Parches automáticos para el núcleo de Linux

Para arrancar de manera segura y efectiva, los sistemas Linux siguen los pasos cuidadosamente planificados para inicializar el firmware y administrar los servicios. La aplicación de parches de seguridad al software responsable de ciertos primeros pasos en el inicio de Linux a menudo requiere un reinicio. Los reinicios frecuentes son impulsados ​​por parches críticos no planificados, especialmente en entornos de alta disponibilidad, organizaciones que están orgullosas de tener más de 9 promedios de tiempo de actividad. LivePatch es la solución de Canonical para reducir esta ineficiencia al reducir la vulnerabilidad para explotar las ventanas y reducir las atensidades de planificación de los administradores del sistema. Canonical LivePatch proporciona parches de núcleo en tiempo real, y sus compilaciones y pruebas tienen la misma mecánica y rigurosa que los núcleos instalados de fábrica. Ya sea que esté ejecutando un servidor o un clúster de alta disponibilidad, LivePatch asegura que su sistema esté protegido por CVE crítico y alto, así como interrupciones no planificadas asociadas con la remediación. Exploremos cómo funciona LivePatch y por qué es el juego para la seguridad de Linux.

Cómo iniciar una máquina Linux

Al iniciar una computadora Linux, se debe completar con éxito una serie de procesos antes de que puedan estar listos.

1. El BIOS (software de firmware para la placa base) se inicializa y el cargador de arranque está cargado. BIOS utiliza el firmware de la placa base para aplicar el microcódigo CPU predeterminado.
2. Se inicializa el cargador de arranque Grub de Ubuntu. Conoce la partición de Windows en la unidad de disco instalada y también conoce el kernel Linux instalado. Si el sistema operativo tiene un microcódigo CPU más nuevo, entonces se aplica a través de InitRD en este momento. /dev/initrd es un dispositivo de bloque de solo lectura propiedad de Root: Disk, tiene el modo 0400 (accedido solo por lectura raíz) y se le asigna el número 1 primario y el número secundario 250.
3. Por defecto, el último núcleo instalado se usa para inicializar el hardware del sistema, instalar el sistema de archivos raíz e iniciar el sistema de inicialización.
4. Sistema Init en Ubuntu, Systemd, buscando GLIBC en el disco. Systemd se ejecuta con el ID de proceso 1 (PID 1) y se carga antes de que la aplicación y el servicio del espacio de usuario comiencen a ejecutarse. El enlace dinámico entre GLIBC y SystemD es crucial para las operaciones de Systemd.

Automatización de parches de seguridad con o sin servicio y reinicio del sistema

Todos los parches de seguridad se pueden instalar automáticamente utilizando parches de seguridad, algunos requieren un reinicio del servicio, mientras que otros requieren un reinicio completo. Incluso si GLIBC se puede parchear de forma segura sin recompensar SystemD, las actualizaciones de seguridad de GLIBC requieren un reinicio del sistema. Esto se debe a que los paquetes que se ejecutan con una versión frágil de GLIBC pueden explotarse. Cualquier parche de seguridad, libc, microcódigo CPU, gotador de arranque y vulnerabilidades de seguridad en el nivel intermedio del kernel de Linux, deben actualizarse y reiniciarse. Siempre que sea posible, el paquete NeedRestart se puede configurar para volver a medir automáticamente el servicio para garantizar que se apliquen parches de seguridad al aplicar las actualizaciones APT de panorama, desatendido o activado manualmente.

Por el contrario, las vulnerabilidades críticas y de alta seguridad en el núcleo de Linux no requieren un reinicio del sistema.

Linux Kernel reinicia la automatización de parches de seguridad

LivePatch es una solución de automatización de parches de seguridad para los núcleos Linux diseñados para proteger su instancia de Ubuntu de vulnerabilidades y exploitaciones públicas críticas o altas (CVE) (CVE) hasta el siguiente parche de seguridad y ventana de reinicio. LivePatch elimina la necesidad de un reinicio, y logra esto de dos maneras:

1. LivePatch puede realizar «Patch Per Capita», un medio efectivo para aplicar parches de seguridad del núcleo en la memoria con retrasos mínimos
2. LivePatch admite parches a nivel de funciones y reemplaza las características frágiles en la memoria a través de la integración con la infraestructura FTRACE del kernel.

Si no hay appatch live, en CVE crítico, el administrador del sistema debe preparar el entorno para el evento de reinicio. Para implementaciones de alta disponibilidad (HA), esto significa rebajar la máquina del clúster HA, instalar una actualización y reiniciar y aplicar la máquina, y luego levantar la máquina al clúster HA. Los grupos de HA son fácilmente explotables en todo el proceso mediante el cual el administrador del sistema completa esta tarea de parcheo de seguridad.

LivePatch elimina los reiniciados relacionados con el parche de seguridad no planificados. LivePatch aplicará parches críticos y de alta seguridad disponibles inmediatamente después de que el cliente LivePatch descargue la actualización antes de que ocurra cualquier intervención de parche de seguridad manual. Los administradores del sistema que necesitan control granular de las descargas LivePatch y la aplicación de estos parches pueden especificar plazos de parche y retrasos en el parche.

Reduzca las ventanas de exposición de vulnerabilidad de seguridad con LivePatch sin sacrificar 9 en su registro de tiempo de actividad. LivePatch ofrece todas las suscripciones de Ubuntu Pro gratuitas y pagadas. Obtenga más información sobre el ritmo de lanzamiento de Canonical y cómo puede afectar el calendario de mantenimiento de su parche de seguridad:

Aprenda más sobre Ubuntu Pro

Comience una prueba gratuita

Obtenga más información