Los administradores del sistema conocen los riesgos de ejecutar servicios no corregidos. Con opciones y recursos ilimitados, la mayoría de los administradores que trabajan arduamente se asegurarán de que todos los sistemas y servicios se parcheen de manera constante.

Pero las cosas rara vez son tan simples. Los recursos técnicos son limitados y la aplicación de parches a menudo puede ser más compleja de lo que parece a primera vista. Lo que es peor es que algunos servicios están tan ocultos en segundo plano que simplemente no aparecen en la lista de cosas por arreglar.

QEMU es uno de esos servicios que tiende a crear problemas de reparación. Funciona en segundo plano y fácilmente se puede dar por sentado. Además, parchear QEMU implica importantes desafíos técnicos y prácticos, al mismo tiempo que requiere enormes recursos.

En este artículo, abordaremos algunos de los problemas con el parcheo de QEMU y señalaremos una solución que eliminará las partes más difíciles de reparar QEMU.

Ignorar los parches de QEMU es un gran riesgo

Probablemente sabrá si está utilizando QEMU (Quick EMUlator para abreviar), porque QEMU proporcionará capacidades de virtualización críticas que respaldan su carga de trabajo. Esto significa que es posible que no se dé cuenta de que, al igual que el sistema operativo host, el sistema operativo virtualizado y todas sus aplicaciones, QEMU debe actualizarse periódicamente, incluso si se ejecuta en segundo plano.

No es solo una historia de miedo. Se ha demostrado que QEMU es tan vulnerable como cualquier otro servicio, biblioteca o componente. Por ejemplo, en 2015, se descubrió que un controlador de disquete virtual en QEMU era vulnerable: se denominó error de Venom y afectó a los sistemas, ya sea que se usara o no el disquete virtual de QEMU.

De manera similar, en 2019, las organizaciones que usan el hipervisor KVM/QEMU para ejecutar instancias de Linux terminaron con vulnerabilidades de seguridad que amenazaron a innumerables sistemas. Y como cualquier otro software de uso común, es probable que se descubran más deficiencias en QEMU.

En otras palabras, si no realiza un parche, sus sistemas se verán comprometidos. Pero hay un problema: cuando se trata de QEMU, la aplicación de parches no es sencilla, porque la aplicación de parches QEMU afecta la carga de trabajo virtualizada básica: mientras detiene y reinicia QEMU, la carga de trabajo virtual también debe detenerse.

Sus opciones para parchear QEMU

Parchar un servicio en un sistema generalmente no es un problema, siempre que lo recuerde, e incluso parchear un sistema operativo no es tan difícil como lo que normalmente puede manejar con un solo reinicio, pero aún es perjudicial a medida que se reinicia cada aplicación. Reparar la flota del sistema operativo es mucho más difícil, ya que podría significar miles de reinicios e interrupciones de innumerables aplicaciones.

Debido a que QEMU es un servicio de virtualización, la aplicación de parches tiene implicaciones mucho mayores que simplemente aplicar parches a otra aplicación. Repare QEMU y deberá reiniciar los sistemas operativos subyacentes que se ejecutan en él.

En otros, aplicar un parche a un solo servicio, QEMU, puede forzar el reinicio de miles de sistemas operativos. Esto complica enormemente el parcheo de QEMU, y puede significar que los equipos técnicos a veces retrasan el parcheo de QEMU y tratan de justificar el riesgo de vulnerabilidad porque consideran que la brecha es demasiado grande.

Sin embargo, la aplicación de parches es una necesidad y, por supuesto, existen atajos cuando se trata de actualizar QEMU, y la forma correcta de hacerlo. Aquí tienes algunas de tus opciones.

Un método rápido pero muy arriesgado

La opción más fácil pero más inquietante es simplemente aplicar el parche, reiniciar y ver qué sucede. Si es solo una máquina, puede estar bien; después de todo, sabrá que necesitará reiniciar su carga de trabajo.

Sin embargo, si administra QEMU en una flota de servidores o en entornos donde las partes interesadas externas han evolucionado, el simple hecho de parchear y ejecutar reinicios en todas las computadoras sin duda generará molestias para muchas personas.

Enfoque razonable

En lugar de simplemente reiniciar, la mayoría de los administradores de sistemas en el nivel agregarán un poco más de programación al procedimiento anterior. Primero alertará a todos los involucrados estableciendo un período de mantenimiento programado con tiempo de inactividad programado, digamos con un mes de anticipación. El problema, por supuesto, es que tendrías que esperar que no te ataquen durante este mes.

Sin embargo, durante el período de mantenimiento tendrá la oportunidad de realizar la reparación sin molestar a nadie, se toleran algunas horas sin servicio. Una vez que reinicie QEMU, todas las máquinas virtuales deben reiniciarse y puede informar a las partes interesadas que la reparación está completa.

Sin embargo, después de reiniciar, es probable que se prepare para un tiempo de solución de problemas decente y, aunque no le importe, las ventanas de mantenimiento planificadas son un desafío para todos los involucrados. También hay muchos escenarios en los que el mantenimiento programado, que incluye el tiempo de inactividad real, simplemente no sería aceptable.

Enfoque de negocio

Algunas cargas de trabajo no se manejan bien con las interrupciones causadas por reiniciar el sistema operativo. En un entorno corporativo, necesitará un plan diferente. Deberá adoptar un enfoque mucho más completo: migración en vivo de la carga de trabajo de QEMU.

Puede hacer esto solo si su carga de trabajo ya se comparte entre varios hosts y tiene habilitada la alta disponibilidad entre esos nodos. Luego, comienza a aplicar parches informando a las partes interesadas que se acerca un período de mantenimiento, lo que afectará el rendimiento, pero que no debería afectar la disponibilidad.

Dependiendo de su operación de alta disponibilidad, migre máquinas virtuales, luego detenga, repare y reinicie QEMU. Después del reinicio, vuelve a migrar las máquinas virtuales a las instancias QEMU reparadas.

La migración correctamente parcheada garantizará que sus instancias de QEMU estén parcheadas de forma segura sin interrumpir a las partes interesadas con tiempo de inactividad real.

Problema de migración QEMU

Hablamos sobre tres enfoques diferentes para aplicar parches a QEMU y, sin duda, la ruta de migración es la mejor opción para las organizaciones que confían en QEMU para administrar cargas de trabajo pesadas. Pero incluso este enfoque corporativo conlleva riesgos. Está realizando un procedimiento muy complejo que, como todos los procedimientos complejos, siempre puede fallar.

Algunas de las cosas que salen mal incluyen:

• El rendimiento puede reducirse significativamente durante la migración, lo que puede afectar la satisfacción de las partes interesadas y los usuarios, especialmente cuando la migración lleva más tiempo de lo esperado.
• Sin embargo, coordinar el período de mantenimiento, que es necesario debido a posibles interrupciones en el rendimiento, aún puede llevar mucho tiempo.
• Por lo general, se debe tolerar una menor pérdida de paquetes de red durante una operación de migración, pero algunas cargas de trabajo pueden ser sensibles a esto, lo que puede causar problemas importantes.
• Debe probar y verificar después de la migración; no puede asumir que todo salió bien y es posible que deba involucrar a las partes interesadas en este proceso de prueba.

Realizar actualizaciones de QEMU a través del proceso de migración reduce las interrupciones, pero su equipo debe invertir una cantidad significativa de tiempo en el proceso. El riesgo de que algo salga mal permanece, y hay poco riesgo de falla catastrófica.

Por lo tanto, si bien es poco probable que sus partes interesadas experimenten una interrupción significativa, su equipo deberá realizar una planificación cuidadosa. En última instancia, vale la pena considerar que cualquier resultado adverso del proceso de migración, por pequeño que sea el riesgo, tendrá un impacto negativo en usted y su equipo.

Live patching como alternativa

En el pasado, la aplicación de parches siempre ha dependido del proceso de detener, aplicar parches y reiniciar. Sí, la migración ayuda a garantizar que las instancias que requieren un reinicio estén disponibles. Pero un enfoque más nuevo se está volviendo más común: aplicar parches sobre la marcha, sin reiniciar el software que se está reparando.

Este enfoque, llamado aplicación de parches en vivo, simplifica enormemente el proceso de aplicación de parches. En lugar de reiniciar, Live Repair actualiza su servidor o servicio que necesita reparar sobre la marcha. Este también es el caso de los parches QEMU en vivo, donde ahora puede instalar los últimos parches para QEMU, sin tener que configurar una ventana de mantenimiento, ni tiene que ejecutar y planificar una migración.

Es por eso que QEMUCare de TuxCare cambia el juego para los equipos que ejecutan cargas de trabajo QEMU. QEMUCare no solo simplifica el proceso de actualización y migración, sino que lo elimina por completo. Sus instancias de QEMU/KVM se reparan inmediatamente sin afectar la máquina virtual subyacente.

Hay una serie de beneficios al elegir una ruta de parche en vivo:

• Parches consistentes. Una buena solución de arreglo en vivo, como QEMUCare, detecta automáticamente el lanzamiento de un nuevo arreglo e inicia el proceso de arreglo. Su equipo ni siquiera tiene que ver las correcciones: QEMUCare solo se encargará de eso. Esto significa que su equipo crea parches de manera más consistente, lo que reduce el riesgo de que sus instancias de QEMU sean vulnerables a una nueva vulnerabilidad.
• participantes felices. Debido a que QEMUCare se ejecuta en segundo plano y repara automáticamente sin reiniciar QEMU, sus participantes, incluidos los usuarios internos y sus clientes, ni siquiera sabrán que está realizando reparaciones. Todo esto sucede sin problemas sin la necesidad de programar el mantenimiento de las ventanas.
• Elimina horas de trabajo. Aunque tiene la opción de intentar usar un atajo, la única opción realista es el proceso de aplicación de parches basado en la migración a nivel empresarial que describimos anteriormente. Es muy laborioso, pero requiere muchas horas de su equipo, mientras que QEMUCare consume casi cero horas de su equipo.
• Minimiza el riesgo de error. Debido a que no tiene que migrar sus cargas de trabajo manualmente, hay menos riesgo de que parchear QEMU le cause problemas importantes. No hay problemas de migración o errores de red de los que preocuparse, y usted y su equipo no tienen que preocuparse por sus tareas.

La aplicación de parches en vivo obviamente simplifica enormemente el proceso de mantener sus instancias de QEMU actualizadas: sucede automáticamente, no tiene que preocuparse de que algo salga mal, y no tiene que invertir mucho tiempo en ello.

La aplicación de parches QEMU es esencial, y la aplicación de parches en vivo es mucho más fácil

QEMU puede estar haciendo su trabajo silenciosamente en segundo plano, pero no se puede ignorar por seguridad cibernética.

Necesita arreglar QEMU, pero es comprensible que su equipo pueda estar asustado por la perspectiva.

Si bien la planificación minuciosa y una ventana de mantenimiento lo llevarán allí, la aplicación de parches en vivo lo hace fácil: puede solucionarlo con más frecuencia y con menos esfuerzo. Entonces, si depende de QEMU en su carga de trabajo, considere cómo la aplicación de parches en vivo de TuxCare puede beneficiar a su equipo.