El propósito de este artículo es compartir la realidad técnica de los parches de seguridad para el kernel de Linux, así como el rango esperado de las capacidades de LivePatch de Linux Kernel. Cuando el parche en tiempo real del núcleo sea más apropiado, lo presentaremos, y luego actualizaremos los paquetes DEB y Snap y luego reiniciar es la mejor opción.
Canonical LivePatch es un servicio que permite a los usuarios de Soporte a largo plazo de Ubuntu (LTS) y Ubuntu Core aplicar parches críticos de seguridad del núcleo sin reiniciar. Canonical LivePatch ofrece transmisión en vivo, reiniciando actualizaciones de seguridad para obtener vulnerabilidades de núcleo de alta prioridad en los sistemas de Ubuntu LTS y Ubuntu Core y se incluye en Ubuntu Pro. Ubuntu Pro es una suscripción de seguridad, endurecimiento, cumplimiento y soporte para el software de código abierto.
En este artículo, usaremos LivePatch con más detalle para romper el mito que rodea el parche en vivo del núcleo. Cuando el parche en tiempo real es la opción más efectiva, destacaremos y ejecutaremos instancias del reinicio que es más apropiado. De manera crucial, explicaremos por qué el suplemento de parche en vivo actualiza el paquete DEB y luego se reinicia, y por qué el parche en vivo no es un reemplazo completo para parchear todos los CVE en todos los casos.
Canonical LivePatch está creado para Ubuntu Lts y Ubuntu Core y está estrechamente integrado con la interfaz binaria de aplicaciones (ABI), una capa entre las aplicaciones de espacio de usuario y el núcleo del sistema operativo. Interfaz de firmware extensible (EFI) Seguro Boot y Linux Kernel Lock son características de seguridad complementarias que ayudan a proteger el proceso de inicio y ejecutar el kernel, y estandarizar LivePatch para cumplir con estos procesos de seguridad estandarizados y sus requisitos de confianza. Canonical LivePatch no inserta actualizaciones a través de mecanismos patentados o no estándar que omiten estas reglas de bloqueo del núcleo y aseguran que las actualizaciones solo provengan de editores confiables. Selección empresarial Canonical LivePatch para esta integración precisa utilizando Ubuntu.
Contáctenos para comenzar
Mito #1: Cada vulnerabilidad debe parcarse
Una idea errónea común que encontramos es que en todos los casos, cada CVE requiere un parche en tiempo real. Sin embargo, no todos los CVE requieren atención urgente o pueden repararse de manera segura sin aumentar los riesgos operativos. Parchear los núcleos en la memoria en tiempo real es una solución para aprovechar la mitigación de ventanas y no es una alternativa comparable al uso de actualizaciones de software de instalación APT, SNAP o paisaje. De hecho, como otros han sugerido, reparar el 90-95% de las vulnerabilidades en el sitio no sería práctico, y hacerlo podría introducir riesgos operativos de máquinas colgantes. Cuando esto sucede, el usuario puede buscar la función de reversión.
La vulnerabilidad canónica del núcleo del parche de livepatch tiene un sistema de puntuación de vulnerabilidad común y alto y alto sistema de puntuación (CVSS) y una calificación de prioridad de Ubuntu. Vulnerabilidades con implicaciones de seguridad, como la escalada de privilegios o la ejecución de código remoto, y pueden parchear de forma segura.
Además, Canonical LivePatch no parchará bibliotecas espaciales de usuario como OpenSSL o GLIBC, ya que esta es responsabilidad de actualizaciones de impuestos no tripuladas o herramientas de gestión de sistemas, como paisajes típicos.
Mito #2: los parches en tiempo real pueden atraerlo a parchar
Hay dos métodos principales para el parche en tiempo real del núcleo: ajuste incremental y acumulativo. La pila de parche en tiempo real incremental hace una actualización de seguridad sobre otra seguridad, y el código alternativo que ejecutará código en tiempo real con superposiciones de memoria a largo plazo puede volverse vulnerable, especialmente cuando estas actualizaciones se apilan permanentemente sin pruebas previas de varias configuraciones de hardware. En este caso, es comprensible que el lector crea que se requiere la necesidad de una funcionalidad de reversión para resolver cualquier interacción inesperada entre parches, lo que puede conducir a la inestabilidad.
Sin embargo, la cepilla LivePatch canónica elimina el riesgo de inestabilidad al proporcionar parches acumulativos en lugar de apilar incrementos, lo que lo hace innecesario en la práctica.
Antes de la publicación, la especificación pasará las mismas pruebas y las pruebas rigurosas y la operación rigurosa que el paquete del núcleo. Cada parche realiza pruebas acumuladas de parches anteriores en hardware real sin emulación. El cliente LivePatch descarga un parche acumulativo para el núcleo de ejecución. De hecho, la tasa de falla de la implementación estándar de LivePatch es muy pequeña, y para el livepatch estándar, el reinicio sigue siendo la ruta de reversión más segura y sabia.
Malentendido #3: Los parches de núcleo en vivo siempre son preferibles para instalar y luego reiniciar
Como se mencionó en nuestra introducción, debe ver parches e instalación de paquetes de núcleo actualizados en tiempo real y luego reiniciar para dos métodos de parcheo de seguridad que se complementan entre sí, en lugar de dos métodos de seguridad alternativos. Canonical LivePatch proporciona soluciones oportunas y rápidas para las CVE críticas, ya que estas requieren una acción inmediata. Al parchear en un núcleo en vivo, LivePatch canónico reduce la ventana de exploit para una CVE determinada y mantiene a sus clientes seguros sin reiniciar el kernel relacionado con las actualizaciones de paquetes de DEB o Snap.
Sin embargo, Canonical LivePatch no es un reemplazo para actualizar los paquetes del núcleo y luego reiniciar. Es una herramienta que le proporciona un mayor control al prevenir las actualizaciones y reiniciaciones del paquete DEB o Snap Kernel requerido requerido. De hecho, actualizar el paquete Kernel Deb o Snap y luego reiniciarlo a tiempo es un método de responsabilidad seguro e higiénico. Ningún editor de sistema operativo Enterprise Linux recomienda evitar reiniciar los reinicios indefinidamente. Los módulos de núcleo, como los controladores NVIDIA, generalmente no se vuelven a cargar de forma segura sin actualizar el paquete DEB y el reinicio. En algunos casos de borde, las actualizaciones del núcleo no pueden ser en tiempo real debido a cambios en ABI o reorganizaciones complejas. En algunos casos, existen vulnerabilidades de seguridad en el paquete de usuarios, e instalar parches de seguridad y servicios de reinicio no es suficiente (o aplicable):
- LBC6 es la base de casi todos los procesos en los sistemas Linux y está empaquetado como GLIBC en Ubuntu. Incluso los pequeños parches de seguridad requieren reiniciar todos los procesos de enlace o un reinicio más práctico. Incluso cuando se actualiza LBC6, algunos procedimientos (como Systemd) no recargan limpiamente LibC6. La seguridad real es reiniciar después de actualizar la biblioteca estándar.
- El microcódigo Intel y AMD en los paquetes de microcodos CPU se carga al inicio o mediante mecanismos especiales en tiempo de ejecución. Las actualizaciones de tiempo de ejecución son adecuadas para núcleos que ya están inactivos o no ejecutan código privilegiado. Para garantizar completamente que todos los núcleos e hilos funcionen con Minicode actualizado, actualice el paquete DEB o SNAP y reinicie. Use actualizaciones de microcodos CPU para corregir fantasmas y vulnerabilidades de bloqueo.
- Si hay una vulnerabilidad aquí, los paquetes Systemd e Init son críticos para la gestión del sistema. Systemd Mitigation requiere reiniciar PID 1, que no es práctico sin reiniciar.
- DBU es un paquete de software responsable de la comunicación entre programas (IPC), lo que permite que las aplicaciones se comuniquen entre sí, actualicen el paquete DEB y luego reinicie para garantizar el estado.
- UDEV es un paquete que monitorea los eventos del núcleo y aplica reglas para crear, configurar y controlar nodos del dispositivo
/devTabla de contenido. Cambiar el UDEV (mediante la instalación de actualizaciones de software) requiere un reinicio para garantizar la consistencia. - Después de actualizar el paquete DEB, los parches a las bibliotecas criptográficas como OpenSSL, Gnutls y LibsSL requieren reiniciar todos los procesos relacionados. Técnicamente, no hay necesidad de reiniciar un sistema, pero reiniciar después de actualizar la biblioteca es realmente más seguro y más rápido que encontrar y reiniciar todo manualmente.
- Las actualizaciones del hipervisor requieren reiniciar la máquina virtual en ejecución. En funcionamiento, generalmente se prefiere reiniciar el host Hypervisor.
- Los parches utilizados para mostrar servidores como Xorg y Wayland requieren un reinicio de la sesión y pueden dañar el entorno de escritorio. Si bien este no es un reinicio completo, es lo suficientemente destructivo como para que sea realmente.
Los reinicios acumulan estados inconsistentes a partir de fugas de memoria, manijas de archivos colgantes y otros problemas que pueden causar muchas úlceras de tiempo de actividad. Eliminar los reinicios exponen cualquier sistema operativo a estas ineficiencias con el tiempo.
En resumen, tratando de evitar todo Los reinicios pueden conducir a una cobertura de parche de seguridad incompleta y conducir a políticas de parcheo frágiles que involucran reinicios del servicio y fácil rastreo de dependencia. Reinicie la tabla de limpieza que proporciona garantizada.
en conclusión
Los parches en tiempo real del kernel son parte de una política de seguridad más amplia. Los parches en tiempo real del kernel no son un reemplazo para la gestión tradicional de parches, que incluye actualizar los paquetes DEB, luego reiniciar, y las herramientas de botón de defensa como Canonical LivePatch le brindan más control sobre cuándo y cómo reiniciar las vulnerabilidades más críticas.
| Elemento | ¿Necesito reiniciar después del parche? | Recomendaciones de frecuencia |
|---|---|---|
| Actualización del kernel | Sí | Cuando se reparan placas críticas y altas. Habilite LivePatch después de cada lanzamiento de Ubuntu, en mayo y noviembre de cada año. |
| Actualización de microcódigos de CPU | Sí | Cuando se actualiza. |
| Actualizaciones de GLIBC, LIBSSL, SYSTEMD y DBUS | Sí | Cuando se actualiza. |
| Tiempo de ejecución del contenedor | No | Reinicie el contenedor, solo si es necesario. |
| Aplicación de tierra de usuarios | a veces | Reiniciar el servicio solo puede ser suficiente. |
Para garantizar el más alto nivel de seguridad, estabilidad e integridad en los servidores de Linux, el realización de rutina regular, incluidas las actualizaciones de paquetes de DEB y los reinicios del sistema, no solo se recomienda para los reinicios del sistema, sino que esto es esencial. La mejor práctica para la disposición de la automatización de parches de seguridad «cubre estrategias anuales de parches de seguridad anuales, de dos años y más frecuentes y sus respectivas ventajas y desventajas.
Canonical LivePatch proporciona una suscripción como parte de Ubuntu Pro, que también incluye otras soluciones de parches de seguridad que cubren más de 30,000 títulos de software de código abierto y más de 100,000 dependencias de envases por hasta 12 años. Las organizaciones valoran la transparencia clásica, construyen su núcleo en torno a las pruebas y procesos, y confían en los mecanismos estandarizados. Esta es la razón por la cual la especificación de la organización de confianza utiliza las mismas pruebas, procesos y liberación mecánica de los estilos viales del núcleo. Como editor y mantenedor de Ubuntu, el paquete de Ubuntu Pro de Canonical, incluido el paisaje y el salto Live, es perfecto para cualquier organización.
Para obtener más información sobre la potencia live canónica, lo que los clientes dicen sobre esto y cómo habilitarlo en su organización, visite nuestra página LivePatch.
