Comparación de KernelCare
con Red Hat kpatch

La mayoría de los proveedores de Linux para empresas incluyen ahora una herramienta de aplicación de parches en tiempo real; la de Red Hat es kpatch, integrada en RHEL ya en 2014. Sin embargo, su proyecto de código abierto original ya ha quedado obsoleto. kpatch aplica correcciones del núcleo a un servidor en funcionamiento, por lo que ya no es necesario esperar a una ventana de mantenimiento para instalar las actualizaciones de seguridad.

El problema es lo poco que cubre. kpatch solo corrige alrededor del 10 % de las vulnerabilidades (CVE) que afectan a un sistema, sin tocar en absoluto el espacio de usuario, y su cobertura caduca al cabo de aproximadamente un año por kernel, lo que obliga a realizar precisamente esos reinicios que el parcheo en vivo pretendía eliminar. Además, una protección tan limitada sigue dependiendo de las costosas suscripciones a RHEL.

KernelCare, de TuxCare, se ha diseñado para evitar esas lagunas. Aplica parches a todas las vulnerabilidades CVE del núcleo, independientemente de su gravedad; se extiende a OpenSSL y glibc a través de LibCare; y ofrece una cobertura continua sin reinicios forzados, todo ello por solo 50 dólares al año por sistema. La comparación que figura a continuación detalla en qué aspectos difieren ambos productos.

	Red Hat kpatch	KernelCare
Distribuciones compatibles	Solo Red Hat Enterprise Linux	Red Hat Enterprise Linux 6, 7, 8 y 9, además de Ubuntu, Oracle, AlmaLinux y muchos otros
Vulnerabilidades parcheadas	❌ Solo alrededor del 10 % de los CVE (CVE del núcleo clasificados como «Importantes» y «Críticos»)	✅ Cobertura de hasta el 100 %
Cobertura del núcleo de Linux y del espacio de usuario crítico (OpenSSL, glibc)	❌ Solo para el núcleo	✅ Sí
Compatibilidad con la arquitectura ARM64	❌ Solo x86-64	✅ Sí
Modificaciones en tiempo real para cualquier kernel en ejecución	❌ Selecciona únicamente los granos que cumplan los requisitos	✅ Sí
Vida útil prácticamente ilimitada de los parches del núcleo	❌ Aproximadamente un año por núcleo	✅ Sí
integrado y automatizado	❌ No hay un agente específico; los parches se distribuyen como RPM y se aplican mediante yum/dnf o Satellite	✅ El agente comprueba y aplica los nuevos parches automáticamente
Aplicación de parches en tiempo real para , un sistema operativo al final de su ciclo de vida	❌ No incluido en el complemento de pago «Soporte de ciclo de vida ampliado»	✅ Red Hat Enterprise Linux 6 y 7, además de Ubuntu, Oracle, AlmaLinux y muchos otros
Función de reversión sin reinicio	❌ Tras reiniciar el sistema	✅ Sin necesidad de reiniciar
Entrega de parches personalizados	❌ Instalación por cuenta propia con kpatch-build; no se ofrece ni se da soporte técnico como servicio	✅ Totalmente gestionado
Gestión centralizada y aislada físicamente	❌ Requiere Red Hat Satellite (licencia independiente)	✅ Incluido (ePortal)
API disponible	❌ La API centralizada requiere Red Hat Satellite (licencia independiente)	✅ Incluido (ePortal)
Distribución de un único patchset para todos los parches	✅ Sí	✅ Sí
Desarrollo activo en la fase inicial	❌ Obsoleto, en modo de mantenimiento	✅ Sí
Asistencia 24/7	❌ Solo gravedad 1 y 2, suscriptores premium	✅ En línea, las 24 horas del día, los 7 días de la semana, los 365 días del año
Complementos	-	LibCare, parches personalizados
Tipo de parcheado	Persistente	Persistente
Coste	Requiere una suscripción activa a RHEL: 878,90 $ (Standard) o 1.428,90 $ (Premium) por sistema y año; complemento EUS: +273,90 $	Desde 50 $ por sistema al año; hay precios especiales por volumen disponibles

El gráfico muestra en qué puntos divergen ambos. El resto de esta comparación analiza lo que supone cada diferencia para los sistemas que utilizas en la práctica.

La aplicación de parches en tiempo real debería abarcar los sistemas que realmente ejecutas, sea cual sea la combinación de distribuciones de la que se trate. kpatch ha sido desarrollado y es mantenido por los desarrolladores de Red Hat, por lo que, en la práctica, es una herramienta de RHEL; e incluso dentro de RHEL, RHEL 6 y algunas versiones de RHEL 7 quedan fuera de su ámbito de soporte. Unas pocas distribuciones que no son de RHEL, como versiones específicas de Ubuntu, Debian y Gentoo, cuentan con soporte técnico, pero solo si creas tú mismo los parches en tiempo real, lo que requiere un profundo conocimiento del núcleo y conlleva un riesgo real si se comete un error.

KernelCare adopta la postura contraria. Aplica parches en tiempo real a RHEL, Ubuntu, Debian, Oracle Linux, AlmaLinux, Rocky Linux, Amazon Linux y otras distribuciones desde el primer momento. Para una empresa que utilice una sola distribución, esto puede no parecer decisivo hoy en día, pero significa que solo necesitarás una herramienta y un flujo de trabajo si tu entorno llegara a ampliarse más allá de RHEL.

El objetivo principal de las correcciones en tiempo real es solucionar rápidamente las vulnerabilidades, por lo que la primera pregunta es cuáles corrige realmente una herramienta. Nuestra propia investigación reveló que kpatch solo corrige en tiempo real alrededor del 10 % de los CVE que afectan a un sistema, y parte de esa diferencia se debe a su diseño.

kpatch solo aplica parches en tiempo real a las vulnerabilidades (CVE) del núcleo que la propia Red Hat califica como «Importantes» o «Críticas», y ese umbral es más estrecho de lo que parece. Red Hat asigna sus propias calificaciones de gravedad, que pueden diferir de la puntuación que recibe una CVE en la Base de Datos Nacional de Vulnerabilidades (NVD), por lo que una vulnerabilidad calificada como «Crítica» en otros lugares puede rebajarse de categoría y no ser tratada. Esas clasificaciones también parten de una configuración típica, por lo que una CVE a la que Red Hat otorgue una puntuación más baja puede seguir suponiendo un riesgo grave en tu configuración específica; sin embargo, no recibirá un parche en tiempo real y habrá que esperar al próximo kernel y a un reinicio. E incluso entre las CVE que Red Hat mantiene en los niveles «Importante» o «Crítico», su propia documentación indica que no todas tienen garantizado un parche en tiempo real.

KernelCare elimina las conjeturas al aplicar parches en tiempo real a todas las vulnerabilidades (CVE) del núcleo, independientemente de su nivel de gravedad, por lo que la cobertura no depende de la puntuación asignada a una vulnerabilidad concreta.

La aplicación de parches en tiempo real debería garantizar la seguridad de todo el sistema sin necesidad de reiniciar, pero kpatch solo interviene en el núcleo. Todas las vulnerabilidades de las bibliotecas del espacio de usuario, incluidas las de OpenSSL y glibc que están detrás de incidentes como Heartbleed, GHOST y Looney Tunables, siguen dependiendo de una actualización del paquete y de un reinicio del servicio o la aplicación. Estas bibliotecas están presentes en casi todo lo que se ejecuta, por lo que una sola corrección de glibc u OpenSSL puede suponer el reinicio de gran parte de la pila.

KernelCare subsana esta carencia con LibCare, aplicando parches a bibliotecas compartidas como OpenSSL y glibc en memoria sin necesidad de reiniciar las aplicaciones que dependen de ellas. La aplicación de parches en el espacio de usuario crítico sin tiempo de inactividad es lo que permite a los equipos cumplir los plazos de corrección de PCI DSS, SOC 2 y FedRAMP en sistemas que no pueden desconectarse de la red.

La aplicación de parches en tiempo real debería proteger todos los servidores de tu entorno, no solo los que utilizan un procesador concreto. kpatch aplica parches en tiempo real a x86-64 y ppc64le, lo que deja a los sistemas Arm64 sin ninguna protección de este tipo. A medida que Arm se va afianzando cada vez más en los centros de datos y en la nube, esto se convierte en un punto ciego cada vez más grave.

KernelCare es compatible tanto con x86-64 como con Arm64, por lo que la misma protección sin necesidad de reiniciar se aplica tanto si una carga de trabajo se ejecuta en hardware x86 tradicional como en Arm.

Las actualizaciones en tiempo real deberían abarcar el núcleo que estás ejecutando actualmente, pero kpatch solo aplica parches a un subconjunto de ellos. Aplica parches en tiempo real a los núcleos de errata base compatibles con kpatch que Red Hat designa una vez al trimestre, por lo que, a menos que tu sistema esté ejecutando uno de esos núcleos designados, no recibirás parches en tiempo real hasta que cambies a uno de ellos.

KernelCare no impone ninguna restricción de compatibilidad. Sea cual sea el kernel que esté cargado, lo actualiza, por lo que la cobertura se adapta a tus sistemas en lugar de que estos tengan que ajustarse a una lista.

Incluso una vez que se utiliza un núcleo compatible, la cobertura tiene una duración limitada. Cada núcleo compatible recibe parches en tiempo real durante aproximadamente un año; transcurrido ese tiempo, hay que actualizar el núcleo y reiniciar el sistema para seguir recibiendo correcciones. Esta limitación es la que, sin que nos demos cuenta, frustra el objetivo. En lugar de eliminar los reinicios, kpatch los aplaza, y al final acabas planificando las ventanas de mantenimiento en función del calendario del proveedor de todos modos.

KernelCare no establece ningún plazo de este tipo, sino que aplica parches a cada núcleo durante un periodo de vida útil prácticamente ilimitado, por lo que seguirás protegido con tu núcleo actual sin necesidad de realizar un reinicio anual obligatorio.

La aplicación de parches en tiempo real debería ejecutarse discretamente en segundo plano, sin convertirse en una tarea más que gestionar. kpatch no cuenta con un agente específico para la automatización de parches. Los parches se distribuyen como paquetes RPM que se aplican a través de yum o dnf, o se implementan con Satellite, lo que significa que mantenerse al día es o bien una tarea administrativa manual, o bien algo que hay que organizar con herramientas de actualización de uso general.

KernelCare instala un agente ligero que busca y aplica automáticamente los nuevos parches, y se integra con la solución de automatización de TI que ya utilizas. Una vez implementado, mantener los sistemas actualizados deja de ser una tarea recurrente.

Red Hat no ofrece parches en tiempo real (kpatch) durante la fase de vida útil ampliada, ni siquiera con el complemento de pago «Soporte de ciclo de vida ampliado». Una vez que una versión llega al final de su vida útil, el servicio de parches en tiempo real deja de estar disponible, incluso si sigues pagando por las errata de seguridad.

KernelCare hace justo lo contrario. Sigue ofreciendo parches en tiempo real para versiones de distribuciones que han llegado al final de su ciclo de vida, como CentOS 7, Ubuntu 18.04, Debian 10, RHEL 7 y muchas otras, de modo que los sistemas que no puedas retirar según lo previsto sigan protegidos mientras planificas la migración según tu propio calendario.

Las correcciones en tiempo real deben ser reversibles, ya que, en ocasiones, es necesario revertir una corrección; por ejemplo, cuando una medida de mitigación conlleva un coste en el rendimiento (como ocurrió con algunas correcciones de Spectre y Meltdown) y existe una medida de mitigación alternativa.

kpatch no puede hacer esto. Para revertir un parche aplicado en tiempo real es necesario reiniciar el sistema, lo que convierte un parche problemático en una interrupción planificada y elimina precisamente la ventaja que hacía atractivo el parcheo en tiempo real. KernelCare, por el contrario, te permite revertir cualquier parche aplicado con un solo comando y sin necesidad de reiniciar, por lo que revertir un parche tiene un impacto tan reducido como aplicarlo.

Algunos entornos necesitan una corrección que el proveedor no ha lanzado, o un parche adaptado a su propio código. Con kpatch, se trata de una tarea que hay que realizar por cuenta propia: el usuario crea el parche él mismo con kpatch-build, sin que haya un proceso de distribución gestionado ni soporte técnico detrás. Para la mayoría de los equipos, los conocimientos necesarios sobre el núcleo suponen una barrera en sí mismos.

KernelCare ofrece parches personalizados totalmente gestionados que TuxCare crea, prueba y mantiene por ti. De este modo, obtienes la solución que necesitas sin tener que asumir el trabajo ni el riesgo que supone crear parches en tiempo real de forma interna.

A cualquier escala real, la aplicación de parches en tiempo real debe gestionarse de forma centralizada y, cada vez más, en entornos sin acceso a Internet. Con kpatch, la implementación centralizada implica instalar una instancia de Red Hat Satellite con licencia independiente, lo que supone un coste adicional y un sistema más que gestionar.

KernelCare incluye ePortal, un servidor de parches privado instalado en las propias instalaciones que permite implementaciones por fases, despliegues controlados y redes totalmente aisladas, sin ningún coste adicional de licencia. La funcionalidad que supone un coste adicional en Red Hat forma parte del paquete de TuxCare.

La aplicación de parches moderna debería poder automatizarse mediante scripts e integrarse con el resto de la automatización. kpatch no ofrece ninguna API nativa, por lo que cualquier operación basada en una API vuelve a pasar por Red Hat Satellite.

KernelCare incluye la API de ePortal para el registro, la gestión y la automatización mediante Ansible, por lo que la aplicación de parches en tiempo real se integra en los flujos de trabajo existentes sin necesidad de un producto de gestión independiente.

La elección de una herramienta de aplicación de parches es una decisión a largo plazo, por lo que el buen estado del proyecto es fundamental. El proyecto de código abierto kpatch, de origen, se encuentra ahora en modo de mantenimiento, y la creación de parches se ha trasladado a klp-build en el núcleo principal. KernelCare, por el contrario, se desarrolla de forma activa y cuenta con soporte comercial para todas las distribuciones y arquitecturas, que es precisamente el tipo de trayectoria que se busca para una infraestructura que se espera que funcione durante años.

Cuando una consulta sobre un parche se vuelve urgente, el tiempo de respuesta es fundamental. El servicio de asistencia de kpatch, disponible las 24 horas del día, se limita a los casos de gravedad 1 y 2 y solo está disponible para los suscriptores premium, por lo que los problemas de menor gravedad deben esperar hasta el horario laboral. KernelCare incluye asistencia en línea las 24 horas del día, los 7 días de la semana y los 365 días del año para todos los niveles de suscripción.

KernelCare Enterprise tiene un precio a partir de 50 dólares por sistema al año para la aplicación de parches en tiempo real del kernel y funciona en tus sistemas RHEL existentes, sin necesidad de suscripción a Red Hat. La aplicación de parches en tiempo real en el espacio de usuario para OpenSSL y glibc está disponible a través del complemento LibCare. kpatch, por el contrario, no conlleva ningún coste adicional, pero requiere una suscripción activa a RHEL, cuyo precio es de 878,90 dólares para la versión Standard o de 1.428,90 dólares para la versión Premium por sistema y año, con el complemento EUS por 273,90 dólares adicionales para mantener abiertas las ventanas de aplicación de parches en tiempo real.

La diferencia es más acusada a escala de parque informático. Las actualizaciones en tiempo real del núcleo para 100 sistemas cuestan 5.000 dólares al año con KernelCare. Para obtener lo mismo a través de Red Hat —una suscripción a RHEL Standard más EUS— el coste asciende a casi 115.280 dólares al año, aproximadamente 23 veces más. E incluso si se considera que kpatch ya está pagado dentro de un entorno RHEL existente, los derechos de EUS que mantienen sus puertas abiertas siguen sumando unos 27 390 dólares al año.

Si solo utilizas RHEL, kpatch puede parecer la opción más lógica, ya que viene incluido en tu contrato con Red Hat. La conclusión de esta comparación es que, incluso en un parque de servidores que utilice exclusivamente RHEL, la configuración por defecto deja más vulnerabilidades sin cubrir de lo que parece. Muchas vulnerabilidades (CVE) del núcleo y todas las del espacio de usuario quedan sin parchear; la cobertura que ofrece se limita a los núcleos base seleccionados por Red Hat; cada ventana de aplicación de parches caduca al cabo de aproximadamente un año; e incluso revertir un parche implica reiniciar el sistema.

KernelCare se ha diseñado para eliminar esos inconvenientes. Aplica parches de forma continua al núcleo y al espacio de usuario, independientemente de la gravedad, en cualquier núcleo que estés utilizando, incluso mucho después de que haya finalizado su ciclo de vida. Las reversiones se realizan sin necesidad de reiniciar, los parches personalizados están totalmente gestionados y todo el sistema funciona en tus sistemas actuales por una fracción de lo que cobra Red Hat. Así que, tanto si utilizas una combinación de distribuciones como si quieres que se corrijan todas las vulnerabilidades sin tener que apagar los sistemas, KernelCare es la mejor opción.

Pasar de kpatch a KernelCare es muy sencillo. Un único script de inicio rápido instala KernelCare, tus sistemas reciben parches en tiempo real de forma continua en todos los ámbitos y las cargas de trabajo existentes siguen funcionando durante todo el tiempo que necesites.

Para los equipos que quieran probarlo primero, KernelCare ofrece una prueba gratuita de 30 días con todas las funciones, para que puedas comprobar que la cobertura es ininterrumpida antes de comprometerte.