KernelCare와
비교 Oracle Ksplice

오라클은 재부팅 없이 리눅스 패치를 적용하는 기술을 선도적으로 개발했습니다. Ksplice는 대부분의 벤더들이 이에 필적할 만한 솔루션을 출시하기 훨씬 전부터 가동 중인 서버에 커널 수정 사항을 적용해 왔습니다. 이 기술은 확실히 효과가 있습니다. 진짜 문제는 이 기술을 사용하는 데 드는 비용이 얼마냐는 점입니다.

Ksplice는 독립형 제품이 아닙니다. 이는 Oracle Linux Premier Support의 기능 중 하나이므로, 재부팅 없이 적용되는 패치 기능은 고가의 Oracle 지원 구독과 함께 제공되며, 점점 더 Oracle 커널과도 묶여 제공되고 있습니다. Ksplice는 ‘Critical’ 및 ‘Important’ 등급의 취약점 중에서도 일부만 라이브 패치하며, 중요한 사용자 공간 라이브러리의 경우 스택의 상당 부분을 오프라인 상태로 만드는 일회성 재시작 후에야 수정하고, 패치를 적용하기 전에 시스템이 Oracle 커널을 사용하도록 강제합니다. 그 결과, 라이브 패치에는 보안 허점이 남게 되고, 시스템 가동 중단을 초래하며, 고객의 인프라를 점차 오라클 쪽으로 끌어당기게 됩니다.

TuxCare의 KernelCare는 바로 이러한 문제를 방지하기 위해 개발되었습니다. 이 서비스는 시스템이 현재 어떤 배포판을 사용 중이든 상관없이, 모든 커널 및 중요한 사용자 공간 취약점을 현장에서 바로 패치해 주며, 비용은 시스템당 연간 50달러입니다. 아래 비교표는 두 서비스의 차이점을 상세히 보여줍니다.

	Oracle Ksplice	KernelCare
지원되는 배포판	Oracle Linux (UEK / Red Hat 호환 커널) 및 Ubuntu; RHEL 커널은 지원되지 않습니다.	Oracle Linux 6–10, Ubuntu, Debian, RHEL, AlmaLinux, Rocky 및 기타 여러 배포판
패치된 취약점	🟡 선별된 중요 및 심각한 CVE	✅ 심각도에 관계없이 모든 CVE
지원되는 아키텍처	x86-64, ARM64	x86-64, ARM64
중요 사용자 공간(OpenSSL, glibc)에 대한 지원 범위	🟡 네, 하지만 오라클 리눅스(우분투 제외)에서 Ksplice를 지원하는 빌드에서만 가능하며, 한 번만 재시작하면 됩니다.	✅ 네
Kernel 패치 수명	🟡 커널이 유지 관리 대상 목록에서 제외되거나 프리미어 지원 기간이 만료되면 종료됩니다.	✅ 사실상 무제한
다음 운영 체제에 대한 라이브 패치: 지원 종료된 OS	🟡 오라클 리눅스 확장 지원(Oracle Linux Extended Support) 유료 애드온을 통해서만 이용 가능하며, 지원 범위는 중대한 오류 수정 사항으로만 제한됩니다.	✅ Oracle Linux 6, 7, 그리고 Ubuntu, RHEL, AlmaLinux 등 다양한 배포판
재부팅 없는 롤백 기능	✅ 네	✅ 네
중앙 집중식 에어갭 관리	❌ 자체 호스팅 옵션은 더 이상 지원되지 않습니다.	✅ 포함 (ePortal)
API 사용 가능	✅ 네	✅ 네
맞춤형 패치 배송	❌ 이용 불가	✅ 완전 관리형
애드온	-	LibCare, 맞춤형 패치
비용	Oracle Linux 프리미어 지원: CPU 1쌍당 연간 1,399달러 (프리미어 플러스 2,499달러)	시스템당 연간 50달러부터; 대량 구매 시 할인 혜택 제공

이 차트는 두 가지가 어떻게 다른지를 보여줍니다. 이 비교의 나머지 부분에서는 이러한 차이점들이 여러분이 실제로 운영하는 시스템에 어떤 의미를 지니는지 자세히 살펴보겠습니다.

단일 배포판만 운영하는 환경은 거의 없기 때문에, 패치 도구를 선택할 때 가장 먼저 확인해야 할 점은 해당 도구가 얼마나 다양한 배포판을 지원할 수 있는지입니다. 프리미어 지원(Premier Support)을 통해 Ksplice는 오라클의 UEK 및 RHCK 커널은 물론 우분투(Ubuntu)도 지원합니다. 중요한 점은, 오라클이 더 이상 RHEL 커널용 Ksplice 패치를 지원하지 않기 때문에 RHEL 자체는 Ksplice의 지원 범위에서 제외된다는 것입니다.

KernelCare는 이와 정반대의 입장을 취합니다. 이 도구는 RHEL, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, Amazon Linux, CloudLinux 등 70개 이상의 배포판 버전에 대해 설치 즉시 라이브 패치를 적용하므로, 단일 도구와 워크플로우만으로 다양한 운영 환경을 포괄할 수 있습니다.

라이브 패치(live patching)의 핵심은 취약점을 신속하게 수정하는 것이므로, 가장 먼저 확인해야 할 점은 해당 도구가 실제로 어떤 취약점을 수정하는지입니다. 당사의 자체 연구에 따르면, Ksplice는 ‘Critical’ 및 ‘Important’ 등급의 CVE 중에서도 일부만 패치합니다. 오라클은 자체적인 심각도 등급도 부여하는데, 이는 국가 취약점 데이터베이스(NVD)에서 CVE에 부여된 점수보다 낮을 수 있습니다. 이러한 등급은 표준 구성을 전제로 하기 때문에, 오라클이 우선순위를 낮게 책정한 결함이라도 특정 환경에서는 여전히 실질적인 보안 위협이 될 수 있습니다. 라이브 패치가 제공되지 않는다면, 이 결함은 다음 커널 업데이트와 재부팅이 이루어질 때까지 수정되지 않은 채로 남게 됩니다.

KernelCare는 심각도 등급에 관계없이 모든 커널 CVE에 대해 라이브 패치를 적용함으로써 불확실성을 해소하므로, 보안 적용 범위가 특정 CVE의 평가 점수에 좌우되지 않습니다.

라이브 패치 기능은 재시작 없이 전체 시스템의 보안을 유지해야 하지만, 대부분의 도구는 중요한 OpenSSL 및 glibc 라이브러리를 전혀 건드리지 않습니다. Ksplice는 중요한 사용자 공간 패치 기능을 제공하지만, 이는 Ksplice를 지원하는 라이브러리 빌드에만 적용되며, 이 경우에도 일회성 재시작이 필요합니다. 이러한 라이브러리는 사용자가 실행하는 거의 모든 프로그램의 기반이 되기 때문에, 재시작은 시스템 스택의 상당 부분을 중단시키는 결과를 초래할 수 있습니다.

KernelCare는 LibCare를 통해 이러한 격차를 해소하며, 지원되는 배포판 전반에 걸쳐 OpenSSL 및 glibc 공유 라이브러리에 메모리 내에서 패치를 적용함으로써, 해당 라이브러리에 의존하는 애플리케이션을 재시작할 필요 없이 보안 조치를 수행합니다. 가동 중단 없이 중요한 사용자 공간에 패치를 적용함으로써, 팀은 오프라인으로 전환할 수 없는 시스템에서도 PCI DSS 및 FedRAMP 시정 조치 기한을 준수하고 SOC 2 및 HIPAA 보안 요구 사항을 충족할 수 있습니다.

Ksplice를 사용하면 커널이 오라클의 유지보수 대상 목록에 포함되어 있고 프리미어 구독이 유효한 동안 패치 적용이 지속됩니다. 이 중 하나라도 만료되는 순간, 즉 커널이 목록에서 제외되거나 구독이 종료되는 즉시, 수정 프로그램을 계속 받으려면 yum update를 실행하고 시스템을 재부팅해야 합니다.

KernelCare는 패치에 유효기간을 두지 않습니다. 이 프로그램은 로드된 커널을 사용자가 계속 실행하는 동안 지속적으로 패치해 주며, 보호 상태를 유지하기 위해 강제 재부팅을 요구하지 않습니다.

워크로드는 대개 해당 배포판의 지원 기간보다 더 오래 사용됩니다. 지원 기간이 종료되면 공급업체의 보안 업데이트가 중단되는데, 이러한 시스템은 재부팅이나 재구축을 감당하기 가장 어려운 경우가 많습니다. 바로 이 때문에 라이브 패치 적용이 무엇보다 중요합니다. Ksplice는 ‘Oracle Linux Extended Support’를 구매한 경우에만 해당 지원 기간이 지난 릴리스에 대해 패치 적용을 계속해 주며, 이 서비스는 지원 범위를 중대한 오류 수정 사항으로만 제한하고, 지원 기간은 불과 몇 년 더 연장되며, 오라클 리눅스에만 적용됩니다.

반면 KernelCare는 Oracle Linux 6 및 7과 같이 지원이 종료된 배포판에 대해서도 지속적으로 실시간 패치를 제공하고 있으므로, 예정대로 폐기할 수 없는 시스템도 사용자가 자신의 일정에 맞춰 이전 계획을 세우는 동안 계속해서 보호받을 수 있습니다.

실제 환경에서 라이브 패치 적용은 중앙에서 관리되어야 하며, 인터넷 접속이 불가능한 네트워크에서 이루어지는 경우가 점점 늘고 있습니다. Ksplice와 KernelCare 모두 격리된 네트워크에 패치를 적용할 수 있습니다. 차이점은 관리 방식에 있습니다. Ksplice의 경우, 중앙 관리를 담당하던 자체 호스팅 제품인 Oracle Linux Manager는 더 이상 지원되지 않으며, 이를 대체하는 OS Management Hub는 오라클 클라우드에 지속적으로 연결되어 있어야 합니다. 완전한 에어 갭 환경에서는 로컬 미러와 오프라인 클라이언트를 수동으로 유지 관리해야 합니다.

KernelCare에는 추가 라이선스 비용 없이 격리된 네트워크 내에서 실행되는 자체 호스팅 패치 서버인 ePortal이 포함되어 있습니다. 이 서버는 피드 제공, 단계별 배포, 제어된 배포 및 로컬 인벤토리 관리 기능을 제공하므로, 관리 계층이 공급업체의 클라우드가 아닌 에어 갭 내부에 위치하게 됩니다.

일부 환경에서는 공급업체가 아직 배포하지 않은 수정 사항이나, 해당 환경의 구성에 맞춰 제작된 패치가 필요한 경우가 있습니다. Ksplice는 맞춤형 패치를 전혀 제공하지 않습니다. Ksplice의 카탈로그는 오라클이 오라클 리눅스 구성 요소용으로 배포하는 항목으로만 제한되어 있으므로, 그 범위를 벗어난 항목은 아예 이용할 수 없습니다.

KernelCare는 TuxCare 엔지니어들이 고객을 대신해 구축, 테스트 및 유지보수하는 완전 관리형 맞춤형 패치를 제공하며, 여기에는 특수 버전 및 비표준 구성도 포함됩니다. 이를 통해 고객은 사내에서 라이브 패치를 직접 개발하는 데 따르는 업무 부담과 위험을 감수하지 않고도 필요한 수정 사항을 적용할 수 있습니다.

KernelCare는 커널 라이브 패치 서비스를 제공하며, 시스템당 연간 50달러부터 시작됩니다. 오라클 구독이나 커널 마이그레이션 없이도 기존 OS에서 바로 사용할 수 있습니다. OpenSSL 및 glibc에 대한 사용자 공간 라이브 패치 기능은 LibCare 애드온을 통해 이용할 수 있습니다. 반면 Ksplice는 별도의 요금이 부과되지 않지만, CPU 페어당 연간 1,399달러(Premier Plus: 2,499달러)로 책정된 Oracle Linux Premier Support를 기반으로 운영됩니다.

이 격차는 시스템 군 단위로 볼 때 가장 두드러집니다. KernelCare를 이용하면 100대의 시스템에 대해 재부팅 없이 완전한 지원을 받는 데 연간 약 5,000달러가 듭니다. 반면, 동일한 시스템 군에 대해 Oracle Linux Premier Support를 이용할 경우, 비오라클 시스템을 오라클 커널로 마이그레이션하는 엔지니어링 비용을 제외하더라도 연간 약 139,900달러가 소요되는데, 이는 약 28배나 더 비싼 금액입니다.

만약 귀사의 환경이 이미 오라클 리눅스 프리미어 지원(Oracle Linux Premier Support)을 전면적으로 도입하고 있다면, Ksplice는 해당 번들에 포함되어 있으므로 당연한 선택처럼 보일 수 있습니다. 이번 비교의 핵심은 바로 그 번들이 다른 모든 사용자에게 요구하는 바가 무엇인지에 있습니다:

• 이 기능은 ‘중대’ 및 ‘중요’ 등급의 취약점 중에서도 일부만 실시간 패치하며, 나머지는 다음 커널 업데이트와 재부팅 시까지 미루게 됩니다.
• RHEL 및 기타 시스템은 오라클 커널로 마이그레이션해야 합니다.
• 사용자 공간 패치 기능을 사용하려면 Ksplice를 지원하는 라이브러리를 빌드해야 하며, 이 기능은 Oracle Linux에서만 사용할 수 있습니다.
• 이 혜택은 프리미어 구독이 유효한 기간 동안에만 적용됩니다.
• 그 모든 요소가 사용자를 오라클의 스택 속으로 더 깊이 끌어들이고 있습니다.

KernelCare는 이러한 절충점을 해소하기 위해 개발되었습니다. 이 솔루션은 심각도나 지원 종료 시점을 불문하고 커널과 사용자 공간에 지속적으로 패치를 적용하며, 완전 관리형 맞춤형 패치와 에어갭 관리 기능을 포함하고 있음에도 불구하고, 프리미어 라이선스 비용의 극히 일부만 청구됩니다. 따라서 혼합 환경을 운영 중이거나, 오라클 커널로 마이그레이션하기를 원치 않는 RHEL 환경을 보유하고 있거나, 단순히 오라클에 대한 의존도를 더 깊게 빠지는 것을 피하고 싶다면, KernelCare는 더 폭넓고, 더 간단하며, 훨씬 더 경제적인 선택입니다.

KernelCare로의 전환은 간단하며 OS 마이그레이션이 필요하지 않습니다. 단 하나의 퀵스타트 스크립트로 에이전트를 설치하면, 시스템은 커널 및 중요한 사용자 공간 전반에 걸쳐 지속적인 실시간 패치 적용을 받기 시작합니다.

이 서비스를 가장 먼저 체험해 보고 싶은 팀을 위해 KernelCare는 모든 기능을 이용할 수 있는 30일 무료 체험판을 제공하므로, 정식 가입 전에 중단 없는 서비스 이용이 가능한지 확인해 보실 수 있습니다.