Vergleich zwischen KernelCare und „
“ Oracle Ksplice

Oracle hat Pionierarbeit bei der Einführung von Linux-Patches ohne Neustart geleistet. Ksplice hat bereits lange bevor die meisten Anbieter vergleichbare Lösungen auf den Markt brachten, Kernel-Korrekturen auf laufenden Servern angewendet. Die Technologie funktioniert. Die eigentliche Frage ist, was es Sie kostet, sie zu nutzen.

Ksplice ist kein eigenständiges Produkt. Es handelt sich um eine Funktion des Oracle Linux Premier Support, sodass das Patching ohne Neustart im Paket mit einem kostspieligen Oracle-Support-Abonnement und zunehmend auch mit dem Oracle-Kernel geliefert wird. Es führt Live-Patches nur für eine Auswahl selbst der als „kritisch“ und „wichtig“ eingestuften Schwachstellen durch, behebt kritische User-Space-Bibliotheken erst nach einem einmaligen Neustart, der einen Großteil des Stacks offline schaltet, und zwingt Systeme dazu, den Oracle-Kernel zu verwenden, bevor es Patches auf sie anwendet. Das Ergebnis ist ein Live-Patching, das Lücken hinterlässt, Ausfallzeiten erzwingt und Ihre Infrastruktur stetig in Richtung Oracle zieht.

KernelCare von TuxCare wurde entwickelt, um genau das zu verhindern. Es behebt alle Sicherheitslücken im Kernel und im kritischen Userspace direkt vor Ort – unabhängig davon, welche Distribution auf dem System bereits läuft – für 50 US-Dollar pro System und Jahr. Der folgende Vergleich zeigt im Einzelnen auf, worin sich die beiden Lösungen unterscheiden.

	Oracle Ksplice	KernelCare
Unterstützte Distributionen	Oracle Linux (UEK / Red Hat-kompatible Kernel) und Ubuntu; RHEL-Kernel werden nicht unterstützt	Oracle Linux 6–10, Ubuntu, Debian, RHEL, AlmaLinux, Rocky und viele andere
Schwachstellen gepatcht	🟡 Ausgewählte wichtige und kritische CVEs	✅ Alle CVEs, unabhängig vom Schweregrad
Unterstützte Architekturen	x86-64, arm64	x86-64, arm64
Abdeckung für kritische Bereiche des Userspace (OpenSSL, glibc)	🟡 Ja, aber nur für Ksplice-fähige Builds unter Oracle Linux (nicht unter Ubuntu) und mit einem einmaligen Neustart	✅ Ja
Lebensdauer des Kernel-Patchings	🟡 Endet, wenn der Kernel aus der Liste der unterstützten Produkte gestrichen wird oder der Premier-Support ausläuft	✅ Praktisch unbegrenzt
Live-Patching für Betriebssysteme am Ende ihres Lebenszyklus	🟡 Nur über das kostenpflichtige Add-on „Oracle Linux Extended Support“, wobei der Umfang ausschließlich auf kritische Errata beschränkt ist	✅ Oracle Linux 6, 7 sowie Ubuntu, RHEL, AlmaLinux und viele andere
Roll-Back-Funktion ohne Neustart	✅ Ja	✅ Ja
Zentralisierte Verwaltung mit Luftbrücke	❌ Die Option zum Selbsthosting wird nicht mehr unterstützt	✅ Im Lieferumfang enthalten (ePortal)
API verfügbar	✅ Ja	✅ Ja
Lieferung von individuell gestalteten Aufnähern	❌ Nicht verfügbar	✅ Vollständig verwaltet
Add-ons	–	LibCare, individuelle Aufnäher
Kosten	Oracle Linux Premier Support: 1.399 $ pro CPU-Paar pro Jahr (Premier Plus: 2.499 $)	Ab 50 $ pro System und Jahr; Mengenrabatte möglich

Die Grafik zeigt, wo sich die beiden unterscheiden. Im weiteren Verlauf dieses Vergleichs wird erläutert, was die einzelnen Unterschiede für die von Ihnen tatsächlich betriebenen Systeme bedeuten.

Nur wenige Umgebungen nutzen lediglich eine einzige Distribution, daher muss man bei einem Patching-Tool als Erstes klären, wie groß der abgedeckte Bereich ist. Im Rahmen des Premier Support pflegt Ksplice die UEK- und RHCK-Kernel von Oracle sowie Ubuntu. Entscheidend ist, dass Oracle keine Ksplice-Patches für den RHEL-Kernel mehr bereitstellt, sodass RHEL selbst nicht mehr zum abgedeckten Bereich gehört.

KernelCare vertritt den gegenteiligen Standpunkt. Das Tool führt standardmäßig Live-Patches für über 70 Distributionen durch – darunter RHEL, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, Amazon Linux, CloudLinux und viele andere –, sodass eine einzige Lösung und ein einziger Workflow eine gemischte Infrastruktur abdecken.

Der Sinn und Zweck von Live-Patching besteht darin, Sicherheitslücken schnell zu beheben. Daher lautet die erste Frage: Welche Sicherheitslücken behebt ein Tool tatsächlich? Unseren eigenen Untersuchungen zufolge behebt Ksplice selbst unter den als „kritisch“ und „wichtig“ eingestuften CVEs nur eine Auswahl. Oracle vergibt zudem eigene Schweregrade, die unter der Bewertung liegen können, die eine CVE in der National Vulnerability Database erhält. Diese Bewertungen gehen von Standardkonfigurationen aus, sodass eine Schwachstelle, die Oracle als weniger wichtig einstuft, in bestimmten Konfigurationen dennoch ein echtes Sicherheitsrisiko darstellen kann. Da kein Live-Patch verfügbar ist, muss die Behebung bis zum nächsten Kernel-Update und einem Neustart warten.

KernelCare macht Schluss mit dem Rätselraten, indem es alle Kernel-CVEs – unabhängig von ihrer Schwereklasse – per Live-Patch behebt, sodass Ihre Absicherung nicht davon abhängt, wie eine bestimmte CVE bewertet wird.

Live-Patching sollte die Sicherheit des gesamten Systems ohne Neustarts gewährleisten, doch die meisten Tools greifen nie auf die kritischen OpenSSL- und glibc-Bibliotheken zu. Ksplice bietet zwar kritisches Patching im Userspace an, jedoch nur für Ksplice-kompatible Bibliotheksversionen, die dennoch einen einmaligen Neustart erfordern. Da diese Bibliotheken die Grundlage für fast alle von Ihnen ausgeführten Prozesse bilden, kann dieser Neustart dazu führen, dass ein Großteil Ihres Stacks außer Betrieb gesetzt wird.

KernelCare schließt diese Lücke mit LibCare, indem es OpenSSL- und glibc-Shared-Libraries im Speicher über alle unterstützten Distributionen hinweg patcht, ohne die davon abhängigen Anwendungen neu starten zu müssen. Das Patchen kritischer Bereiche im Userspace ohne Ausfallzeiten ermöglicht es Teams, die Fristen für Abhilfemaßnahmen gemäß PCI DSS und FedRAMP einzuhalten und die Sicherheitsanforderungen von SOC 2 und HIPAA auf Systemen zu erfüllen, die nicht offline geschaltet werden können.

Mit Ksplice werden Patches so lange bereitgestellt, wie der Kernel auf der von Oracle gepflegten Liste steht und Ihr Premier-Abonnement aktiv ist. Sobald einer dieser Punkte nicht mehr zutrifft – also entweder der Kernel von der Liste gestrichen wird oder das Abonnement endet –, müssen Sie „yum update“ ausführen und einen Neustart durchführen, um weiterhin Updates zu erhalten.

KernelCare sieht keine zeitliche Begrenzung für die Patch-Bereitstellung vor. Es patcht einen geladenen Kernel so lange, wie Sie ihn ausführen, ohne dass ein erzwungener Neustart erforderlich ist, um den Schutz aufrechtzuerhalten.

Workloads werden häufig länger genutzt, als der Support für ihre jeweilige Distribution noch gewährt wird. Sobald dieser endet, werden keine Sicherheitsupdates mehr vom Anbieter bereitgestellt – und oft handelt es sich dabei genau um jene Systeme, bei denen ein Neustart oder eine Neuinstallation am wenigsten in Frage kommt. Aus diesem Grund ist das Live-Patching von entscheidender Bedeutung. Ksplice setzt das Patching einer Version über diesen Zeitraum hinaus nur dann fort, wenn Sie „Oracle Linux Extended Support“ erwerben. Dieser beschränkt den Umfang auf kritische Errata, gilt nur für einige weitere Jahre und gilt ausschließlich für Oracle Linux.

KernelCare hingegen stellt weiterhin Live-Patches für Distributionen bereit, deren Lebenszyklus bereits abgelaufen ist, wie beispielsweise Oracle Linux 6 und 7. So bleiben die Systeme, die Sie nicht termingerecht außer Betrieb nehmen können, weiterhin geschützt, während Sie die Umstellung nach Ihrem eigenen Zeitplan planen.

In jedem realistischen Maßstab muss das Live-Patching zentral verwaltet werden, zunehmend in Netzwerken ohne Internetzugang. Sowohl Ksplice als auch KernelCare können Patches in ein isoliertes Netzwerk einspielen. Der Unterschied liegt in der Verwaltung. Bei Ksplice wird das selbst gehostete Produkt, das die Verwaltung zentralisiert – der Oracle Linux Manager –, nicht mehr unterstützt, und sein Nachfolger, der OS Management Hub, muss mit der Oracle-Cloud verbunden bleiben. In einer echten Air-Gap-Umgebung müssen Sie lokale Spiegel und Offline-Clients manuell verwalten.

KernelCare umfasst ePortal, einen selbst gehosteten Patch-Server, der innerhalb des isolierten Netzwerks ohne zusätzliche Lizenzkosten betrieben wird. Er bietet Ihnen lokal Zugriff auf Updates, schrittweise Rollouts, kontrollierte Bereitstellung und Bestandsverwaltung, sodass die Verwaltungsebene innerhalb der Air-Gap-Umgebung und nicht in einer Anbieter-Cloud angesiedelt ist.

In manchen Umgebungen ist ein Fix erforderlich, den der Anbieter noch nicht bereitgestellt hat, oder ein auf die jeweilige Konfiguration zugeschnittener Patch. Ksplice bietet keinerlei benutzerdefinierte Patches an. Der Katalog beschränkt sich auf das, was Oracle für Oracle-Linux-Komponenten bereitstellt; alles, was darüber hinausgeht, ist daher schlichtweg nicht verfügbar.

KernelCare bietet vollständig verwaltete, maßgeschneiderte Patches an, die von den Ingenieuren von TuxCare für Sie erstellt, getestet und gepflegt werden – einschließlich Sonderversionen und nicht standardmäßiger Konfigurationen. Sie erhalten die benötigte Korrektur, ohne den Aufwand und das Risiko auf sich nehmen zu müssen, Live-Patches intern zu erstellen.

KernelCare ist ab 50 US-Dollar pro System und Jahr für Live-Patching des Kernels erhältlich und läuft auf Ihrem bestehenden Betriebssystem, ohne dass ein Oracle-Abonnement oder eine Kernel-Migration erforderlich ist. Live-Patching im Userspace für OpenSSL und glibc ist über das LibCare-Add-on verfügbar. Ksplice hingegen ist nicht mit separaten Kosten verbunden, sondern ist Bestandteil des Oracle Linux Premier Support, der mit 1.399 US-Dollar pro CPU-Paar und Jahr angeboten wird (Premier Plus: 2.499 US-Dollar).

Am deutlichsten wird der Unterschied auf Flottenebene. Eine vollständige, rebootfreie Abdeckung für 100 Systeme kostet mit KernelCare etwa 5.000 US-Dollar pro Jahr. Für dieselbe Flotte belaufen sich die Kosten beim Oracle Linux Premier Support auf rund 139.900 US-Dollar pro Jahr – also etwa das 28-Fache –, wobei die Entwicklungskosten für die Migration von Nicht-Oracle-Systemen auf den Oracle-Kernel noch nicht berücksichtigt sind.

Wenn Ihr Unternehmen bereits voll und ganz auf den Oracle Linux Premier Support setzt, ist Ksplice direkt im Paket enthalten, und es mag wie die naheliegende Wahl erscheinen. Der springende Punkt dieses Vergleichs ist jedoch, was dieses Paket von allen anderen verlangt:

• Es werden nur ausgewählte „kritische“ und „wichtige“ Sicherheitslücken im laufenden Betrieb behoben, während die übrigen erst mit dem nächsten Kernel-Update und einem Neustart behoben werden.
• RHEL und andere Systeme müssen auf den Oracle-Kernel umgestellt werden.
• Für das Patchen im Userspace sind Ksplice-kompatible Bibliothekskompilierungen erforderlich; diese Funktion ist auf Oracle Linux beschränkt.
• Der Versicherungsschutz besteht nur so lange, wie Sie ein aktives Premier-Abonnement haben.
• Jeder einzelne Aspekt davon zieht einen immer tiefer in den Oracle-Stack hinein.

KernelCare wurde entwickelt, um diese Kompromisse zu beseitigen. Es patcht den Kernel und den Userspace kontinuierlich, unabhängig vom Schweregrad und weit über das Ende der Lebensdauer hinaus – inklusive vollständig verwalteter, maßgeschneiderter Patches und Air-Gapped-Verwaltung – und das zu einem Bruchteil der Kosten einer Premier-Lizenz. Ganz gleich, ob Sie eine gemischte Infrastruktur betreiben, eine RHEL-Flotte, die Sie lieber nicht auf den Oracle-Kernel migrieren möchten, oder einfach eine stärkere Bindung an Oracle vermeiden wollen – KernelCare ist die umfassendere, einfachere und weitaus wirtschaftlichere Wahl.

Die Umstellung auf KernelCare ist unkompliziert und erfordert keine Betriebssystemmigration. Ein einziges Schnellstart-Skript installiert den Agenten, und Ihre Systeme erhalten fortlaufend Live-Patches für den Kernel und den kritischen Userspace.

Für Teams, die sich zunächst ein Bild davon machen möchten, bietet KernelCare eine 30-tägige kostenlose Testversion mit vollem Funktionsumfang an, damit Sie sich vor einer Entscheidung von der lückenlosen Abdeckung überzeugen können.