Comparaison entre KernelCare Enterprise et Red Hat kpatch

Les correctifs en direct du noyau Linux transforment le SecOps, mais le kpatchde Red Hat est-il le meilleur choix pour vos charges de travail ?

Vous avez du mal à respecter les fenêtres de maintenance et vous vous inquiétez des mécanismes de correction imparfaits et de leur impact sur vos opérations de sécurité Red Hat ? Le correctif en direct du noyau Linux, également appelé "hot patching", est la réponse à ces deux problèmes - mais tous les outils de correctif en direct du noyau ne sont pas créés de la même manière.

La plupart des fournisseurs de Linux d'entreprise ont déployé des outils d'application de correctifs en temps réel, notamment l'outil de Red Hat pour Red Hat Enterprise Linux (RHEL), appelé kpatch. L'adoption du live patching est désormais une pratique exemplaire en matière de cybersécurité et il est essentiel d'utiliser l'outil le mieux adapté à vos besoins.

kpatch applique des modifications au noyau en cours d'exécution et atténue ainsi les défis liés aux fenêtres de maintenance. Il prend en charge les charges de travail des serveurs basés sur Red Hat depuis la première version de kpatch en 2014, mais il a ses avantages et ses inconvénients. Voyons ce qu'il en est.

Table des matières

1. Introduction de la correction dynamique du noyau (kpatch)
2. Durée de vie des correctifs du noyau
3. Noyaux Linux pris en charge
4. Fonctionnalité de retour en arrière
5. Qu'en est-il des coûts ?
6. Tableau comparatif rapide
7. Passage de l'utilitaire kpatch à KernelCare
8. Choisir entre kpatch et KernelCare

Introduction de la correction dynamique du noyau (kpatch)

La décision de Red Hat d'introduire kpatch dans la ligne principale du noyau Linux est venue un peu tard, étant donné qu'il a été développé après KSplice - le projet du MIT - et après KernelCare, développé par l'équipe de CloudLinux. Comme ses homologues, kpatch effectue un correctif en direct en échangeant à chaud une fonction de remplacement contenant une version corrigée du code du noyau.

En d'autres termes, kpatch vous permet d'appliquer des correctifs de sécurité à vos charges de travail basées sur Red Hat, sans qu'il soit nécessaire de redémarrer immédiatement le serveur après l'application du correctif. L'outil a été développé en interne par Red Hat et, au départ, il était similaire à kGraft, un outil développé par l'équipe de SUSE Linux. Étant donné que kGraft est étroitement lié à kpatch, les deux organisations ont décidé de travailler ensemble et d'unifier leurs efforts.

Durée de vie des correctifs du noyau

Le noyau de Red Hat cesse de recevoir des correctifs en direct après une période de six mois à compter de sa publication. Pour recevoir des mises à jour continues de kpatch, les clients doivent mettre à jour le noyau et effectuer au moins deux redémarrages par an. Par conséquent, les clients doivent aligner leurs fenêtres de maintenance sur le calendrier de publication du fournisseur.

En comparaison, KernelCare Enterprise offre des correctifs en direct avec un délai pratiquement illimité. Cela permet aux clients de bénéficier d'une protection continue de leurs noyaux existants sans être liés par le calendrier de publication du fournisseur lorsqu'ils planifient leurs fenêtres de maintenance.

Noyaux Linux pris en charge

kpatch est une option pour tous ceux qui utilisent Red Hat Enterprise Linux (RHEL). Après tout, il est construit et maintenu par les développeurs de Red Hat. Cependant, toute personne utilisant RHEL 6 ou certaines versions de RHEL 7 ne sera pas couverte par les correctifs de kpatch. Seules les versions RHEL 8, 7.7 et 7.6 sont prises en charge. Certaines distributions Linux non RHEL sont également prises en charge, notamment des versions spécifiques d'Ubuntu, de Debian et de Gentoo.

Si vous utilisez une version de RHEL, Ubuntu ou Debian qui n'est pas prise en charge par kpatch, ou même une autre distribution Linux telle que CentOS ou Amazon Linux, vous devrez vous tourner vers KernelCare Enterprise pour la prise en charge des correctifs en direct.

Fonctionnalité de retour en arrière

Si un administrateur système décide de le faire, pour quelque raison que ce soit, KernelCare Enterprise permet d'annuler n'importe quel correctif - un processus qui n'implique pas non plus de redémarrage. Cela peut être particulièrement utile dans les situations où le correctif a un impact négatif considérable sur les performances d'un système (par exemple, les correctifs Spectre/Meltdown ) et où il existe d'autres solutions d'atténuation. kpatch, en revanche, ne prend pas en charge la fonctionnalité de retour en arrière sans redémarrage. Cela peut entraîner des interruptions de service coûteuses, ce qui compromet le principal avantage de l'application de correctifs en direct.

Si un correctif ne fonctionne pas comme prévu, il est bon de savoir que vous pouvez facilement revenir à un noyau plus ancien si vous en avez besoin. Avec KernelCare Enterprise, vous pouvez toujours revenir en arrière sur tous les changements appliqués en exécutant une commande spéciale qui ne nécessite pas le redémarrage de votre système - ce qui élimine l'interruption d'un retour en arrière potentiel, ce que kpatch ne peut pas faire.

Qu'en est-il des coûts ?

Par ailleurs, si vous optez pour KernelCare Enterprise, vous bénéficierez d'une tarification avantageuse de moins de 60 dollars par serveur et par an. Avec des correctifs constants et la prise en charge d'un large éventail de distributions Linux, KernelCare offre également un ensemble de fonctionnalités relativement riche.

Le coût de la mise en œuvre de kpatch est nettement plus élevé, sauf si vous avez déjà souscrit à un plan de support RHEL. En effet, kpatch n'est disponible que pour les clients Red Hat ayant souscrit un plan d'assistance Premium, au prix de 1 299 dollars par an et par machine.