क्या किसी सर्वर को वर्चुअलाइज करने का अर्थ होगा पैच और अपडेट के लिए एक और OS लेयर, अधिक काम और अधिक जोखिम?

Question

मैंने एक खोज की है और पैचिंग और सिस्टम अपडेट के मुद्दों को संबोधित करते हुए कुछ भी नहीं पाया है। मुझे दिशानिर्देश मिले हैं कि सर्वर को आवश्यक पैच करने की आवश्यकता है। अगर मेरे पास एक वीएम होस्ट है, तो क्या यह एक अतिरिक्त परत पैच और अपडेट करने के लिए है - नंगे धातु हाइपरवाइज़र के साथ भी? एक धातु सर्वर होने का विरोध किया? (यानी मेरे दिशानिर्देशों के अनुसार अधिक काम और परीक्षण और प्रलेखन)।

टाइप 1 / नंगे-धातु हाइपर-विज़र्स कितनी बार अपडेट होते हैं? क्या वो वजह बन रही हे? क्या यह तथ्य है कि यह एक अतिरिक्त सॉफ़्टवेयर परत अधिक जटिलता और जोखिम (सुरक्षा और विश्वसनीयता) का परिचय देती है? (उदा। 99% बग फ्री सॉफ्टवेयर x 99% बग फ्री सॉफ्टवेयर = 98% बग फ्री सिस्टम)?

(मेरा व्यावहारिक अनुभव VMWare वर्कस्टेशन और सर्वर और वर्चुअलबॉक्स के साथ है।)

Comments

क्या इससे आपके सवाल का जवाब मिलता है?

— ewwhite

मुझे लगता है कि यह इसका आधा जवाब देता है ....

— user127379

Answer 1

हाँ, VMware जैसे उत्पादों कभी कभी समझौता किया जाना चाहिए ( अपडेट कर रहे हैं संचयी ), लेकिन धब्बे के लिए एक मुख्य लाइन ऑपरेटिंग सिस्टम की तुलना में कम बार आते हैं और संभावित हमले वेक्टर छोटा होता है - अपने हाइपरविजर सार्वजनिक रूप से सुलभ नहीं होना चाहिए ।

मैं एक उदाहरण के रूप में VMware ESXi संस्करण 5.0 (5.1 नहीं) का उपयोग करूंगा ...

ESXi 5.0 में निम्नलिखित अद्यतन अनुसूची है:

9/2011 और वर्तमान के बीच, ESXi 5.0 उत्पाद के लिए TEN अपडेट हुए हैं। उनमें से, SIX सुरक्षा-केंद्रित अपडेट थे जिन्हें विवरण के साथ अपडेट बंडल में रोल किया गया था:

"ESXi NFS ट्रैफ़िक पार्सिंग भेद्यता" - CVE-2012-2448 ।

ये सुरक्षा भेद्यताएं वास्तविक हैं, क्योंकि वे कभी-कभी सामान्य लिनक्स सुरक्षा बगों को प्रतिबिंबित करते हैं, लेकिन मुझे लगता है कि अधिकांश संगठन जोखिमों के लिए अतिसंवेदनशील नहीं हैं। यह इस जोखिम का आकलन करने के लिए इंजीनियर पर निर्भर है, हालांकि। क्या आपके उपयोगकर्ता निम्न शोषण को ठीक करने के लिए बड़े पैमाने पर डाउनटाइम चाहते हैं ?

"GNU C लाइब्रेरी (उर्फ ग्लिबक या libc6) 2.11.1 और इससे पहले के misc / mntent_r.c में एन्कोड_नाम मैक्रो, 2.11.1 और इससे पहले, जैसा कि ncpmount और Mount.cifs द्वारा उपयोग किया जाता है, माउंटपॉइंट नामों में न्यूलाइन वर्णों को ठीक से नहीं करता है, जो स्थानीय उपयोगकर्ताओं को अनुमति देता है। सेवा से वंचित (mtab भ्रष्टाचार) का कारण बनने के लिए, या संभवतः माउंट किए गए विकल्पों को संशोधित करें और एक तैयार किए गए माउंट अनुरोध के माध्यम से विशेषाधिकार प्राप्त करें। "

शायद? शायद नहीं।

मैं VMware के अपडेट मैनेजर को चलाता हूं , लेकिन केवल तभी अपडेट करता हूं जब मैं बग से प्रभावित होता हूं या फीचर एन्हांसमेंट की आवश्यकता होती है। जब एक संकुल सेटअप में चलाया जाता है, तो रनिंग वीएम के डाउनटाइम के साथ पैचिंग आसान है। यदि कोई अन्य दबाव कारण मौजूद नहीं हैं, तो मैं सिर्फ तिमाही अपडेट करने का प्रयास करूंगा। व्यक्तिगत मेजबानों को एक पूर्ण रिबूट की आवश्यकता होगी, क्योंकि पैच को अखंड छवियों के रूप में वितरित किया जाता है।

एक साइड नोट के रूप में, जब भी मुझे VMware ESXi सेटअप विरासत में मिलता है या एक ऐसी प्रणाली पर काम करता है जिसे मैं सामान्य रूप से प्रबंधित नहीं करता हूं, तो मैं अक्सर ऐसे मेजबान को देखता हूं जिनके पास कभी भी कोई VMware पैच लागू नहीं होता है। यह गलत है!! लेकिन मैं देख सकता हूं कि एक बार सिस्टम के चालू होने और चलने के दौरान प्रशासक उस गलती को कैसे कर सकते हैं।

Comments

इसमें जोड़ें कि एक सामान्य VmWare बुनियादी ढांचे में अतिरिक्त क्षमता होनी चाहिए, जिससे आप vm को अन्य होस्ट और पैच पर स्थानांतरित कर सकते हैं। अधिक काम - हाँ (MS iirc अपने आप ऐसा कर सकता है) लेकिन अधिक डाउनटाइम नहीं।

— टॉमटॉम

इससे भी बेहतर है जब किसी ने कभी फर्मवेयर या ड्राइवर अपडेट नहीं किया हो

— SpacemanSpiff

तो आप कह रहे हैं: 1. हाँ, यह अधिक काम पैचिंग और अद्यतन, दस्तावेजीकरण, और परीक्षण बनाम धातु सर्वर है (हालांकि कम डाउनटाइम क्योंकि आप वीएम सर्वर को "स्थानांतरित" और "फ्लिप" कर सकते हैं)। 2. बेयर मेटल हाइपरवाइजर्स को मेनलाइन ऑपरेटिंग सिस्टम की तुलना में कम अपडेट करने की जरूरत होती है। उदाहरण ESXi 5.0 5 महीनों में 10 अपडेट के साथ। हालाँकि लिनक्स पर आधारित उन हाइपरविज़र्स के लिए कुछ लिनक्स बग्स का दर्पण होगा।

— user127379

Answer 2

यह एक बहुत अच्छा सवाल है अगर आप 'नंगे धातु' मेजबान के साथ वर्चुअलाइजेशन के लिए नए हैं। इस तरह से काम करने के लिए आपको एक पारंपरिक ओएस के शीर्ष पर सेवा / एप्लिकेशन के रूप में चलने वाले हाइपरविज़र्स के साथ दृष्टिकोण के लिए एक अलग मानसिकता की आवश्यकता होती है।

मेरे अनुभव में, यह कहना उचित है कि ESX और HyperV को पारंपरिक ऑपरेटिंग सिस्टम की तुलना में कम पैचिंग की आवश्यकता है। इसका मतलब यह नहीं है कि उन्हें बिल्कुल भी पैचिंग की आवश्यकता नहीं है, या कुछ पैच लागू करना "आवश्यकता" की परवाह किए बिना फायदेमंद नहीं होगा, लेकिन इसका मतलब है कि मेजबान को पैच करने के लिए आपकी सेवाओं के लिए विस्फोट कम लगातार होना चाहिए आपके नियंत्रण में है। हाइपरवाइज़र ओएस के लिए एक संभावित सुरक्षा जोखिम है जैसे कि किसी अन्य के लिए है, और जब आप इस जोखिम के जोखिम को कम कर सकते हैं (उदाहरण के लिए एक पृथक वीएलएएन पर केवल हाइपरवाइजर प्रबंधन को उजागर करना जो तार्किक रूप से एक समझौता किए गए सर्वर से नहीं हो सकता है) यह दिखावा करना मूर्खता होगी कि इसमें कोई जोखिम नहीं है।

इसलिए यदि आपके पास 4 गैर-आभासी सर्वर हैं, तो कहें, और आप उन सभी को एक ही व्यक्तिगत वर्चुअलाइज्ड होस्ट में ले जाते हैं, तो हाँ आप व्यवधान की मात्रा में वृद्धि कर रहे हैं जो कि होस्ट सिस्टम को पैच करने की आवश्यकता के कारण हो सकता है (या इससे निपटें) एक हार्डवेयर मुद्दा, आदि, उस मामले के लिए)।

मेरा सुझाव था हालांकि यह जोखिम घटित होने की संभावना है अपेक्षाकृत कम है (मैं एक आभासी मेजबान और कहा कि पैच की तरह पैचिंग के बीच अंतर की बात कर रहा हूँ पुन: प्रारंभ करने आप एक स्टैंडअलोन प्रणाली के लिए क्या करना होगा कि आवश्यकता है वैसे भी ), इस तथ्य से कोई दूर नहीं हो रहा है कि प्रभाव अधिक है।

तो फिर हम ऐसा क्यों करते हैं?

वर्चुअलाइजेशन का सही लाभ एक से अधिक होस्ट सेट करने और होस्ट को एक साथ काम करने के लिए कॉन्फ़िगर करने से आता है, मेहमानों को एक होस्ट से दूसरे होस्ट में स्थानांतरित करने की अनुमति देता है जो एक होस्ट विफल रहता है या जिसे आप पैच शेड्यूल करना चाहते हैं मेजबान सिस्टम।

इस दृष्टिकोण का उपयोग करते हुए मैंने 5 ईएसएक्स मेजबानों को बिना किसी व्यवधान के सभी 40 वर्चुअल सर्वरों के शीर्ष पर चलाने में कामयाब रहा है । यह बस पैमाने की अर्थव्यवस्थाओं का मामला है - एक बार आपके पास पर्याप्त क्षमता वाली वर्चुअल गेस्ट मशीनें हैं, जो इस प्रकार के जटिल सेटअप को बनाने के लिए सार्थक बनाती हैं और इसे अपने जवाब में टूल्स @ewwhite उल्लेखों के साथ प्रबंधित करती हैं, जोखिमों को कम करने में वापसी आप बहुत जल्दी आने के बारे में चिंतित हैं।

Answer 3

एक वर्चुअल सर्वर को एक ही रखरखाव की आवश्यकता होती है और एक भौतिक सर्वर करता है पैच, नंगे धातु हाइपरवाइजर्स को सुरक्षा के लिए, लेकिन बग को ठीक करने और प्रदर्शन में सुधार करने के लिए अपडेट की आवश्यकता होगी। आपके पास जितने अधिक सर्वर होंगे, उतने अधिक काम आपको उन्हें चालू रखने के लिए करने होंगे, इससे कोई फर्क नहीं पड़ता कि वे भौतिक या आभासी हैं।

Answer 4

उपर्युक्त उत्तरों के आधार पर ऐसा लगता है: किसी सर्वर को वर्चुअलाइज करने से सुरक्षा और विश्वसनीयता में अधिक जटिलता और जोखिम पेश किया गया है, लेकिन सर्वर को वर्चुअलाइज करके डाउनटाइम को कम करने में सक्षम होने के लाभों के विरुद्ध इनका वजन किया जाना चाहिए।

यदि आपके पर्यावरण को ऑडिट, परीक्षण और प्रलेखन की आवश्यकता होती है, तो वर्चुअलाइज्ड वातावरण के अतिरिक्त वर्कलोड का लागत-लाभ, आपको सर्वर और सिस्टम स्टाफ की संख्या के साथ ध्यान में रखना होगा। हमारे वातावरण में एक वर्चुअलाइज्ड वातावरण के लिए ऑडिट ट्रेल को बनाए रखने के लिए हमारे पास स्टाफ / स्टाफ का समय नहीं है। हमारी व्यावसायिक प्रक्रियाओं में हम कुछ डाउनटाइम ले सकते हैं, लेकिन हम ऑडिट ट्रेल और डॉक्यूमेंटेशन को याद नहीं कर सकते हैं।