Ksplice: Visão geral dos serviços de correção dinâmica para empresas

Antes de 2008, a única maneira de instalar novos patches nos kernels do Linux era o comando `yum update kernel`. Logo ficou claro que aqueles que usavam servidores 24 horas por dia, 7 dias por semana, ficariam incomodados com as atualizações constantes, assim como os administradores que precisavam atualizar centenas de servidores manualmente. A única solução para o tempo de inatividade era adiar a instalação até o fim de semana, o que dava aos hackers tempo suficiente para explorar vulnerabilidades.

A história comercial da aplicação de patches em tempo real no kernel começou com o Ksplice. Atualmente, além dos kernels do Linux, o Ksplice também lança patches para bibliotecas compartilhadas e APIs. Esses patches podem ser aplicados em tempo real, desde que não alterem a infraestrutura dos dados.

A aplicação comercial de patches em tempo real cresceu significativamente ao longo dos anos, sendo os clientes corporativos seus principais consumidores. Atualmente, as empresas operam uma grande variedade de servidores Linux, dependendo de finalidades específicas, o que cria redes homogêneas. Como consumidor, você pode instalar uma solução de gerenciamento de patches levando em conta sua relação custo-benefício e a versatilidade dos serviços oferecidos. Se você estiver no processo de tomar essa decisão, apresentaremos uma visão geral do Ksplice, com foco em suas opções de instalação, implantação e assinatura.

Índice:

1. A história da Ksplice
2. Como funciona: correção dinâmica persistente x temporária
3. Ksplice Uptrack
4. Como instalar o Ksplice Uptrack
5. Como atualizar o kernel do Oracle Linux usando o Ksplice
6. O que é o Ksplice Enhanced Client e como gerenciá-lo
7. Desvantagens do Ksplice Uptrack
8. Leitura complementar sobre o Ksplice
9. Conclusão

A história da Ksplice

Em 2008, Jeff Arnold uniu forças com outras pessoas para buscar uma solução para atualizar kernels do Linux sem precisar reiniciar o sistema e causar interrupções. Eles criaram o Ksplice e fundaram a Ksplice, Inc. A empresa venceu o Global Security Challenge e a Competição de Empreendedorismo de US$ 100 mil do MIT. O Ksplice era um software de código aberto, mas a Ksplice, Inc. tornou seu uso ainda mais fácil.

Em 2015, o Ksplice passou a estar disponível gratuitamente no Ubuntu e no Fedora. A Oracle adquiriu a Ksplice, Inc. em 2011; em 2016, integrou-o ao Unbreakable Enterprise Kernel Release 4 para o Oracle Linux 6 e 7. O Ksplice estava disponível como software de código aberto até ser adquirido pela Oracle em 2011, o que levou os administradores a buscar novas alternativas para a aplicação de patches em tempo real. Muitos deles desenvolveram seus próprios softwares para a aplicação de patches em tempo real.

O KernelCare foi uma das soluções para aplicação de patches em tempo real desenvolvida quando o Ksplice estava disponível apenas por meio da Oracle. Sua abordagem à aplicação de patches em tempo real permite que os clientes apliquem patches em qualquer tipo de sistema Linux, de modo que não é necessário ter vários aplicativos caros.

Como funciona: correção dinâmica persistente x temporária

Quando uma vulnerabilidade de segurança ou um bug crítico é detectado no kernel do Linux, a Oracle prepara um novo kernel para ser lançado por meio de uma atualização sem necessidade de reinicialização. A atualização é distribuída pelo servidor Oracle Ksplice Uptrack, sem causar qualquer interrupção nos seus sistemas.

Quando se trata de aplicação de patches em tempo real, existem dois métodos básicos: persistente e temporário. Um patch persistente, que é o caso do Ksplice, não requer reinicialização. A aplicação temporária do patch é feita sem reinicialização, mas ainda assim é necessário reiniciar o servidor posteriormente.

A aplicação contínua de patches em tempo real conta com um servidor de patches dedicado que armazena os patches e incorpora os novos aos antigos. Há um programa que é executado em segundo plano e verifica regularmente se há novos patches, instalando-os conforme necessário. A aplicação contínua de patches não deixa o sistema lento, pois cada patch contém todas as correções cumulativas em um único arquivo binário, e não é necessário reiniciar o sistema. Um servidor que opera dessa forma pode funcionar ininterruptamente por anos sem problemas.

A aplicação temporária de patches em tempo real exige que você instale um software de gerenciamento no servidor. Quando um patch está pronto para ser baixado, o software o instala conforme necessário. Esse método exige que você reinicie os servidores, e os patches não são integrados de forma contínua, como ocorre com um software persistente. Em vez disso, os patches simplesmente se acumulam uns sobre os outros com o tempo, o que pode levar à redução da estabilidade e do desempenho. A única maneira de resolver esse acúmulo é reiniciar os servidores.

O método persistente é superior porque não é necessário reiniciar o sistema, de modo que não há interrupção no serviço; isso ajuda a impedir que hackers aproveitem o tempo de inatividade para invadir o sistema. Existem apenas dois sistemas de aplicação de patches em tempo real que utilizam o método persistente: o Ksplice e o CloudLinux KernelCare.

Ksplice Uptrack

O Uptrack é um serviço por assinatura que possui uma interface web que resume informações sobre seus sistemas e avisa quando o Ksplice está trabalhando em uma nova atualização para você. Você receberá notificações sobre atualizações em andamento, novos lançamentos do Uptrack e máquinas inativas que não estejam usando o Uptrack ou que não estejam se comunicando com os servidores do Uptrack.

Você também pode ver detalhes detalhados sobre cada máquina no seu servidor, incluindo atualizações disponíveis, informações básicas sobre o sistema e quando ela se comunicou pela última vez com os servidores do Uptrack.

O Uptrack oferece um Cliente Offline que elimina a necessidade de um servidor na sua intranet estar conectado diretamente aos servidores do Oracle Uptrack. Isso permite que você tenha mais controle sobre como as atualizações são instaladas em seus sistemas.

Como instalar o Ksplice Uptrack

Tecla de acesso

Antes de instalar o Ksplice Uptrack, você precisará obter uma chave de acesso fazendo login na Unbreakable Linux Network e seguir as instruções para registrar seu sistema.

Proxy

É necessário ter acesso à internet durante a instalação do Ksplice Uptrack. Caso pretenda usar um proxy, configure-o no shell da seguinte forma:

# export http_proxy=http://proxy.example.com:port

# export https_proxy=http://proxy.example.com:port

The proxy string should be of the form [protocol://][username:password@]<host>[:port], where:

• protocolo é o protocolo utilizado para se conectar ao proxy (http ou https)
• O nome de usuário e a senha são as informações de autenticação necessárias para usar seu proxy (se houver).
• host e port são o nome do host/endereço IP e o número da porta usados para se conectar ao proxy

O proxy deve suportar o estabelecimento de conexões HTTPS.

Instalação

Depois de obter a chave de acesso, você poderá iniciar a instalação do Ksplice Uptrack. Será necessário executar estas instruções como root, substituindo YOUR_ACCESS_KEY pela chave de acesso que você possui.

Instalação automática de atualizações

Se você quiser receber as atualizações automaticamente, siga estas instruções:

Por dentro da Oracle Cloud:

# wget -N https://ksplice.oracle.com/uptrack/install-uptrack-oc

# sh install-uptrack-oc –autoinstall

Para todas as outras instalações:

# wget -N https://ksplice.oracle.com/uptrack/install-uptrack

# sh install-uptrack SUA_CHAVE_DE_ACESSO –autoinstall

Aplique as atualizações disponíveis com:

# uptrack-upgrade -y “

Instalação manual da atualização

Se você quiser atualizar o Uptrack manualmente, siga estas instruções:

Por dentro da Oracle Cloud:

# wget -N https://ksplice.oracle.com/uptrack/install-uptrack-oc

# sh install-uptrack-oc

Para todas as outras instalações:

# wget -N https://ksplice.oracle.com/uptrack/install-uptrack

# sh install-uptrack SUA_CHAVE_DE_ACESSO

Aplique as atualizações disponíveis com:

# uptrack-upgrade -y “

Como atualizar o kernel do Oracle Linux usando o Ksplice

Quando for necessário aplicar atualizações do Ksplice, execute o comando `uptrack-upgrade -y`. Isso permitirá que você aplique todas as atualizações disponíveis de uma só vez; caso contrário, você pode optar por aplicar cada atualização individualmente, executando um ID específico do Ksplice.

Se você quiser ver quais atualizações foram instaladas, execute o comando `uptrack-show`. Para ver quais atualizações estão disponíveis no momento para instalação, execute o comando ` uptrack-show –available`.

Para remover as atualizações do Ksplice, execute o comando `uptrack-remove`. Você pode optar por remover todas as atualizações ou remover atualizações específicas por meio de seus IDs do Ksplice. Depois de fazer isso, você pode executar o comando `uptrack-show` para verificar se todas as atualizações foram desinstaladas ou se as atualizações que você desejava remover foram desinstaladas com sucesso.

O que é o Ksplice Enhanced Client e como gerenciá-lo

O Ksplice Enhanced Client está disponível apenas para o Oracle Linux 6. Trata-se de uma versão aprimorada do cliente Ksplice online que oferece suporte a atualizações para o kernel e o espaço do usuário, podendo ser utilizado para aplicar patches no hipervisor Xen nos servidores Oracle. Ele permite aplicar patches em páginas na memória provenientes de bibliotecas compartilhadas, como o OpenSSL e a glibc, para processos do espaço do usuário. Essa aplicação de patches permitirá que você instale correções de bugs e proteja seu sistema contra vulnerabilidades sem a necessidade de reiniciar serviços e processos. O Enhanced Client está disponível tanto online quanto offline.

Para gerenciar o Ksplice Enhanced Client, em vez de usar os comandos do Uptrack, utilize os comandos do ksplice. Esses comandos permitem que você aplique patches tanto no kernel quanto no espaço do usuário. Para visualizar os processos em execução no espaço do usuário que estão disponíveis para a aplicação de patches, execute o comando `ksplice all list-targets`. Se você quiser ver apenas os alvos do hipervisor Xen disponíveis para aplicação de patches, execute `ksplice xen list-targets`. Para ver quais atualizações estão no sistema, execute `ksplice all show`. Se precisar remover todas as atualizações, execute `ksplice user remove –all –pid=705`; e, para remover apenas atualizações específicas, execute `ksplice user undo –pid=705 h73qvumn`.

Para ver as atualizações disponíveis, execute o comando de atualização: ` ksplice -y user upgrade`. Para ver todas as atualizações que foram aplicadas, execute `ksplice kernel show`. Para remover todas as atualizações, execute `ksplice kernel remove –all`.

Desvantagens do Ksplice Uptrack

Embora o Ksplice tenha vantagens, ele também apresenta algumas desvantagens. Como a Oracle é proprietária do Ksplice, ele está disponível apenas para Oracle Linux, Ubuntu, Red Hat Enterprise Linux e CentOS. Além disso, é necessário ter uma licença de suporte, e o preço começa em US$ 1.399 por ano por sistema.

Leitura complementar sobre o Ksplice

Para obter mais informações sobre o Ksplice, você pode acessar:

• A comunidade online da Oracle, onde você pode interagir com outros clientes, desenvolvedores e parceiros, está disponível aqui: https://community.oracle.com/hub/
•  O blog da Oracle, que aborda diversos assuntos, desde o Ksplice até o setor financeiro, pode ser acessado em: https://blogs.oracle.com

Conclusão

O Ksplice pode ter sido o pioneiro na aplicação automática de patches para kernels do Linux sem necessidade de reinicialização, mas depois que a Oracle passou a disponibilizá-lo exclusivamente para o Oracle Linux e o Red Hat Enterprise Linux, tornou-se necessário ter uma licença da Oracle para utilizá-lo. Embora a Oracle desenvolva excelentes produtos e plataformas, muitas pessoas adotam uma abordagem mais diversificada em relação aos seus sistemas.

O KernelCare preenche a lacuna que a Oracle criou ao tornar o código-fonte do Ksplice fechado em 2011. O KernelCare adota uma abordagem agnóstica em relação aos kernels do Linux, oferecendo suporte a todos os tipos de Linux disponíveis, incluindo os da Oracle e da Red Hat, e você não precisa ter uma licença cara da Oracle para usar o KernelCare.

Se você utiliza mais do que apenas os produtos da Oracle, provavelmente está usando várias opções de software de aplicação de patches em tempo real para garantir que tudo permaneça protegido contra vulnerabilidades e bugs. No entanto, como apenas o Ksplice e o KernelCare oferecem aplicação de patches persistente, qualquer outro software de aplicação de patches que você esteja usando acabará exigindo que você reinicie o sistema; caso contrário, ele começará a ficar mais lento com o tempo. Assim, você continuará deixando seu sistema vulnerável a hackers, o que vai contra o objetivo de usar a aplicação de patches em tempo real. O KernelCare elimina a necessidade de usar outros softwares de aplicação de patches, de modo que você nunca mais precisará reiniciar seus sistemas para aplicar atualizações.

Se você já utiliza o Ksplice, mas deseja mudar para o KernelCare, é possível fazer a troca de software sem interrupções, sem a necessidade de tempo de inatividade ou reinicializações do servidor.

Para saber mais sobre o KernelCare e seus recursos, e para ver uma entre o KernelCare e o Ksplice — bem como de outros softwares de correção dinâmica —, visite nosso site e comece hoje mesmo a usar uma abordagem mais independente e acessível para suas atualizações do kernel do Linux!

Obtenha uma versão de avaliação GRATUITA de 7 dias do KernelCare com suporte técnico 

Confira outras visões gerais sobre serviços de patching ao vivo:

Visão geral dos serviços de correção dinâmica para empresas: Destaque para o Livepatch da Canonical

Visão geral dos serviços de correção dinâmica para empresas: Destaque para o kpatch

Visão geral dos serviços de correção dinâmica para empresas: Destaque para o Amazon Kernel Live Patching