기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
주요 내용
- 라이브 커널 패칭( 재부팅 없이 적용하는 패치)은 실행 중인 리눅스 커널의 보안 취약점을 재부팅 없이 수정합니다.
- 자동화된 실시간 패치 적용을 통해 중요한 보안 업데이트를 즉시 적용하면서도 시스템 가용성을 지속적으로 유지할 수 있습니다.
- 기업들은 재부팅이 필요 없는 패치 적용을 통해 노출 기간을 줄이고, 가동 중단을 방지하며, 가동 시간 및 규정 준수 요건을 충족합니다.
- TuxCare의 KernelCare는 대부분의 엔터프라이즈 리눅스 배포판에 대해 자동화된 재부팅 없는 패치 적용을 제공합니다.
사이버 보안 분야에서 획기적인 발전은 흔치 않지만, 한번 일어나면 진정한 만병통치약이 될 수 있습니다. 리눅스 커널 라이브 패칭은 위협 행위자들과의 싸움에서 판도를 완전히 바꿔놓은 놀라운 사이버 보안 혁신 중 하나입니다.
그렇다면 재부팅 없는 커널 패칭이란 정확히 무엇이며, IT 팀과 조직 전체에 어떤 이점을 제공할까요? 라이브 패칭의 미래는 어떻게 될까요? 라이브 패칭에 대한 포괄적인 분석을 계속 읽어보시기 바랍니다.
라이브 커널 패칭이란 무엇인가?
재부팅 없는 리눅스 커널 라이브 패칭은 재부팅 없이 실행 중인 커널에 보안 패치를 적용하는 기능입니다. 이는 기존 패치 방식과 관련된 가동 중단 문제를 해결하는 현대적인 접근법입니다.
기존 방식의 커널 패치 적용은 시스템 재시작을 수반하는 경우가 많아 서비스 중단을 초래합니다. 24시간 가동이 필수적인 미션 크리티컬 환경에서는 기존 패치 방식이 실용적인 해결책이 될 수 없습니다.
라이브 패칭은 매우 신속하게 대응하기 때문에(유지보수 일정이나 다운타임이 없다는 점을 기억하십시오), 패치가 지속적으로 적용되며 공격자가 공개된 취약점을 악용할 수 있는 '공격 가능 시간대'가 존재하지 않습니다.
지연의 대가:TuxCare의 2022년 설문조사에 따르면 응답자의 55%가 데이터 유출 사고의 원인을 조직이 알려진 취약점에 대해 사용 가능한 패치를 적용하지 못한 데 있다고 답했습니다.
리눅스 커널 라이브 패칭의 역사
패치되지 않은 리눅스 서버가 해킹당한 연구원, MIT의 제프 아놀드가 2006년 라이브 패칭 연구를 시작했습니다. 그의 동기는 무엇이었을까요? 아놀드의 리눅스 서버가 해킹당한 이유는 핵심 보안 업데이트를 지연했기 때문인데, 그는 다른 사람들에게 불편을 끼치고 싶지 않았기 때문이었다. 기업용 리눅스 사용자에게는 대체 패치 방법이 필요하다는 점이 그에게 명백했습니다.
MIT에서의 연구는 재부팅 없이 커널 패치를 가능케 하는 첫 번째 발판이 되었다. 제프와 그의 동료들은 KSplice, Inc.라는 회사를 설립했으며, 이 회사는 2011년 오라클에 인수되었다. 이후 레드햇과 수세도 각각 Kpatch와 kGraft라는 솔루션을 통해 리눅스 서버용 라이브 패칭 개발을 주도했으며, 이 두 솔루션은 나중에 하나의 제품으로 통합되었다.
라이브 커널 패칭은 어떻게 작동하나요?
라이브 패치는 간단한 전제이지만, 그 배경에는 약간 복잡하고 기술적인 체조가 진행 중입니다.
다음은 작동 방식에 대한 간략한 설명입니다:
라이브 패칭 서비스는 수정된 코드로부터 재부팅 없이 적용 가능한 패치를 생성하여, 수정된 코드가 실행 중인 커널 메모리에 로드될 수 있도록 합니다. 이후 코드 실행은 취약한 버전의 코드에서 수정된 버전의 코드로 전환되며 커널이 실행되는 동안.
이는 커널을 재시작할 필요가 없음을 의미하며, 전체 시스템이 재부팅을 피할 수 있다는 의미이기도 합니다. 그럼에도 불구하고 시스템을 재부팅하지 않더라도 수정된 버전의 코드가 사용되며 시스템은 취약점으로부터 안전합니다.
패치는 필요에 따라 복잡할 수도 있고 간단할 수도 있습니다. 한 줄의 수정부터 여러 기능에 이르기까지 프로세스는 항상 동일합니다. 라이브 커널 패치는 마치 마술과도 같아서 일상적인 현장 패치 작업에 큰 실질적인 영향을 미칩니다.
라이브 패칭이 없다면 시스템 관리자는 기업용 리눅스 서버를 오프라인으로 전환하기 위해 유지보수 시간을 계획하고 예약해야 합니다. 대규모 기술 인프라의 경우 이는 복잡한 과정으로, 누군가는 반드시 불만을 가질 수밖에 없습니다. 아무도 다운타임을 원하지 않기 때문입니다.
라이브 커널 패칭의 이점 및 중요성
라이브 패칭 소프트웨어를 도입하면 서버와 애플리케이션은 패치 적용을 위해 더 이상 오프라인 상태로 전환할 필요가 없습니다. 또한 시스템 관리자는 유지보수 일정을 걱정할 필요가 없으며, 이해관계자들은 "다운타임"이나 "서비스 중단"이라는 말을 전혀 듣지 않게 됩니다.
다음은 리눅스 커널 라이브 패칭의 주요 이점입니다.
1. 지속적인 보안
수천 대의 시스템에 걸쳐 패치 작업을 수행해야 하는 복잡성을 고려하고, 매년 수천 개의 취약점이 발생하는 현실을 감안하면 곧바로 어려운 문제에 직면하게 됩니다: 이해관계자들은 패치를 적용할 때마다 발생하는 업무 중단과 수익 손실을 결코 용납하지 않을 것입니다.
이는 결과적으로 패치가 이상적인 빈도보다 덜 자주 적용된다는 것을 의미한다.
조직들은 패치 작업을 위해 가동 중단 시간을, 예를 들어 한 달에 한 번씩 계획합니다. 잘 운영되는 경우라면 말이죠. 이는 취약점이 공개적으로 확인된 시점과 패치가 최종 적용되는 시점 사이에 상당한 시간적 간극이 존재함을 의미합니다.
재부팅이 필요 없는 커널 라이브 패치 적용 기능 덕분에 유지보수 작업 시간을 기다릴 필요가 없으며, 실행 중인 서비스가 중단되지 않습니다.
2. 제로 다운타임 및 고가용성
재부팅과 관련된 리눅스 서버 가동 중단은 패치 적용 지연을 초래합니다. 유지보수 시간대 요구사항(그리고 재부팅으로 인한 자원 소모)을 없애면 패치 문제의 상당 부분을 해결할 수 있습니다.
강제 재부팅 시 서비스가 일시적으로 중단되는데, 이는 비즈니스 운영과 고객 접근에 악몽과 같습니다. 라이브 커널 패칭은 보안 수정 사항을 적용하는 동안 시스템을 계속 가동시킵니다. 트래픽이 많은 서버나 연중무휴 클라우드 환경을 운영하는 모든 사용자에게 이 재부팅 없는 패칭 방식은 가용성을 유지하고 계획된 다운타임에 따르는 비용을 피하는 데 도움이 됩니다.
3. 운영 효율성
재부팅 없이 적용되는 패치는 기술 팀에게도 크고 긍정적이며 실질적인 의미를 지닙니다.
커널 업데이트가 백그라운드에서 자동으로 수행되기 때문에 시스템 관리자는 전반적인 보안 태세에 기여하는 고차원적인 작업에 시간을 할애할 수 있습니다.
이는 더 행복한 이해관계자들도 의미합니다. 유지보수 작업 시간은 조직 내 모든 구성원을 불편하게 만들기 마련이기 때문입니다. 가동 중단은 수익 흐름의 차질, 불만족스러운 고객, 좌절한 직원들을 의미합니다. 라이브 패칭은 빈번한 유지보수 작업 시간의 필요성을 제거함으로써 이러한 문제들을 크게 줄여줍니다.
4. 규정 준수 및 규제 대비
라이브 패칭의 일관되고 간극 없는 특성은 오늘날의 엄격한 규제 환경에서 중요한 의미를 지니며, 규정 준수 의무가 있는 조직에게 게임 체인저 역할을 합니다. 예를 들어, 결제 처리를 수행하는 조직에 적용되는 PCI DSS(결제 카드 산업 데이터 보안 표준)를 살펴보십시오.
PCI DSS 규정의 6.2항은 중요한 보안 패치를 출시 후 한 달 이내에 적용할 것을 요구합니다. 이보다 늦게 패치를 적용하면 PCI DSS 요구사항을 위반하게 되며, 이는 심각한 결과를 초래할 수 있습니다. 예를 들어, 위반 시 막대한 벌금이 부과되거나, 더 나쁜 경우 보안 침해 사고가 발생할 수 있습니다. ISO 27001 및 NIST 사이버 보안 프레임워크와 같은 표준들도 패치 적용에 대해 유사한 요구사항을 제시하고 있습니다.
전문가 팁: 실시간 커널 패치를 사용하는 조직은 패치 작업이 더 이상 수동 개입이나 신뢰할 수 없고 긴 유지보수 시간에 의존하지 않기 때문에 규정 준수 규칙 위반 위험을 최소화합니다. 요구되는 규정 준수 기간은 자동으로 충족됩니다.
Linux 커널 라이브 패치의 단점은 무엇인가요?
라이브 커널 패칭 솔루션은 종종 단일 엔터프라이즈 리눅스 배포판에 종속되며, 대개 벤더별 고가의 지원 계약을 통해서만 이용 가능합니다.
턱스케어(TuxCare)는 클라우드리눅스(CloudLinux) 팀의 지원을 받아 거의 10년 동안 특허 받은 커널케어(KernelCare) 라이브 패칭 솔루션을 독자적으로 개발해 왔습니다. 커널케어는 재부팅 없이 커널 패치를 적용할 수 있도록 하여 레드햇(Red Hat)이나 수세 리눅스(SUSE Linux)와 같은 단일 벤더 생태계에 국한되지 않는 보편적이고 경제적인 라이브 패칭 서비스를 제공합니다.
라이브 패칭은 무료가 아니므로, 라이브 패칭 서비스를 신청할 때 중요한 비용 요소를 염두에 두어야 합니다. Kpatch 및 기타 벤더가 제공하는 라이브 패칭 서비스의 경우, 라이브 패칭이 지원 계획에 포함되어 있기 때문에 비용이 상당할 수 있습니다. 예를 들어, Red Hat 프리미엄 지원의 경우 기계당 연간 1,299달러라는 가격표를 고려해 보십시오.
이에 비해 TuxCare의 KernelCare 실시간 패치 서비스는 연간 단일 기기당 49.50달러로 저렴합니다. 유지보수 시간을 조정하고 취약점을 수동으로 패치하는 데 드는 시간을 고려하면 이는 작은 비용입니다. 패치를 소홀히 해 발생한 사이버 공격으로 인한 잠재적 비용은 말할 것도 없습니다.
또한 KernelCare는 영구 라이브 패치를 도입했습니다. 기존 라이브 패칭 방식인 임시 라이브 패칭은 패치를 쌓아 올리는 기술을 사용하여 패치를 적용하기 때문에 시간이 지남에 따라 성능이 저하되는 문제가 있었습니다.
반면 지속적 라이브 패칭은 하나의 바이너리에 누적된 수정 사항을 포함하므로 성능 저하가 발생하지 않습니다. KernelCare는 시스템이 실행 중인 상태에서 패치를 적용한 후 이전과 동일하게 계속 실행되므로 성능 저하 없이 운영됩니다.
인기 있는 라이브 커널 패칭 도구
다양한 공급업체에서 제공하는 여러 라이브 패칭 도구가 존재합니다. 대부분은 리눅스 배포판 벤더 자체에서 제공하며, 해당 특정 배포판에서만 작동하도록 설계되었습니다.
KernelCare
TuxCare의 KernelCare는 RHEL, CentOS, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, CloudLinux, Amazon Linux 등 다양한 엔터프라이즈 리눅스 배포판을 지원하는 벤더 독립적인 라이브 패칭 솔루션입니다. 재부팅이나 유지보수 작업 시간 없이 커널 패치를 자동으로 배포할 수 있게 합니다.
주요 기능
- 모든 주요 엔터프라이즈 리눅스 배포판을 지원합니다
- 지원되는 커널에 대해 최대 100%의 CVE 커버리지를 제공합니다
- x86-64(인텔 및 AMD) 및 ARM64 아키텍처 모두에서 사용 가능
- LibCare는 glibc 및 OpenSSL과 같은 공유 라이브러리에 라이브 패칭을 확장합니다.
커널 취약점에 대한 KernelCare 라이브 패치는 TuxCare의 CVE 추적기에서 모니터링할 수 있습니다.
오라클 키스플리스
Ksplice는 MIT의 학술 프로젝트로 시작되었으며, 이후 Oracle에 인수되었습니다. 현재 Oracle Linux의 내장형 실시간 패치 메커니즘으로 사용되고 있습니다.
초점: Ksplice는 RHEL, CentOS, Ubuntu와 같은 다른 배포판도 지원할 수 있지만, 오라클의 주요 초점은 자체 커널 변종과 긴밀히 통합된 오라클 리눅스 환경용 패치 제공에 있습니다.
제한 사항: 일반적으로 Oracle 프리미어 지원 구독을 보유한 고객에게만 제공됩니다.
전체 비교 보기: KernelCare vs Ksplice
kpatch (레드햇)
kpatch는 Red Hat이 개발하고 유지 관리하는 네이티브 라이브 커널 패칭 기술입니다. 이는 Red Hat Enterprise Linux(RHEL) 및 CentOS Stream의 기본 솔루션입니다.
초점: 레드햇이 직접 빌드하고 유지 관리하는 커널 패치에 중점을 둡니다.
제한 사항: 일반적으로 Red Hat 및 그 파생 배포판에서 지원하는 특정 커널 버전에만 제한되며, 다른 배포판 계열을 본질적으로 지원하지 않습니다.
전체 비교 보기: KernelCare vs kpatch
kGraft (SUSE)
kGraft는 SUSE에서 개발한 라이브 커널 패칭 구현체입니다. 이는 SUSE Linux Enterprise Server(SLES)의 기본 솔루션입니다.
초점: kpatch와 마찬가지로 kGraft는 SUSE의 엔터프라이즈 배포판에 최적화되어 번들로 제공되며, 해당 생태계 내에서 호환성을 보장합니다.
제한 사항: SUSE만 사용한다면 훌륭하지만, 혼합 환경에서는 덜 이상적입니다.
라이브 패치
Canonical Livepatch는 Ubuntu의 기본 라이브 커널 패치 서비스로, 재부팅 없이 Ubuntu LTS 버전의 보안을 유지하도록 설계되었습니다.
초점: Ubuntu Pro 구독에 통합되어 있어 Ubuntu 전용 인프라에서 관리하기 쉽습니다.
제한 사항: 오직 Ubuntu에서만 작동합니다. AlmaLinux나 CentOS 같은 다른 배포판을 인프라에 포함하고 있다면, 여러 가지 서로 다른 패치 도구를 관리해야 하는 상황에 직면하게 될 것입니다.
전체 비교 보기: KernelCare vs Livepatch
재부팅 없이 패치하여 리눅스 시스템 보안 유지하기
실시간 보안 패치 적용은 사이버 보안 분야에서 큰 성과입니다. 이는 일반적으로 까다롭고 시간이 많이 소요되는 작업인 리눅스 엔터프라이즈 서버에 커널 패치를 적용하는 과정을 훨씬 수월하게 만들어 줍니다.
레드햇이나 오라클 리눅스와 같은 엔터프라이즈 리눅스 워크로드를 운영 중이라면, 현대적인 보안 전략의 일환으로 재부팅 없이 적용되는 라이브 커널 패치 기술을 검토해 볼 가치가 있습니다.
TuxCare의 실시간 패치 솔루션은 이제 커널을 넘어 다양한 실시간 패치 서비스를 포함하게 되었습니다. LibCare로 중요한 공유 라이브러리를, KernelCare IoT로 임베디드 및 IoT 환경을 포괄합니다.
TuxCare의 재부팅 없는 패치 솔루션에 대해 자세히 알아보세요.
