O Guia Definitivo para o Gerenciamento de Patches no Linux

Os administradores de sistema que trabalham em ambientes corporativos sabem que a aplicação de patches é praticamente um trabalho em tempo integral. Considere o esforço envolvido na aplicação de patches em apenas um sistema: um administrador de sistema precisa verificar se há um patch disponível, planejar o tempo de inatividade ou interrupção, baixar o patch, implantá-lo no sistema e garantir que ele retorne ao estado anterior. 

É um processo e tanto, e isso se refere a apenas uma máquina. No ambiente corporativo, há centenas de servidores para gerenciar, o que significa que a tarefa de aplicar patches se torna uma responsabilidade que ocupa o dia inteiro. Há também um risco significativo de falhas na reinicialização após a instalação de um patch.

É por isso que os administradores de sistemas precisam encarar a aplicação de patches sob a perspectiva do gerenciamento de patches. Em nosso guia definitivo sobre gerenciamento de patches no Linux, explicamos como os administradores de sistemas podem economizar tempo e organizar os patches usando ferramentas de automação, o que eles podem fazer para gerenciar melhor os riscos relacionados à aplicação de patches, e explicamos por que a aplicação de patches em tempo real é uma ferramenta revolucionária para a aplicação de patches corporativos.

 

Por que o gerenciamento de patches é diferente da aplicação de patches?

 

Os administradores poderiam simplesmente aplicar as atualizações nos sistemas Linux manualmente — indo de máquina em máquina ou de nó em nó para realizar a atualização. No entanto, há o risco de erro humano, e pode ser difícil reverter a atualização caso surjam problemas.

Quando uma atualização dá errado, isso pode causar longos períodos de inatividade, enquanto a aplicação manual de atualizações também pode ser extremamente demorada. 

Facilite o trabalho dos administradores de gerenciamento de patches automatizando todo o processo. Integrar um sistema de gerenciamento de patches ao seu fluxo de trabalho permitirá que você detecte atualizações automaticamente, faça o download delas e, em seguida, as implante em todos os servidores. 

Os administradores de sistemas podem levar a automação um passo adiante ao implementar a aplicação de patches em tempo real, o que elimina o processo de reinicialização normalmente necessário após a atualização do Linux. Abordamos a aplicação de patches em tempo real nesta seção.

 

Por que o gerenciamento de patches é importante?

 

Servidores web voltados para o público que não receberam atualizações representam um problema crítico para a segurança cibernética, mas a segurança cibernética não é a única razão para aplicar atualizações no Linux. As atualizações também corrigem bugs e adicionam novas funcionalidades. Atualizações de grande porte podem agregar funcionalidades significativas a um sistema operacional e podem ser necessárias para manter a compatibilidade dos aplicativos a longo prazo.

Quando os patches não são aplicados, eles se acumulam. Quanto mais os administradores demoram para aplicar os patches em um sistema, mais trabalho será necessário para deixá-lo em dia. Isso aumenta o tempo necessário para aplicar todos os patches em um sistema usado para montar um servidor Linux e agrava o risco de que algo dê errado.  

As correções urgentes disponibilizadas pelos fornecedores e desenvolvedores de distribuições são os patches mais importantes a serem aplicados e devem ser instaladas imediatamente. Essas correções resolvem problemas críticos no sistema operacional e recebem prioridade por um bom motivo.

 

Com que frequência o gerenciamento de patches deve ser realizado?

 

A aplicação de patches não é uma tarefa ocasional. O gerenciamento de patches exige um trabalho contínuo e ininterrupto dos administradores de sistemas em quase todos os dias do ano. No entanto, alguns patches devem ser aplicados imediatamente, enquanto outros podem passar por um processo mais extenso de testes antes da implantação.

Quando uma correção de segurança crítica é lançada, é importante que os administradores a testem e a implementem o mais rápido possível. 

As vulnerabilidades de dia zero representam uma ameaça real para as organizações e seus ativos digitais. Quando uma vulnerabilidade de dia zero é divulgada, os agentes mal-intencionados criam rapidamente exploits para explorar quaisquer sistemas que não tenham recebido as correções adequadas. Vulnerabilidades não corrigidas são uma forma comum que os invasores utilizam para invadir os sistemas corporativos – e são os vetores de ataque mais comuns utilizados por grupos de ransomware.

Para reduzir o risco de uma violação de dados, as organizações devem implementar rapidamente as correções de segurança assim que elas forem lançadas.

Para atualizações de recursos e correções de segurança menos críticas, a aplicação de patches deve ser feita após testes exaustivos em um ambiente de teste. Os ambientes de teste devem ser uma réplica do ambiente de produção para garantir que haja uma correspondência exata (1:1) durante os testes; caso contrário, erros podem causar tempo de inatividade no ambiente de produção. Embora os testes sejam importantes, uma boa regra geral é aplicar os patches dentro de 30 dias após os fornecedores disponibilizá-los.

Em um ambiente de grande empresa, novas atualizações costumam ser lançadas diariamente, o que implica em testes e implantações constantes. Verificar manualmente se há novos patches todos os dias é tedioso, e é aí que entra a automação do gerenciamento de patches.

 

Problemas comuns que você pode encontrar ao aplicar patches

 

A aplicação de patches é uma atividade essencial, mas apresenta algumas armadilhas. Vale a pena ter em mente algumas das armadilhas comuns no gerenciamento de patches ao elaborar sua estratégia de gerenciamento de patches para Linux (que discutiremos na próxima seção):

 

Interrupções causadas por reinicializações: se você não utilizar a aplicação de patches em tempo real, é preciso estar ciente dos efeitos que as reinicializações terão sobre suas operações. Isso significa programar janelas de manutenção ou, no caso de alta disponibilidade, garantir que a aplicação de patches ocorra apenas em horários de menor movimento, quando seu sistema de alta disponibilidade ainda não estiver sobrecarregado. 

Máquinas atualizadas não retornam ao estado anterior: Da mesma forma, ao reiniciar a máquina, você corre o risco de que ela nem sempre simplesmente inicie e continue de onde parou, e precisa estar preparado para restaurá-la ao seu estado anterior. Uma maneira de mitigar esses riscos é por meio do fortalecimento do sistema Linux, o que envolve configurar o sistema para minimizar vulnerabilidades e garantir a estabilidade antes e depois da aplicação de patches. Ao implementar as melhores práticas de segurança e otimizações do sistema, os administradores podem reduzir as chances de falhas inesperadas após a atualização.

Falta de recursos humanos: mesmo com os melhores planos, você ainda pode perceber que o grande volume de atualizações e patches pode se tornar insuportável. Priorizar e utilizar ferramentas de automação do Linux, na medida do possível, é fundamental para superar as limitações de recursos. Essas ferramentas podem automatizar tarefas rotineiras de aplicação de patches, garantindo que os administradores de sistemas possam se concentrar em questões mais críticas sem ficarem sobrecarregados com atualizações manuais.

Grandes mudanças no software: esteja atento a grandes atualizações que podem prejudicar o funcionamento das funcionalidades existentes. Mesmo quando uma atualização foi exaustivamente testada, recomenda-se cautela: quanto maior for a atualização, mais atenção e cuidado você deve ter ao distribuí-la por toda a empresa.

As atualizações podem apresentar erros: com exceção de correções críticas de segurança, você deve sempre testar as atualizações antes da implantação – mas, mesmo após testes rigorosos, existe o risco de que uma atualização venha a apresentar erros a longo prazo.

As atualizações afetam o uso de recursos: em alguns casos, uma correção pode adicionar tantos novos recursos e alterar tanto o funcionamento de um sistema que este acaba consumindo muito mais recursos para tarefas cotidianas. Isso pode não ser detectado durante os testes e causar uma lentidão nas suas operações.

 

Para evitar alguns dos problemas comuns que podem surgir durante a aplicação de patches, é recomendável elaborar uma estratégia de gerenciamento de patches para o Linux e seguir as melhores práticas nessa área.

 

O que são estratégias de gerenciamento de patches no Linux?

 

A automação da aplicação de patches é uma ferramenta essencial, mas, antes de partir para a ação e começar a aplicar patches, vale a pena discutir a estratégia de gerenciamento de patches. 

Ao contrário dos sistemas operacionais de código fechado, como o Windows, a aplicação de patches no Linux pode ser um pouco mais imprevisível e complexa. O código aberto tem suas vantagens, mas uma desvantagem é utilizar um sistema operacional no qual as alterações são feitas por diversos colaboradores. Basta uma única alteração incompatível para afetar toda a sua organização.

Para reduzir parte da sobrecarga e dos transtornos decorrentes de um gerenciamento inadequado de patches, aqui estão algumas estratégias e práticas recomendadas a serem incorporadas aos seus procedimentos:

 

Criar uma política de gerenciamento de patches: Essa política deve incluir todas as etapas, incluindo testes de garantia de qualidade (QA), frequência da aplicação de patches, quaisquer procedimentos de reversão e quem é responsável pela aprovação das alterações no sistema operacional.

Utilize ferramentas de varredura para identificar vulnerabilidades: Sejam servidores voltados para o público ou hosts internos que executam aplicativos corporativos, as varreduras de vulnerabilidades identificarão sistemas sem patches e ajudarão a evitar explorações comuns.

Use os relatórios para identificar patches com falha: Como saber se um patch foi instalado com sucesso? Uma boa solução de gerenciamento de patches oferece um painel central que exibe relatórios sobre instalações de patches bem-sucedidas e com falha, para que os administradores possam analisar e aplicar manualmente um patch, se necessário.

Implemente as correções assim que os testes forem concluídos: Os testes são importantes antes da implantação, mas assim que os testes derem sinal verde para a implantação, os patches devem ser instalados em todo o ambiente.

Documentar as alterações no ambiente: Normalmente, a documentação é feita por meio do controle de mudanças, no qual funcionários autorizados aprovam as atualizações no ambiente. Essa etapa é importante na análise de períodos de inatividade e na identificação da causa raiz. Também é importante para fins de auditoria e conformidade.

 

A lista acima lhe dará um ponto de partida para sua estratégia de gerenciamento de patches. Ao aplicar essa estratégia, você também deve levar em consideração as melhores práticas de gerenciamento de patches e vulnerabilidades para garantir uma proteção abrangente em todo o seu ambiente Linux.

 

Melhores práticas para a aplicação de patches

 

A organização SysAdmin, Audit, Network e Security (SANS) é uma boa fonte de melhores práticas para o gerenciamento de patches. As diretrizes de melhores práticas da SANS oferecem aos administradores um roteiro sobre como implementar uma política corporativa que documente, audite e avalie os riscos em toda a organização para determinar quando e como os patches devem ser implantados. As oito recomendações de melhores práticas da SANS são:

 

Faça um levantamento do seu ambiente: Para aplicar patches de forma abrangente, você precisa saber o que precisa ser corrigido; portanto, deve elaborar uma lista auditada de todos os sistemas Linux na rede.

Atribuir níveis de risco a cada servidor: Os níveis de risco indicam aos administradores quais servidores são mais importantes e devem receber prioridade. Todos os sistemas devem receber as atualizações, mas concentrar-se nos servidores mais importantes reduzirá o risco de eles serem comprometidos enquanto os testes e outras tarefas de atualização estiverem em andamento.

Consolide os softwares de gerenciamento de patches em uma única solução: Ferramentas de automação são úteis, mas o uso de muitas ferramentas diferentes para fazer alterações no ambiente pode levar a erros e possíveis condições de corrida.

Analisar os comunicados dos fornecedores sobre patches regularmente: As ferramentas de automação baixam as atualizações automaticamente, mas os administradores devem permanecer atentos para saber quando novos patches estão disponíveis, especialmente os críticos.

Mitigar os riscos de falhas na aplicação de patches: Não é incomum que os administradores suspendam as atualizações devido a um problema com exceções. Quando isso ocorre, os servidores devem ser bloqueados, se possível, para limitar o potencial de exploração.

Sempre teste as atualizações primeiro no ambiente de teste: Um ambiente de teste deve replicar o ambiente de produção para que os patches possam ser testados e para reduzir o risco de tempo de inatividade.

Aplique as atualizações o mais rápido possível: Quanto mais tempo um servidor permanecer sem correções, maior será o risco de ser comprometido devido a uma vulnerabilidade conhecida.

Utilize ferramentas de automação: As ferramentas de automação reduzem significativamente a carga de trabalho dos administradores e aplicam automaticamente as correções assim que elas ficam disponíveis.

 

Leitura relacionada: Por que o “live patching” é uma ferramenta revolucionária de segurança cibernética

 

Como funciona um software automatizado de gerenciamento de patches para Linux?

 

O gerenciamento automatizado de patches atua em várias camadas, sendo a verificação de vulnerabilidades uma delas. Para evitar se tornar o próximo caso de violação de dados que ganhe destaque na mídia, as organizações devem realizar verificações de vulnerabilidades em todos os dispositivos. 

As varreduras de vulnerabilidades identificam se há patches ausentes, permitindo que os administradores apliquem rapidamente as correções e implantem atualizações antes que as ameaças possam ser exploradas. Existem alguns bons scanners de vulnerabilidades disponíveis que tornam essa primeira etapa muito mais eficiente e prática. Esses scanners são:

 

• Qualys
• Nessus
• Rapid7

 

Assim que a verificação for concluída, é hora de as ferramentas de gerenciamento de patches assumirem o controle. Várias ferramentas disponíveis no mercado tornam a aplicação de patches muito mais prática para os administradores. 

As melhores ferramentas geram relatórios sobre patches bem-sucedidos e com falha, para que os administradores saibam quando também são necessárias atualizações manuais. As ferramentas de gerenciamento de patches, portanto, fornecem uma visão abrangente do estado atual da segurança cibernética do ambiente corporativo. Algumas das ferramentas disponíveis para gerenciar patches incluem:

 

• Yum – usado no Red Hat Enterprise Linux (RHEL)
• Ansible
• Boneco
• SaltStack
• Chef
• Caminhada espacial

 

A principal vantagem das ferramentas acima é uma melhor organização, pois elas baixam as atualizações e, em seguida, reportam os resultados aos administradores. Nesse processo, a ferramenta certa pode minimizar a desorganização que pode ocorrer quando o gerenciamento de patches é realizado em um ambiente de grande porte. 

Os administradores também podem agendar correções, definir suas próprias políticas de implantação, testar e, em seguida, aprovar as atualizações antes da implantação.

 

Como a aplicação de patches em tempo real se encaixa em uma estrutura de gerenciamento de patches?

 

As ferramentas de gerenciamento de patches oferecem maior organização aos administradores, mas as reinicializações continuam sendo um grande problema. Reinicializar um servidor Linux crítico significa tempo de inatividade da máquina para a organização, e esse tempo de inatividade precisa ser gerenciado de alguma forma. 

Isso poderia incluir alta disponibilidade (embora a aplicação de patches ainda afetasse o desempenho) ou o agendamento de janelas de manutenção e a programação da aplicação de patches durante horários de menor movimento. Isso significa que os patches poderiam ser adiados até que fosse conveniente, o que deixa os servidores sem patches vulneráveis por mais tempo. A aplicação de patches em tempo real aprimora todo o processo, eliminando a necessidade de reinicialização.

A eliminação das reinicializações também traz outras vantagens — incluindo a redução dos riscos inerentes ao processo de reinicialização. E se o sistema não reiniciar? E se houver vários servidores críticos que precisem receber patches e ser reiniciados simultaneamente?

Um administrador de sistemas pode ter vários servidores críticos que sustentam toda a organização e que precisam, urgentemente, de correções para uma vulnerabilidade, e existe o risco de que vários desses servidores não consigam reiniciar normalmente. Com a aplicação de correções em tempo real, esse risco é eliminado.

 

O KernelCare funciona em conjunto com ferramentas de gerenciamento de patches?

 

O KernelCare é uma ferramenta de aplicação de patches em tempo real para Linux que se integra às soluções existentes de gerenciamento de patches. A aplicação de patches continua sendo agendada, testada, baixada e implantada a partir da ferramenta de gerenciamento de patches. No entanto, o KernelCare adiciona recursos de aplicação de patches em tempo real e elimina a necessidade de reinicialização.

A aplicação de patches em tempo real do KernelCare funciona em quatro etapas simples:

 

1. Alocar memória do kernel e carregar um código novo e seguro na memória.
2. Congele temporariamente todos os processos no modo de segurança.
3. Modifique as funções e passe para um novo código seguro, que corrige a vulnerabilidade.
4. Descongela processos e retoma a atividade.

 

O melhor é que você não precisa reiniciar a máquina que está recebendo a correção para aplicar o patch. Com a aplicação de patches em tempo real do KernelCare, o código atualizado é aplicado de forma contínua, sem intervenção do administrador de sistemas e sem qualquer interrupção.

Se você estiver usando alguma das ferramentas de aplicação de patches que mencionei anteriormente (por exemplo, Ansible, Puppet, Chef, SaltStack), poderá usar exatamente essas mesmas ferramentas para implantar o KernelCare — não é necessário instalar o KernelCare manualmente em cada servidor. Com essas ferramentas, os administradores podem:

 

1. Distribua o pacote do agente KernelCare (necessário apenas nos casos em que os servidores não têm acesso à internet)
2. Distribua o arquivo de configuração do agente KernelCare /etc/sysconfig/kcare/kcare.conf
3. Definir variáveis de ambiente
4. Instale o agente do KernelCare a partir de servidores de download locais ou remotos
5. Registre o KernelCare com licenças baseadas em chave ou em IP

 

Além de facilitar a distribuição e a integração com os aplicativos atuais de implantação de patches, o KernelCare também envia um relatório de “kernel seguro” a quaisquer scanners de vulnerabilidades que verifiquem seus servidores em busca de vulnerabilidades. 

Com o KernelCare, seus servidores Linux recebem correções automaticamente, sem a necessidade de reinicialização, e os verificadores de vulnerabilidades indicarão que seus servidores estão atualizados e em dia com as correções de vulnerabilidades.

 

Como aplicar patches manualmente em seus sistemas Linux?

 

Mesmo quando a automação de patches e a aplicação de patches em tempo real estão em funcionamento, às vezes são necessárias atualizações manuais. Por exemplo, após uma falha na atualização, os administradores podem precisar aplicar patches manualmente no sistema. As atualizações manuais também podem ser necessárias em um ambiente de testes. Os comandos para atualizar o Linux dependem da sua distribuição, mas aqui estão os comandos para algumas distribuições comuns.

 

 

Para distribuições baseadas no Debian (por exemplo, Debian, Ubuntu, Mint), os comandos a seguir exibirão os patches disponíveis e atualizarão os pacotes e o sistema operacional:

sudo apt-get update

sudo apt-get upgrade 

sudo apt-get dist-upgrade

 

Para as distribuições do Red Hat Linux (por exemplo, RedHat, CentOS, Oracle), os comandos a seguir verificam se há atualizações e aplicam os patches no sistema:

yum check-update

yum update

 

Para sistemas Linux baseados no SUSE (por exemplo, SUSE Linux Enterprise, OpenSUSE), os comandos a seguir verificam se há atualizações e aplicam os patches no sistema:

zypper check-update

zypper update

Como lidar com o fim do ciclo de vida do Linux

 

Há um problema grave em algumas salas de servidores. Trata-se dos sistemas operacionais sem suporte ou em fim de vida útil, e isso é algo que pode rapidamente comprometer até mesmo as melhores estratégias de gerenciamento de patches.

Um sistema operacional sem suporte não recebe mais correções para vulnerabilidades de segurança recém-descobertas. Sem correções, não há como proteger os sistemas contra vulnerabilidades críticas — mesmo quando há um processo automatizado de aplicação de correções em vigor. Desenvolver uma correção personalizada é uma solução difícil e cara.

Por que as empresas utilizam sistemas operacionais em fim de vida útil? Isso pode se resumir a pura negligência por parte da equipe de administração de sistemas, que nunca tomou as medidas necessárias para atualizar para uma versão com suporte. Na maioria das vezes, porém, trata-se de uma questão prática — como um software específico que simplesmente não funciona no sistema operacional mais recente, ou uma pressão intensa sobre a equipe de administração de sistemas que impediu que a atualização fosse realizada.

Felizmente, há uma maneira de aplicar suas estratégias de gerenciamento de patches também a sistemas operacionais que chegaram ao fim da vida útil. Você poderia assinar um plano de suporte estendido oferecido pelo fornecedor do Linux, embora esses planos possam ser caros e incluir recursos desnecessários. 

A linha de softwares de suporte pós-fim de vida (EOL) da TuxCare para distribuições Linux que não recebem mais suporte oficial é uma alternativa mais acessível. Ela oferece até 4 anos de atualizações de segurança para diversas distribuições Linux sem suporte, bem como para linguagens de programação como PHP e Python.

 

Conclusão

 

A aplicação consistente de patches é fundamental, mas difícil de ser bem executada. As reinicializações atrapalham, e os recursos limitados podem prejudicar os esforços de aplicação de patches. A gestão de patches no Linux, no entanto, é essencial para manter a segurança dos ambientes de computação corporativos. 

Para fazer o gerenciamento de patches da maneira correta, é necessária uma abordagem estratégica que siga as melhores práticas nessa área — mas que também utilize as melhores ferramentas disponíveis no mercado para realizar essa tarefa.

A integração do KernelCare ao gerenciamento de patches reduz os riscos, melhora a segurança dos seus servidores Linux e oferece praticidade aos administradores. O KernelCare também se integra perfeitamente ao seu processo atual de aplicação de patches, permitindo atualizações sem a necessidade de reinicialização.

Temos clientes com servidores que não são reiniciados há mais de seis anos. Graças ao KernelCare, mais de 300 mil servidores suportados nos principais data centers do mundo mantêm sua conformidade com a norma SOC 2 por meio de nossa estrutura de aplicação de patches em tempo real. 

Experimente o KernelCare agora para ajudá-lo a manter sua estratégia de gerenciamento de patches do Linux, além de aliviar os administradores de muitos processos que exigem muito tempo e recursos.