Um guia completo sobre como aplicar patches no QEMU

Quando se trata da aplicação de patches, a meticulosidade é um aspecto fundamental — basta um único serviço sem patch para abrir as portas a uma invasão prejudicial. O resultado é uma longa lista de dispositivos, serviços e aplicativos que precisam receber patches regularmente — incluindo serviços que são executados em segundo plano, como o QEMU.

O QEMU (Quick EMUlator) é, obviamente, a popular ferramenta de virtualização que torna mais eficiente a execução de cargas de trabalho grandes e complexas no ambiente corporativo. Embora o QEMU funcione discretamente em segundo plano, ele continua sendo um serviço essencial que deve receber atualizações de segurança regularmente.

No entanto, a aplicação de patches no QEMU pode causar interrupções, e é por isso que, às vezes, o QEMU fica em último lugar na fila de atualizações. Neste artigo, explicamos por que a aplicação de patches no QEMU é tão importante e indicamos as etapas que você pode seguir para garantir que o QEMU seja atualizado com segurança. Também abordamos uma maneira de aplicar patches no QEMU sem causar interrupções: a aplicação de patches em tempo real.

Conteúdo:
1 – Por que a aplicação de patches no QEMU é importante – e por que é tão complicada?
2 – Seu guia para aplicar patches no QEMU
3 – O método rápido e prático – mas descuidado –
4 – Uma abordagem de administrador de sistemas
5 – Abordagem de melhores práticas, de nível empresarial
6 – A aplicação de patches em tempo real é uma alternativa
7 – Conclusão

Por que a aplicação de patches no QEMU é importante – e por que é tão complicada?

Praticamente todos os aplicativos e serviços em um computador são alvos de hackers — pode ter certeza de que, se estiver em funcionamento, será alvo de um ataque. Não importa se ele está rodando em segundo plano, realizando uma tarefa invisível.

O QEMU deve receber patches da mesma forma que qualquer outro serviço, mesmo que não seja o elemento mais visível da sua carga de trabalho. Se você procurar, encontrará vulnerabilidades no QEMU, assim como em qualquer outro serviço e aplicativo que você utilize.

Por exemplo, em 2019, foi relatada uma vulnerabilidade que afetava instâncias virtuais do QEMU-KVM que utilizavam o backend de rede vhost/vhost_net. Ao forçar a migração da máquina virtual, é possível fazer com que o log de páginas sujas entre em transbordamento, pois o kernel não verifica os limites desse log.

Outra vulnerabilidade do QEMU veio à tona em 2015, desta vez relacionada ao controle da disquete virtual do QEMU. Ela foi chamada de Venom e afetava sistemas mesmo aqueles em que o QEMU não havia sido configurado com uma unidade de disquete, simplesmente porque o código está sempre ativo no QEMU.

As vulnerabilidades que afetam o QEMU continuarão a se acumular. Essas vulnerabilidades são particularmente perniciosas, uma vez que qualquer vulnerabilidade que afete seus serviços do QEMU também afetará as máquinas virtuais em execução no QEMU — incluindo, por exemplo, as máquinas virtuais de seus clientes.

É por isso que você precisa garantir que as atualizações do QEMU sejam aplicadas com a mesma regularidade que as de qualquer outra ferramenta do seu arsenal tecnológico. No entanto, às vezes a aplicação de atualizações no QEMU pode ser negligenciada, pois atualizar o ambiente virtual também afeta as máquinas que estão sendo executadas nele.

Em outras palavras, dependendo da abordagem que você escolher para aplicar patches no QEMU, você pode perceber que isso acarreta um tempo de inatividade significativo — algo com que seus clientes ou outras partes interessadas podem não ficar totalmente satisfeitos.

Seu guia para aplicar patches no QEMU

Existem algumas maneiras de aplicar patches no QEMU; nesta seção, vamos explicar as opções disponíveis. A abordagem que você adotar determinará o nível de risco envolvido em seus esforços — e o grau de interrupção que a aplicação desses patches acarretará.

Vale ressaltar que as abordagens que listamos a seguir — com exceção do patching em tempo real — são aplicáveis à maioria das soluções de virtualização, incluindo VMware, Xen, Hyper-V e assim por diante; mesmo que as etapas possam ser ligeiramente diferentes.

O método rápido e prático – mas descuidado –

Se você estiver com pressa, pode optar por simplesmente aplicar um patch sem fazer nenhum tipo de planejamento. Essas seriam as etapas a serem seguidas:

1.   Faça login no seu servidor e atualize o QEMU e suas dependências usando o gerenciador de pacotes de sua preferência.

2.   O gerenciador de pacotes aplica os patches e pode ou não reiniciar imediatamente os serviços afetados — o que também pode interromper e reiniciar as máquinas virtuais em execução.

3.   Você reinicia o QEMU para aplicar as atualizações, o que, na prática, interrompe todas as máquinas virtuais.

4.   Os usuários e as partes interessadas de sua máquina virtual não estão satisfeitos com o fato de seu trabalho ter sido afetado, interrompido ou destruído.

5.   Você reinicia as máquinas virtuais, na esperança de que elas reiniciem automaticamente suas cargas de trabalho.

Embora você possa adotar essa abordagem se estiver operando um laboratório doméstico com um único sistema e um único usuário, com certeza vai se meter em sérios problemas com seu empregador — ou com seus clientes — se tentar aplicar patches em cargas de trabalho ativas de maneira tão desorganizada. Em resumo: tente aplicar um patch no QEMU dessa forma e você vai passar o resto da semana tentando se explicar e consertando os aplicativos seus e dos seus colegas.

Uma abordagem de administrador de sistemas

Se você é um administrador de sistemas profissional, certamente já sabe disso, é claro. Nesta seção, abordamos uma maneira mais sensata de tentar aplicar patches no QEMU.

1.                   Comece planejando uma janela de manutenção, incluindo uma estimativa do tempo necessário, uma lista das máquinas virtuais afetadas e o impacto sobre outros sistemas que interagem com essas máquinas virtuais.

2.                   Você informa as partes interessadas sobre o tempo de inatividade e obtém autorização para a operação daqui a mais ou menos um mês. O prazo para esse anúncio dependerá do grau de gravidade da vulnerabilidade — quanto mais perigosa ela parecer, mais rápido você precisará aplicar o patch.

3.                   Espere um mês para iniciar a manutenção e torça para que você não tenha sido vítima de um ataque de hackers nesse meio tempo.

4.                   Você desliga todas as máquinas virtuais de maneira adequada e usa o gerenciador de pacotes da sua distribuição para aplicar todas as atualizações do QEMU.

5.                   Você reinicia o QEMU e reinicia todas as máquinas virtuais.

6.                   Com tudo ocorrendo conforme o planejado, você encerra a operação de manutenção e informa às partes interessadas que tudo voltou ao normal.

7.                   Você passa os próximos dois dias resolvendo problemas — por exemplo, localizando a máquina virtual que ficou travada no processo de inicialização e corrigindo o problema.

Seguindo a abordagem acima, você não incomodará tantas pessoas e não perderá tanto tempo tentando consertar aplicativos e serviços com falhas. Embora funcione no ambiente corporativo, essa abordagem não é propriamente de nível corporativo e pode não ser aceitável em determinadas condições. Em particular, com essa abordagem, você ainda corre o risco de se deparar com todo tipo de problema inesperado ao longo do processo.

Abordagem baseada nas melhores práticas e de nível empresarial

Na tecnologia, assim como na vida, sempre há compromissos, e isso também se aplica ao nosso método de melhores práticas. Embora o método a seguir seja a maneira mais segura e menos invasiva de aplicar patches no QEMU, ele também é o caminho mais complexo e exigirá uma quantidade considerável de recursos da sua equipe de tecnologia.

No entanto, se você deseja um método que cause o mínimo de interrupção possível para aplicar patches em suas cargas de trabalho que dependem do QEMU, sugerimos que siga estas etapas:

1.   Comece garantindo que suas cargas de trabalho dependam de vários hosts QEMU, distribuindo a carga de trabalho entre suas máquinas virtuais e servindo como uma forma de redundância caso um dos nós falhe.

2.   Você implementa mecanismos de alta disponibilidade entre máquinas virtuais em diferentes nós, protegendo tanto o host quanto as cargas de trabalho virtuais contra falhas.

3.   Você planeja a operação de manutenção, levando em consideração detalhes importantes — por exemplo, que diferentes máquinas virtuais de alta disponibilidade que fazem parte do mesmo serviço não podem estar no mesmo host de virtualização quando o processo de aplicação de patches for iniciado. Esse processo é chamado de “Orquestração”.

4.       Informe às partes interessadas que haverá uma operação de manutenção e que elas devem esperar uma redução no desempenho, mas que não deve haver nenhuma indisponibilidade do serviço.

5.       Você solicita autorização para dar continuidade à operação e, como não há previsão de indisponibilidade de nenhum serviço, recebe essa autorização imediatamente.

6.       Você inicia a operação de manutenção no primeiro nó do QEMU — que, por sua vez, consiste em várias etapas:

A. Você realiza a migração dinâmica das máquinas virtuais para outros nós, garantindo que os nós das máquinas virtuais pertencentes ao mesmo serviço de alta disponibilidade continuem separados, pois, caso contrário, perderia a alta disponibilidade nesse serviço.

Um exemplo de comando de migração seria assim:

virsh migrate web1 qemu+ssh://desthost/system

Existem muitas maneiras diferentes de fazer isso; este é apenas um exemplo de comando de migração.

B. Aguarde um certo tempo até que os dados necessários sejam transferidos pela rede. É recomendável ter disponível ou utilizar uma conexão de rede secundária para a migração, e isso pode ser controlado com este comando:

virsh migrate web1 qemu://desthost/system tcp://10.0.0.1/

Essa fase de migração pode ser bastante demorada devido ao grande número de máquinas virtuais e/ou à quantidade de memória RAM e recursos alocados a cada máquina virtual migrada, que precisam ser transferidos pela rede.

7.       Depois que todas as máquinas virtuais forem migradas, você encerra o QEMU.
8.       Usando seu gerenciador de pacotes, você atualiza o QEMU e suas dependências.
9.       Você inicia o QEMU.
10.   Você realiza a migração dinâmica das máquinas virtuais de volta.
11.   Repita as etapas 6 a 10 em cada um dos nós de virtualização.
12.   Você encerra a operação de manutenção, informando às partes interessadas que as operações voltaram ao normal.

Você realizou a migração dinâmica de suas máquinas virtuais; portanto, esperamos que não haja interrupções — na verdade, não deveria haver. No entanto, há um ponto a ser observado: algumas cargas de trabalho podem ser muito sensíveis até mesmo a pequenas perdas de pacotes durante a operação de migração e, em alguns casos muito raros, essa perda de pacotes pode causar problemas. Certifique-se de que as partes interessadas estejam cientes desse risco e de que confirmem se tudo está realmente funcionando corretamente em cada máquina virtual.

A aplicação de patches em tempo real é uma alternativa

Embora nossa terceira sugestão seja uma maneira segura e confiável de migrar cargas de trabalho, ela, sem dúvida, exige muitos recursos e também requer um alto nível de conhecimento técnico para garantir que você seja capaz de oferecer alta disponibilidade e, consequentemente, evitar tempo de inatividade.

Existe uma alternativa na forma do agente de correção em tempo real QEMUCare da TuxCare. Em vez de realizar correções que desativam uma instância do QEMU, a solução de correção da TuxCare aplica correções de código enquanto o QEMU está ativo e em execução.

É fácil começar a usar o serviço de correção dinâmica do QEMU da TuxCare. Trata-se de uma operação única: basta instalar o agente TuxCare Live Patch e adicionar a licença apropriada. Você pode agilizar a instalação em vários servidores implantando o agente TuxCare por meio do Ansible ou de outra ferramenta de automação.

Depois de instalada, a ferramenta de aplicação de patches em tempo real da TuxCare aplicará patches continuamente às suas instâncias do QEMU, sem interromper o funcionamento das máquinas virtuais que você está executando no QEMU.

Conclusão

Analisamos detalhadamente as diferentes opções disponíveis para a aplicação de patches em suas instâncias do QEMU. A primeira opção, na verdade, não está disponível, a menos que você esteja aplicando patches em um sistema de teste ou experimental. Dependendo dos seus recursos e da complexidade das suas cargas de trabalho, você pode escolher a segunda ou a terceira opção — e a maioria das cargas de trabalho corporativas mais complexas provavelmente optaria pela terceira.

Nossa opção final, a aplicação de patches em tempo real da TuxCare, elimina tantas etapas problemáticas e simplifica todo o processo a tal ponto que nem sequer se compara a outras formas de aplicar patches no QEMU. Nem é preciso dizer que vale a pena considerar a aplicação de patches em tempo real no QEMU.

Independentemente da opção de aplicação de patches que você escolher, o fato é que a aplicação de patches é uma parte essencial das operações de segurança (SecOps) e que você deve aplicá-los de forma completa — abrangendo todos os serviços no processo, incluindo o QEMU.