커널케어 엔터프라이즈
와 레드햇 k패치

유지 관리 기간에 어려움을 겪고 있고, 불완전한 패치 메커니즘과 Red Hat 보안 운영에 미치는 영향이 걱정되시나요? 재부팅 없는 패칭이라고도 하는 라이브 Linux 커널 패치는 두 가지 문제에 대한 해답이지만 모든 라이브 커널 패치 도구가 동일하게 만들어지는 것은 아닙니다.

대부분의 엔터프라이즈 Linux 공급업체는 레드햇의 레드햇 엔터프라이즈 리눅스(RHEL)용 도구인 kpatch를 포함하여 라이브 패치 도구를 출시했습니다. 이제 라이브 패치를 채택하는 것은 사이버 보안 모범 사례이며, 필요에 가장 적합한 도구를 사용하는 것이 중요합니다.

kpatch는 커널이 실행되는 동안 커널에 변경 사항을 적용하여 유지 관리 기간과 관련된 문제를 완화합니다. 2014년 kpatch의 초기 버전부터 Red Hat 기반 서버 워크로드를 지원해 왔지만 장단점이 있습니다. 살펴보겠습니다.

레드햇이 리눅스 커널 메인라인에 kpatch를 도입하기로 결정한 것은 MIT 프로젝트인 KSplice와 CloudLinux 팀이 개발한 KernelCare 이후에 개발되었기 때문에 다소 늦은 감이 있습니다. 다른 커널 패치와 마찬가지로 kpatch는 패치된 버전의 커널 코드가 포함된 대체 기능을 핫스왑하여 라이브 패치를 수행합니다.

즉, kpatch를 사용하면 패치 적용 후 서버를 즉시 재시작할 필요 없이 Red Hat 기반 워크로드에 보안 패치를 적용할 수 있습니다. 이 도구는 Red Hat에서 자체 개발했으며, 처음에는 SUSE Linux 팀이 개발한 도구인 kGraft와 유사했습니다. kGraft가 kpatch와 얼마나 밀접한 관련이 있는지를 감안하여 두 조직은 함께 협력하여 노력을 통합하기로 결정했습니다.

Red Hat의 커널은 출시 후 6개월이 지나면 라이브 커널 패치 제공이 중단됩니다. 지속적인 k패치 업데이트를 받으려면 고객은 커널을 업그레이드하고 1년에 최소 2회 재부팅을 수행해야 합니다. 따라서 고객은 유지 관리 기간을 공급업체의 릴리스 일정에 맞춰야 합니다.

이에 비해 KernelCare Enterprise는 사실상 무제한 기간의 실시간 패치를 제공합니다. 따라서 고객은 유지 관리 기간을 계획할 때 공급업체의 릴리스 일정에 얽매이지 않고 기존 커널을 지속적으로 보호할 수 있습니다.

kpatch는 레드햇 엔터프라이즈 리눅스(RHEL)를 실행하는 모든 사용자에게 제공되는 옵션입니다. 결국 Red Hat 개발자가 구축하고 유지 관리합니다. 그러나 RHEL 6 또는 특정 버전의 RHEL 7을 실행하는 사용자는 kpatch로 핫 패치를 적용받을 수 없습니다. 최신 버전의 RHEL 중 일부만 지원됩니다.

특정 버전의 우분투, 데비안, 젠투 등 일부 비 RHEL Linux 배포판도 기술적으로 지원되지만 이러한 배포판에서 kpatch를 사용하려는 고객은 직접 도구를 사용하여 필요한 라이브 패치를 수동으로 만들어야 합니다. 라이브 패치를 만드는 것은 대부분 쉬운 과정이 아니며 특정 전문 지식이 필요하다는 점에 유의해야 합니다. 주의하지 않으면 몇 가지 큰 함정이 발생할 수 있습니다.

kpatch에서 지원되지 않는 RHEL, Ubuntu 또는 Debian 버전이나 CentOS 또는 Amazon Linux와 같은 다른 Linux 배포판을 실행하는 경우, 실시간 패치 지원을 받으려면 KernelCare Enterprise를 살펴봐야 합니다.

고려해야 할 또 다른 중요한 측면은 kpatch가 취약성 범위를 처리하는 방식입니다. 이 솔루션은 심각도가 높고 중요한 CVE(공통 취약성 및 노출)만 처리합니다. 그러나 Red Hat은 자체 기준에 따라 국가 취약성 데이터베이스에서 할당된 이러한 CVE의 원래 심각도 점수를 조정할 수 있습니다. 즉, 외부 평가 시스템에서 심각도가 높고 중요하다고 간주되는 모든 취약점을 k패치로 해결하지 못할 수도 있습니다. 또한, Red Hat이 계속해서 중요도가 높고 중요하다고 분류하는 취약점 중에도 문서에 명시된 대로 모든 취약점이 라이브 패치 서비스를 사용하여 패치되는 것은 아닙니다. 동시에 Red Hat에서 조정한 일부 덜 중요한 취약점도 특정 구성 및 보안 요구 사항이 있는 환경에서는 여전히 심각한 위험을 초래할 수 있습니다.

시스템 관리자가 어떤 이유로든 원하는 경우, KernelCare Enterprise는 재부팅 없이도 모든 패치를 롤백할 수 있도록 합니다. 이는 패치가 시스템 성능에 상당한 부정적인 영향을 미치는 경우(예: 스펙터/멜트다운 수정)에 특히 유용할 수 있으며 다른 완화 방법이 있습니다. 반면에 kpatch는 재부팅 없이 롤백하는 기능을 지원하지 않습니다. 이로 인해 비용이 많이 드는 서비스 중단이 발생하여 라이브 패치의 주요 이점이 손상될 수 있습니다.

패치가 예상대로 작동하지 않는 경우, 필요한 경우 이전 커널로 쉽게 되돌릴 수 있다는 점이 좋습니다. 시스템을 재부팅할 필요 없이 특수 명령을 실행하여 적용된 모든 변경 사항을 언제든지 롤백할 수 있으므로, kpatch가 제공할 수 없는 잠재적인 롤백으로 인한 중단을 제거할 수 있습니다.

또한, KernelCare Enterprise를 선택했다면 연간 서버당 60달러 미만의 경제적인 가격으로 이용할 수 있습니다. 지속적인 패치와 광범위한 Linux 배포판에 대한 지원을 제공하는 KernelCare는 비교적 풍부한 기능 세트도 제공합니다.

이미 RHEL 지원 플랜에 가입하지 않은 경우 kpatch를 구현하는 데 드는 비용이 상당히 높습니다. 그 이유는 프리미엄 지원 플랜에 가입한 Red Hat 고객만 kpatch를 사용할 수 있으며, 머신당 연간 1,299달러의 비용이 들기 때문입니다.

레드햇 프리미엄 지원 고객이고 서버에서 RHEL을 독점적으로 사용하는 경우, 레드햇과의 계약에 이미 포함되어 있으므로 kpatch를 고려할 수 있습니다.

여러 Linux 배포판을 혼합하여 실행하거나 Red Hat 지원 계약에 포함된 모든 추가 기능이 필요하지 않은 조직은 저렴한 비용과 광범위한 기능 세트를 고려할 때 KernelCare Enterprise를 kpatch의 대체 도구 중 하나로 진지하게 고려해야 합니다. 마지막으로, 많은 조직과 마찬가지로 kpatch의 제한된 커널 패치 수명 및 계획되지 않은 시스템 재부팅이 필요한 롤백에 따른 재부팅을 감당할 수 없다면 KernelCare가 최선의 선택입니다.

kpatch 라이브 커널 패치 메커니즘에서 KernelCare Enterprise로 전환하는 것은 간단합니다. 간단한 빠른 시작 스크립트만으로 KernelCare를 설치하기만 하면 Linux 시스템 전반에 걸쳐 지속적인 라이브 패치를 즐길 수 있습니다.

KernelCare Enterprise를 설치해도 기존 워크로드는 중단되지 않으며 kpatch의 원래 기능을 그대로 유지합니다. 하지만 영구 패치를 통해 중단을 완전히 최소화하여 재부팅할 필요가 없는 KernelCare는 훨씬 더 많은 기능을 수행합니다.