Guía completa sobre la aplicación de parches en QEMU

Cuando se trata de parchear, la minuciosidad es un aspecto crítico: basta un solo servicio sin parchear para abrir las puertas a una intrusión dañina. El resultado es una larga lista de dispositivos, servicios y aplicaciones que necesitan parches con regularidad, incluidos los servicios que se ejecutan en segundo plano, como QEMU.

QEMU (Quick EMUlator) es, por supuesto, la popular herramienta de virtualización que hace más eficiente la ejecución de cargas de trabajo grandes y complejas en el entorno empresarial. Aunque QEMU trabaja silenciosamente en segundo plano, sigue siendo un servicio esencial que debe parchearse constantemente.

Sin embargo, parchear QEMU puede ser perjudicial, por lo que a veces QEMU puede estar al final de la línea en términos de parcheado. En este artículo, explicamos por qué es tan importante parchear QEMU e indicamos los pasos que puedes seguir para asegurarte de que QEMU está parcheado de forma segura. También cubrimos una ruta no disruptiva para parchear QEMU - live patching.

Contenido:
1 - ¿Por qué es importante parchear QEMU y por qué es tan complicado?
2 - Guía para parchear QEMU
3 - El método rápido y sucio, pero descuidado
4 - Un enfoque de administrador de sistemas
5 - Las mejores prácticas, enfoque de nivel empresarial
6 - La aplicación de parches en vivo es una alternativa
7 - Conclusión

¿Por qué es importante parchear QEMU y por qué es tan complicado?

Prácticamente todas las aplicaciones y servicios de una máquina son un objetivo para los piratas informáticos. No importa si se ejecuta en segundo plano haciendo un trabajo invisible.

QEMU debe parchearse como cualquier otro servicio, aunque no sea el elemento más visible de tu carga de trabajo. Busca y encontrarás vulnerabilidades para QEMU, como para cualquier otro servicio y aplicación que utilices.

Por ejemplo, en 2019 se informó de una vulnerabilidad que afectaba a instancias virtuales de QEMU-KVM que utilizaban el backend de red vhost/vhost_net. Al forzar la migración de la máquina virtual, se puede hacer que el registro de páginas sucias se desborde porque el kernel no comprueba los límites del registro.

Otra vulnerabilidad de QEMU surgió en 2015, esta vez vulnerabilidad en el control del disquete virtual para QEMU. Se llamaba Venom y afectaba a sistemas incluso en los que QEMU no se había configurado con una disquetera, simplemente porque el código siempre está activo dentro de QEMU.

Las vulnerabilidades que afectan a QEMU seguirán acumulándose. Estas vulnerabilidades son especialmente perniciosas, dado que cualquier vulnerabilidad que afecte a tus servicios QEMU también afectará a las máquinas virtuales que se ejecuten bajo QEMU, incluidas las máquinas virtuales de tus clientes, por ejemplo.

Por eso tienes que asegurarte de parchear QEMU con la misma constancia que cualquier otra herramienta de tu arsenal tecnológico. Sin embargo, a veces se puede descuidar el parcheado de QEMU porque parchear el entorno virtual también afecta a las máquinas que se ejecutan en él.

En otras palabras, dependiendo de la vía que elijas para parchear QEMU, puedes encontrarte con que tu parcheado conlleva un tiempo de inactividad significativo, algo con lo que tus clientes u otras partes interesadas pueden no estar del todo contentos.

Guía para parchear QEMU

Hay varias maneras de parchear QEMU, te guiaremos a través de tus opciones en esta sección. El enfoque que adoptes determinará cuánto riesgo creas con tus esfuerzos - y cuánta interrupción conllevan tus esfuerzos de parcheo.

Vale la pena señalar que los enfoques que enumeramos a continuación - con la excepción de la aplicación de parches en vivo - son aplicables a la mayoría de las soluciones de virtualización, incluyendo VMware, Xen, Hyper-V, y así sucesivamente; incluso si los pasos pueden ser ligeramente diferentes.

El método rápido y sucio, pero descuidado

Si tienes prisa, puedes optar por aplicar un parche sin planificarlo demasiado. Estos serían los pasos a seguir:

1. Inicia sesión en tu host y actualiza QEMU y sus dependencias utilizando el gestor de paquetes que prefieras.

2. El gestor de paquetes aplica los parches y puede o no reiniciar inmediatamente los servicios afectados, lo que también puede detener y reiniciar las máquinas virtuales en funcionamiento.

3. Se reinicia QEMU para recoger las actualizaciones, deteniendo efectivamente todas las máquinas virtuales.

4. Sus inquilinos de máquinas virtuales y las partes interesadas no están contentos de que su trabajo se haya visto afectado, interrumpido o destruido.

5. Usted reinicia las máquinas virtuales, esperando que reinicien automáticamente sus cargas de trabajo.

Aunque podrías adoptar este enfoque si estás ejecutando un laboratorio doméstico de un solo sistema y un solo usuario, tienes garantizado meterte en serios problemas con tu empleador - o con tus clientes - si estás tratando de parchear cargas de trabajo en vivo de una manera tan destartalada. En pocas palabras: intenta parchear QEMU de esta manera y te vas a pasar el resto de la semana intentando explicarte y arreglando tus aplicaciones y las de tus colegas.

Un enfoque de administrador de sistemas

Si eres un administrador de sistemas profesional lo sabrás mejor, por supuesto. En esta sección hablamos de una forma más sensata de intentar parchear QEMU.

1. Se empieza por planificar una ventana de mantenimiento, incluyendo la estimación del tiempo necesario, una lista de las máquinas virtuales afectadas y el impacto en otros sistemas que interactúan con las máquinas virtuales.

2. Informa a las partes interesadas del tiempo de inactividad y consigue la autorización para la operación dentro de un mes aproximadamente. El plazo de este anuncio dependerá de lo crítica que sea la vulnerabilidad: tendrás que parchear más rápido cuanto más peligrosa parezca ser la vulnerabilidad.

3. Espere un mes para iniciar el mantenimiento y confíe en no haber sido pirateado mientras tanto.

4. Apaga todas las máquinas virtuales y utiliza el gestor de paquetes de tu distribución para aplicar todas las actualizaciones de QEMU.

5. Reinicias QEMU, y reinicias todas las máquinas virtuales.

6. Como todo va según lo previsto, finaliza la operación de mantenimiento e informa a las partes interesadas de que todo ha vuelto a la normalidad.

7. Te pasas los dos días siguientes solucionando problemas, por ejemplo, localizando la máquina virtual que se ha atascado en el proceso de arranque y arreglándola.

No molestarás a tanta gente siguiendo el enfoque anterior y no perderás tanto tiempo intentando arreglar aplicaciones y servicios rotos. Aunque funcionará en el entorno empresarial, no es realmente un enfoque de nivel empresarial y no será aceptable en algunas condiciones. En concreto, con este enfoque, sigues corriendo el riesgo de descubrir todo tipo de problemas inesperados por el camino.

Enfoque empresarial basado en las mejores prácticas

En la tecnología, como en la vida, siempre hay concesiones, y ese es también el caso de nuestro método de mejores prácticas. Aunque el siguiente método es la forma más segura y menos perjudicial de parchear QEMU, también es la ruta más complicada y requerirá bastantes recursos de tu equipo tecnológico.

No obstante, si quieres un método razonablemente no disruptivo para parchear tus cargas de trabajo que dependen de QEMU te sugerimos que sigas estos pasos:

1. Comienza asegurándote de que tus cargas de trabajo dependen de varios hosts QEMU, dividiendo la carga de trabajo entre tus máquinas virtuales y sirviendo como una forma de redundancia en caso de que uno de los nodos falle.

2. Usted pone en marcha mecanismos de alta disponibilidad entre máquinas virtuales en diferentes nodos, protegiendo tanto al host como a las cargas de trabajo virtuales de los fallos.

3. Usted planifica la operación de mantenimiento, teniendo en cuenta detalles clave - por ejemplo, que diferentes máquinas virtuales de alta disponibilidad que forman parte del mismo servicio no pueden estar en el mismo host de virtualización cuando se inicia el proceso de aplicación de parches. Este proceso se denomina "Orquestación".

4. Informe a sus interlocutores de que habrá una operación de mantenimiento y que deben esperar una reducción del rendimiento, pero que no debe haber ninguna indisponibilidad del servicio.

5. Solicita autorización para seguir adelante con la operación y, dado que no se prevé que haya ningún servicio indisponible, recibe dicha autorización inmediatamente.

6. Se inicia la operación de mantenimiento en el primer nodo QEMU, que a su vez consta de una serie de pasos:

A. Migre las máquinas virtuales a otros nodos, asegurándose de que los nodos de máquinas virtuales del mismo servicio de alta disponibilidad se mantienen separados, ya que de lo contrario perdería la alta disponibilidad en ese servicio.

Un ejemplo de comando de migración sería el siguiente

virsh migrate web1 qemu+ssh://desthost/system

Hay muchas maneras diferentes de lograr esto, esto es sólo un ejemplo de comando de migración.

B. Se espera un periodo de tiempo para que los datos necesarios se transfieran a través de la red. Es aconsejable tener disponible o utilizar una conexión de red secundaria para la migración, y esto se puede controlar con este comando:

virsh migrate web1 qemu://desthost/system tcp://10.0.0.1/

Esta fase de migración puede ser bastante larga debido al elevado número de máquinas virtuales y/o a la RAM/recursos afectados a cada máquina virtual migrada que hay que enviar a través de la red.

7. Una vez migradas todas las máquinas virtuales, detenga QEMU.
8. Utilizando tu gestor de paquetes, actualiza QEMU y las dependencias.
9. Inicia QEMU.
10. Vuelve a migrar en vivo las máquinas virtuales.
11. Repita los pasos 6 a 10 en cada uno de los nodos de virtualización.
12. Finaliza la operación de mantenimiento e informa a las partes interesadas de que las operaciones han vuelto a la normalidad.

Ha migrado en vivo sus máquinas virtuales, por lo que es de esperar que no se produzca ninguna interrupción. Sin embargo, hay que tener cuidado con una cosa: algunas cargas de trabajo pueden ser muy sensibles incluso a una pequeña pérdida de paquetes durante la operación de migración, y en algunos casos muy extremos esta pérdida de paquetes puede causar problemas. Asegúrese de que las partes interesadas son conscientes de este riesgo y de que confirman que todo va bien en cada máquina virtual.

La aplicación de parches en directo es una alternativa

Aunque nuestra tercera sugerencia es una forma segura de migrar las cargas de trabajo, no cabe duda de que consume muchos recursos, al tiempo que requiere un alto nivel de conocimientos técnicos para garantizar que pueda ofrecer una alta disponibilidad y, por tanto, ningún tiempo de inactividad.

Existe una alternativa QEMUCare de TuxCare, un agente de parcheo en vivo.. En lugar de realizar parches que desactiven una instancia de QEMU, la solución de parches de TuxCare aplica correcciones de código mientras QEMU está activo y en funcionamiento.

Es fácil empezar con QEMU live patching desde TuxCare. Es una operación que se realiza una sola vez, basta con instalar el agente TuxCare Live Patch y añadir la licencia correspondiente. Puede acelerar la instalación en muchos servidores desplegando el agente TuxCare mediante Ansible u otra herramienta de automatización.

Una vez instalada, la herramienta de parcheo en vivo de TuxCare parcheará continuamente tus instancias QEMU, sin interrumpir las máquinas virtuales que estés ejecutando en QEMU.

Conclusión

Hemos echado un vistazo a las diferentes opciones que tienes cuando parcheas tus instancias QEMU. La primera opción realmente no está disponible para usted a menos que esté parcheando un sistema de prueba o experimental. Dependiendo de tus recursos y de la complejidad de tus cargas de trabajo, podrías elegir la segunda o la tercera opción, y la mayoría de las cargas de trabajo empresariales serias probablemente optarían por la tercera.

Nuestra última opción, live patching de TuxCare, elimina tantos pasos problemáticos y simplifica todo el proceso hasta tal punto que ni siquiera está en la misma liga que otras formas de parchear QEMU. No hace falta decir que vale la pena considerar el parcheo en vivo de QEMU.

Independientemente de la opción de parcheado que elijas, la cuestión sigue siendo que el parcheado es una parte crítica de SecOps y que debes parchear a fondo, tocando todos los servicios en el proceso, incluido QEMU.