서버 가상화는 다른 OS 계층이 패치 및 업데이트, 더 많은 작업 및 더 큰 위험을 의미합니까?

검색을했는데 패치 및 시스템 업데이트와 관련된 문제를 찾지 못했습니다. 서버에 필요한 패치가 필요하다는 지침이 있습니다. VM 호스트가있는 경우 베어 메탈 하이퍼 바이저에서도 패치 및 업데이트 할 추가 계층입니까? 금속 서버를 사용하는 것과 반대로? (내 지침에 따라 더 많은 작업 및 테스트 및 문서화).

타입 1 / 베어 메탈 하이퍼 바이저는 얼마나 자주 업데이트됩니까? 그게 중요합니까? 추가 소프트웨어 계층이라는 사실이 더 복잡하고 위험을 초래합니까 (보안 및 안정성)? (예 : 99 % 버그가없는 소프트웨어 x 99 % 버그가없는 소프트웨어 = 98 % 버그가없는 시스템)?

(실제로는 VMWare Workstation 및 Server 및 VirtualBox에 대한 경험이 있습니다.)

예. VMware와 같은 제품은 때때로 패치되어야 하지만 ( 업데이트 는 누적 적이지만) 패치는 기본 운영 체제보다 자주 나오지 않으며 잠재적 공격 경로는 더 작습니다 . 하이퍼 바이저는 공개적으로 액세스 할 수 없습니다 .

VMware ESXi 버전 5.0 (5.1 아님)을 예로 사용하겠습니다.

ESXi 5.0의 업데이트 일정은 다음과 같습니다.

2011 년 9 월부터 현재까지 ESXi 5.0 제품에 대한 TEN 업데이트 가있었습니다 . 그 중 SIX 는 다음과 같은 설명으로 보안 번들 업데이트를 업데이트 번들로 롤업했습니다.

"ESXi를 NFS 트래픽 분석 취약점" - CVE-2,012에서 2,448 사이 .

이러한 보안 취약점은 실제 Linux 보안 버그를 반영하기 때문에 실제로 발생하지만 대부분의 조직은 이러한 위험에 취약하지 않다고 생각합니다. 그러나이 위험을 평가하는 것은 엔지니어의 책임입니다. 사용자가 다음과 같은 익스플로잇 을 해결하기 위해 대규모 다운 타임을 원 하십니까?

"ncpmount 및 mount.cifs에서 사용하는 GNU C 라이브러리 (일명 glibc 또는 libc6) 2.11.1 이하의 misc / mntent_r.c에있는 encode_name 매크로는 마운트 포인트 이름에서 개행 문자를 올바르게 처리하지 않아 로컬 사용자가 허용합니다 "마운트 된 마운트 요청을 통해 서비스 거부 (mtab 손상)를 유발하거나 마운트 옵션을 수정하고 권한을 얻을 수 있습니다."

아마도? 아마.

VMware의 Update Manager를 실행 하지만 버그의 영향을 받거나 기능 향상이 필요한 경우에만 업데이트되는 경향이 있습니다. 클러스터 된 설정에서 실행할 때 실행중인 VM에 대한 다운 타임없이 패치 적용이 쉽습니다. 다른 긴급한 이유가 없으면 분기별로 업데이트하려고합니다. 패치는 단일 이미지로 제공되므로 개별 호스트를 완전히 재부팅해야합니다.

부수적으로, VMware ESXi 설정을 상속 받거나 정상적으로 관리하지 않는 시스템에서 작업 할 때마다 VMware 패치가 적용 되지 않은 호스트가 실행되는 경우가 종종 있습니다 . 그게 잘못이야 !! 그러나 시스템이 가동되면 관리자가 실수를 저지르는 방법을 알 수 있습니다.

'베어 메탈 (bare metal)'호스트로 가상화를 처음 사용하는 경우 이는 매우 좋은 질문입니다. 이러한 방식으로 작업을 수행하려면 기존 OS에서 서비스 / 애플리케이션으로 실행되는 하이퍼 바이저를 사용하는 방식에 대해 다른 사고 방식이 필요합니다.

필자의 경험에 따르면 ESX 및 HyperV 는 기존 운영 체제보다 전체적으로 패치 적용 이 덜 필요하다고 말할 수 있습니다. 이것은 하지 않습니다 그들은 모두에서 패치 또는 패치의 일부를 적용하는 관계없이 "필요"에 도움이되지 않을 것이다, 그러나 당신의 서비스에 interuptions이 덜 자주해야 호스트를 패치하는 것이이 수단이 필요하지 않습니다 것을 의미 당신의 통제하에 더. 하이퍼 바이저 OS에는 다른 보안 위협과 마찬가지로 잠재적 인 보안 위험이 있으며이 위험의 노출을 최소화 할 수 있습니다 (예 : 손상된 서버에서 논리적으로 접근 할 수없는 격리 된 VLAN에 하이퍼 바이저 관리 노출). 전혀 위험이 없다고 가장하는 것은 어리석은 일입니다.

따라서 4 개의 비가 상 서버가 있고 모든 가상 서버를 동일한 개별 가상화 호스트로 옮길 경우 호스트 시스템을 패치해야 할 경우 발생할 수있는 중단의 양이 증가합니다 (또는 해당 문제에 대한 하드웨어 문제 등).

나는이 위험 발생하는 기회가 좋을 것 동안 상대적으로 낮은 (I 가상 호스트와 그 패치의 종류 패치의 차이를 이야기하고있는 것은 독립형 시스템에해야 할 거라고 다시 시작해야합니다 어쨌든 ) 그 영향이 크다는 사실에서 벗어날 수 없습니다.

그렇다면 왜 그렇게해야합니까?

가상화의 진정한 이점은 둘 이상의 호스트를 설정하고 호스트가 함께 작동하도록 호스트를 구성 할 수 있다는 것입니다. 한 호스트에서 장애가 발생하거나 패치를 예약하려는 경우 게스트를 한 호스트에서 다른 호스트로 이동할 수 있습니다. 호스트 시스템.

이 접근 방식을 사용하여 5 개의 ESX 호스트 를 그 위에 실행중인 40 개의 가상 서버로 중단없이 패치 할 수있었습니다. 이는 규모의 경제 문제 일뿐입니다. 일단 가상 게스트 머신이 충분히 갖추어지면 이러한 종류의 복잡한 설정을 구축하고 @ewwhite에서 언급 한 도구, 위험 감소에 대한 대가로 툴을 사용하여 관리 할 가치가 있습니다. 당신은 매우 빨리 도착하는 것에 대해 걱정하고 있습니다.

가상 서버는 물리적 서버와 동일한 유지 관리 및 패치가 필요하며 베어 메탈 하이퍼 바이저는 보안을 위해 업데이트가 필요하지만 버그를 수정하고 성능을 개선해야합니다. 서버가 많을수록 서버를 최신 상태로 유지하기 위해 더 많은 작업을 수행해야합니다. 물리적 서버인지 가상 서버인지는 중요하지 않습니다.

위의 답변에 따르면 서버 가상화는 보안과 안정성에 더 복잡하고 위험을 초래하지만 서버 가상화를 통해 다운 타임을 줄일 수있는 이점에 대비해야합니다.

환경에 감사, 테스트 및 문서가 필요한 경우 가상화 된 환경의 추가 워크로드 비용 이점은 보유한 서버 및 시스템 직원 수와 함께 고려해야합니다. 우리 환경에는 가상화 된 환경에 대한 감사 추적을 유지할 직원 / 직원이 없습니다. 비즈니스 프로세스에서는 가동 중지 시간이 다소 소요될 수 있지만 감사 내역 및 문서를 빠뜨릴 수는 없습니다.