Comparaison entre KernelCare Enterprise et Red Hat Kpatch

L'application en direct de correctifs au noyau Linux transforme les opérations de sécurité, mais Kpatch de Red Hat est-il le meilleur choix pour vos charges de travail ?

Vous avez du mal à respecter les fenêtres de maintenance et vous vous inquiétez des mécanismes de correction imparfaits et de leur impact sur vos opérations de sécurité Red Hat ? Le correctif en direct du noyau Linux, également appelé "hot patching", est la réponse à ces deux défis - mais tous les outils de correctif en direct du noyau ne sont pas créés de la même manière.

La plupart des fournisseurs de Linux d'entreprise ont déployé des outils de correction en temps réel, notamment l'outil de Red Hat pour Red Hat Enterprise Linux (RHEL), appelé Kpatch. L'adoption du live patching est désormais une bonne pratique de cybersécurité et il est essentiel d'utiliser le meilleur outil pour vos besoins.

Kpatch applique des modifications au noyau pendant son exécution et atténue ainsi les défis autour des fenêtres de maintenance. Il prend en charge les charges de travail des serveurs basés sur Red Hat depuis la toute première version de Kpatch en 2014, mais il a ses avantages et ses inconvénients. Jetons-y un coup d'œil.

Table des matières

1. Présentation de la correction dynamique du noyau par Kpatch
2. Différence entre les correctifs temporaires et persistants du noyau Linux
3. Noyaux Linux supportés
4. Qu'en est-il des coûts ?
5. Tableau comparatif rapide
6. Passage de l'utilitaire Kpatch à KernelCare
7. Choisir entre Kpatch et KernelCare

Présentation de la correction dynamique du noyau par Kpatch

La décision de Red Hat d'introduire Kpatch dans la ligne principale du noyau Linux est arrivée un peu tard, étant donné qu'il a été développé après KSplice - le projet du MIT - et après KernelCare, développé par l'équipe de CloudLinux. Comme ses homologues, Kpatch effectue des correctifs en direct en échangeant à chaud une fonction de remplacement contenant une version corrigée du code du noyau.

En d'autres termes, Kpatch vous permet d'appliquer des correctifs de sécurité à vos charges de travail basées sur Red Hat, sans avoir à redémarrer immédiatement le serveur après l'application du correctif. L'outil a été développé en interne par Red Hat, et au départ, il était similaire à kGraft, un outil développé par l'équipe de SUSE Linux. Étant donné l'étroite relation entre kGraft et Kpatch, les deux organisations ont décidé de travailler ensemble et d'unifier leurs efforts.

Différence entre les correctifs temporaires et persistants du noyau Linux

Voici un point essentiel à comprendre concernant le correctif dynamique de noyau Kpatch. Lors de l'application d'un correctif en direct ou, comme on l'appelait autrefois, d'un correctif dynamique du noyau, il existe deux voies : le correctif temporaire et le correctif permanent. Kpatch s'appuie sur le patching temporaire en direct qui est exactement ce qu'il dit, un moyen temporaire d'installer des patches critiques sur une charge de travail en cours d'exécution sans redémarrage.

Cependant, les correctifs temporaires ne sont pas entièrement intégrés et le fait de s'appuyer sur des correctifs temporaires permanents finira par dégrader les performances - jusqu'à ce qu'un redémarrage du noyau en cours d'exécution soit effectué. Oui, cela permet d'atténuer les difficultés liées à l'application de correctifs, mais l'application de correctifs temporaires aux modules du noyau n'est pas un remède parfait.

Une meilleure façon d'aborder les correctifs est le correctif persistant, où chaque correctif vivant du noyau contient un correctif cumulatif dans un seul binaire. Les modules de correctifs ne sont pas appliqués les uns sur les autres, il n'y a pas de dégradation des performances et il n'est pas nécessaire de redémarrer le système. Et, en ce qui concerne les correctifs, on peut dire que l'élimination des redémarrages nécessaires pour mettre à jour la version du noyau est vraiment l'objectif principal.

Noyaux Linux supportés

Kpatch est une option pour tous ceux qui utilisent Red Hat Enterprise Linux (RHEL). Il est construit et maintenu par les développeurs de Red Hat, après tout. Cependant, toute personne exécutant RHEL 6, ou certaines versions de RHEL 7 ne seront pas couvertes pour les correctifs à chaud par Kpatch. Seules les versions RHEL 8, 7.7 et 7.6 sont prises en charge. Certaines distributions Linux non-RHEL sont également prises en charge, notamment certaines versions spécifiques d'Ubuntu, Debian et Gentoo.

Si vous utilisez une version de RHEL, Ubuntu ou Debian qui n'est pas prise en charge par Kpatch, ou même une autre distribution Linux telle que CentOS ou Amazon Linux, vous devrez vous tourner vers KernelCare pour la prise en charge des correctifs en direct.

Qu'en est-il des coûts ?

Par ailleurs, si vous optez pour KernelCare Enterprise, vous bénéficierez d'un prix abordable, inférieur à 60 dollars par serveur et par an. Avec des correctifs permanents et la prise en charge d'un large éventail de distributions Linux, KernelCare offre également un ensemble de fonctionnalités relativement riche.

Le coût de la mise en œuvre de Kpatch est sensiblement plus élevé, sauf si vous êtes déjà inscrit à un plan de support RHEL. En effet, Kpatch n'est disponible que pour les clients Red Hat disposant d'un plan d'assistance Premium, qui coûte 1 299 dollars par an et par machine.