Sicherheits-Patches auf Ihre Red Hat-basierten Workloads anwenden, ohne den Server nach dem Patching sofort neu starten zu müssen. Das Tool wurde von Red Hat intern entwickelt und ähnelte anfangs kGraft, einem Tool, das vom Team von SUSE Linux entwickelt wurde. Da kGraft eng mit kpatch verwandt ist, beschlossen die beiden Unternehmen, zusammenzuarbeiten und ihre Bemühungen zu vereinheitlichen.

Lebensdauer des Kernel-Patchings

Für den Kernel von Red Hat werden sechs Monate nach seiner Veröffentlichung keine Live-Kernel-Patches mehr bereitgestellt. Um laufende kpatch-Updates zu erhalten, müssen Kunden den Kernel aktualisieren und mindestens zwei Neustarts pro Jahr durchführen. Folglich müssen die Kunden ihre Wartungsfenster auf den Veröffentlichungszeitplan des Herstellers abstimmen.

Im Vergleich dazu bietet KernelCare Enterprise Live-Patches mit einem praktisch unbegrenzten Zeitrahmen. Dadurch können Kunden einen kontinuierlichen Schutz für ihre bestehenden Kernel genießen, ohne bei der Planung ihrer Wartungsfenster an den Veröffentlichungszeitplan des Herstellers gebunden zu sein.

Unterstützte Linux-Kernel

kpatch ist eine Option für jeden, der Red Hat Enterprise Linux (RHEL) einsetzt. Schließlich wird es von Red Hat-Entwicklern entwickelt und gepflegt. Wer jedoch RHEL 6 oder bestimmte Versionen von RHEL 7 einsetzt, wird von kpatch nicht für Hot Patches abgedeckt. Nur RHEL 8, 7.7 und 7.6 werden unterstützt.

Einige Nicht-RHEL-Linux-Distributionen, einschließlich bestimmter Versionen von Ubuntu, Debian und Gentoo, werden technisch ebenfalls unterstützt, aber Kunden, die kpatch mit diesen Distributionen verwenden möchten, müssen die erforderlichen Live-Patches manuell mit dem Tool selbst erstellen. Es ist wichtig zu beachten, dass die Erstellung von Live-Patches in den meisten Fällen kein einfacher Prozess ist und spezielle Kenntnisse erfordert . Wenn Sie nicht vorsichtig sind, kann es einige große Fallstricke geben.

Wenn Sie eine Version von RHEL, Ubuntu oder Debian einsetzen, die nicht von kpatch unterstützt wird, oder eine andere Linux-Distribution wie CentOS oder Amazon Linux, müssen Sie sich für Live-Patching-Unterstützung an KernelCare Enterprise wenden.

Abdeckung von Schwachstellen

Ein weiterer kritischer Aspekt ist die Art und Weise, wie kpatch die Abdeckung von Sicherheitslücken handhabt. Es berücksichtigt nur hohe und kritische CVEs (Common Vulnerabilities and Exposures). Red Hat kann jedoch die ursprünglichen Schweregrade dieser CVEs, die von der National Vulnerability Database zugewiesen wurden, auf der Grundlage seiner eigenen Kriterien anpassen. Das bedeutet, dass kpatch möglicherweise nicht alle Schwachstellen abdeckt, die von externen Bewertungssystemen als hoch und kritisch eingestuft werden. Selbst bei den Schwachstellen, die Red Hat weiterhin als hoch und kritisch einstuft, wird in der Dokumentation angegeben, dass nicht alle garantiert mit dem Live-Patching-Service gepatcht werden können. Gleichzeitig können einige weniger kritische Schwachstellen, die von Red Hat angepasst wurden, in Umgebungen mit spezifischen Konfigurationen und Sicherheitsanforderungen immer noch ein erhebliches Risiko darstellen.

Rollback-Funktionalität

Sollte sich ein Systemadministrator, aus welchen Gründen auch immer, dafür entscheiden, ermöglicht KernelCare Enterprise die Rückgängigmachung jedes Patches - ein Prozess, der auch keinen Neustart erfordert. Dies kann besonders in Situationen nützlich sein, in denen der Patch erhebliche negative Auswirkungen auf die Systemleistung hat (z. B. Spectre/Meltdown-Fixes ) und andere Abhilfemaßnahmen zur Verfügung stehen. kpatch hingegen unterstützt keine Rollback-Funktion ohne Neustart. Dies kann zu kostspieligen Serviceunterbrechungen führen, wodurch der Hauptvorteil des Live-Patchings beeinträchtigt wird.

Wenn ein Patch nicht wie erwartet funktioniert, ist es gut zu wissen, dass Sie bei Bedarf einfach zu einem älteren Kernel zurückkehren können. Mit KernelCare Enterprise können Sie jederzeit alle angewendeten Änderungen zurücksetzen, indem Sie einen speziellen Befehl ausführen, der keinen Neustart Ihres Systems erfordert - und damit die Unterbrechung eines möglichen Rollbacks beseitigt, die kpatch nicht bieten kann.

Wie sieht es mit den Kosten aus?

Übrigens: Wenn Sie sich für KernelCare Enterprise entscheiden, können Sie mit einem budgetfreundlichen Preis von weniger als 50 US-Dollar pro Server und Jahr rechnen. Mit Unterstützung für eine breite Palette von Linux-Distributionen bietet KernelCare auch einen vergleichsweise großen Funktionsumfang.

Die Kosten für die Implementierung von kpatch sind deutlich höher, es sei denn, Sie haben bereits einen RHEL-Supportplan abgeschlossen. Das liegt daran, dass kpatch nur für Red Hat-Kunden mit einem Premium-Support-Plan verfügbar ist, und der kostet 879 US-Dollar pro Jahr und Maschine.

Die Wahl zwischen kpatch und KernelCare

Wenn Sie Red Hat Premium Support Kunde sind und ausschließlich RHEL auf Ihren Servern verwenden, sollten Sie kpatch in Betracht ziehen, da es bereits in Ihrem Vertrag mit Red Hat enthalten ist.

Organisationen, die verschiedene Linux-Distributionen einsetzen oder die nicht all die zusätzlichen Funktionen benötigen, die in einem Red Hat-Supportvertrag enthalten sind, sollten KernelCare Enterprise als eines der alternativen Tools zu kpatch ernsthaft in Betracht ziehen, da KernelCare Enterprise kostengünstiger ist und über einen größeren Funktionsumfang verfügt. Wenn Sie sich, wie viele Unternehmen, die Neustarts nicht leisten können, die durch die begrenzte Lebensdauer des Kernel-Patchings von kpatch und die Rollbacks, die ungeplante Neustarts Ihrer Systeme erfordern, entstehen, dann ist KernelCare Ihre beste Option.