Týden na ITBiz.cz – Ochrana před ransomwarem, SUSE Linux Enterprise Live Patching pro SAP, 44% českých firem využívá cloudové služby, Avast kupuje AVG

11. 7. 2016 | Redakce | Různé | 2189×

Oracle musí zaplatit HP odškodné v případě Itanium, síť pro internet věcí na 80 % území ČR, Intel možná prodá divizi kybernetické bezpečnosti, razie ve španělských kancelářích Googlu, další automobilky investují do vývoje samořiditelných aut a konektivity…

Ochrana před ransomwarem – důraz na behaviorální analýzu

Ransomware představuje jednu z nejrychleji rostoucích hrozeb letošního roku. Možné řešení nabízí Application Control a platforma McAfee Global Threat Intelligence Exchange (TIE).

SUSE Linux Enterprise Live Patching pro SAP

Řešení Live Patching pro SUSE Linux Enterprise Server umožní podnikovým uživatelům systému Linux aktualizovat operační systém, aniž by jej museli restartovat. Nyní je k dispozici i zákazníkům SAP využívajícím řešení SAP HANA a SAP NetWeaver.

44 % českých firem využívá cloudové služby

Až 44 % českých firem o velikosti nad 150 zaměstnanců využívá cloudové služby. Oproti průměru dalších středoevropských zemí, který činí 35 %, jsou prý ve využití cloudu jednoznačně nejprogresivnější.

Český Avast kupuje konkurenční AVG za bezmála 32 miliard

Český průkopník na poli internetové bezpečnosti Avast se rozhodl převzít další původně českou bezpečnostní firmu AVG.

Bezpečnostní přehled: Proč útočníky láká zdravotnictví

Dešifrovací klíč pro ransomware ApocalypseVM. Jaký podíl obětí ransomwaru je ochoten útočníkům zaplatit? Škodlivé kódy v ČR. Zranitelnosti a opravy: WordPress, Liarchive, průmyslové systémy.

IBM: Partnerem roku 2015 česká firma ISECO

ISECO je teprve druhou firmou na světě, která dosáhla certifikace IBM Gold Accreditation QRadar SIEM. Co tato akreditace obnáší a jak jí společnost ISECO dosáhla?

Bezpečnost není pro Rohde & Schwarz marketing

Česká firma IS4 Technologies uzavřela významný kontrakt s německým gigantem Rohde & Schwarz (s obratem přes 2,5 miliardy EUR), který se etabloval v radioelektronice, vysílací technice a měřicí technice, dnes ale už i v oblasti IT a síťové bezpečnosti a šifrování jak dat, tak hlasu. ITBiz měl příležitost být u první návštěvy zástupců R & S.

Ze zpráviček

ÚOOÚ zahájil správní řízení s T-Mobile kvůli odcizeným datům

Úřad firmu podezírá z nedostatečných technicko-organizačních opatření. V případu jde o krádež údaje zhruba 1,5 milionu zákazníků a vyšetřuje ho policie.

T-Mobile je přesvědčený, že při krádeži dat klientů nepochybil

Mobilní operátor je přesvědčený, že při dubnové krádeži dat svých klientů jedním z jeho zaměstnanců, který je prodával dál, neudělal žádnou systémovou chybu.

Oracle musí zaplatit HP v případě Itanium odškodné 3 miliardy dolarů

Kalifornský soud nařídil Oraclu zaplatit konkurenčnímu Hewlett-Packard Enterprise Co. Odškodné v případě týkajícím se serverů HP s procesorem Itanium od Intelu.

SimpleCell s T-Mobilem pokryli sítí internetu věcí 80 procent ČR

Počet pokrytých obcí se za čtvrt roku zvýšil o víc než polovinu na 5200.

Intel prý zvažuje prodej divize kybernetické bezpečnosti

Součástí těchto aktivit jsou i technologie firmy McAfee, kterou Intel koupil v roce 2011 za zhruba 7,7 miliardy dolarů.

Tiscali koupilo službu pro zasílání dat Úschovna.cz

Podle Tiscali šlo o největší obchod v historii společnosti, koupě přišla na desítky milionů korun.

Španělsko prý kvůli daním provedlo razii v kancelářích Googlu

Španělské úřady provedly razii v madridských kancelářích společnosti Google – v rámci vyšetřování souvisejícího s jejími daněmi.

BMW bude s partnery vyvíjet technologie pro samořízené automobily

Německá automobilka bude spolupracovat s Intelem a s izraelskou softwarovou společností Mobileye, výrobu robotických aut chce rozjet do pěti let.

LG a Volkswagen budou vyvíjet platformu pro konektivitu aut

LG Electronics a Volkswagen budou spolupracovat na vývoji platformy, která vozidlům umožní komunikovat s externími přístroji.

       

Komentáře

[Ruža Becelin]

Řešení Live Patching pro SUSE Linux Enterprise Server umožní podnikovým uživatelům systému Linux aktualizovat operační systém, aniž by jej museli restartovat.

Nechapu, proc se tohohle nesmyslu porad nekdo drzi...

[Michal Kubeček]

Není třeba. Stačí že to chápou zákazníci. :-)

[Ruža Becelin]

To jo, protoze nevi, co riskuji

Ja nemam nic prot live patchingu, pokud ovsem bude deterministicky, coz v soucasnosti neni. Pokud potrebuji provoz 24/7, mam HA...

[Michal Kubeček]

Ja nemam nic prot live patchingu, pokud ovsem bude deterministicky, coz v soucasnosti neni.

Šlo by to nějak rozvést?

[Ruža Becelin]

Lepsi by bylo primo odkazat na LKML mailing list, ale ted nemuzu najit tu diskuzi. TLDR; v soucasnem jadre nelze zarucit, co se stane, kdyz se vymeni cast jadra za novejsi bez rebootu, na rozdil od modulu, kde to funguje bez problemu.

[Michal Kubeček]

"nelze zarucit, co se stane" zní příliš mlhavě a neurčitě na to, aby takovému tvrzení šlo přikládat nějakou váhu. Má-li vás brát někdo vážně, bude potřeba aspoň naznačit nějaký konkrétní problém, ne jen trousit mlhavé náznaky typu "nev(ěd)í co riskují", "nelze zaručit, co se stane" atd.

A nezapomínejte také na to, že co je v mainline, je hodně odlišné od toho, co se používá ve SLE12 a RHEL7. V podstatě je to tak, že obě implementace vznikly nezávisle na sobě a základní problém (jak se vypořádat s tím, když je nějaký task v nahrazované funkci nebo se do ní může vrátit) řeší každá jinak. Do mainline se pak dostal společný framework, nad kterým by pak v ideálním případě mohl být postaven jak kgraft, tak kpatch. V každém případě lze ale těžko na základě diskuse o upstreamovém kódu šmahem odmítnout live patching, který se nabízí zákazníkům.

[Ruža Becelin]

Tak ta veta byla pouzita primo v te diskuzi, ale OK, chapu, SUSE to ma jako obchodni artikl, co se prodava, tak proc ne.

Ono s patchovanim jadra za behu je to jeste slozitejsi, nez s patchovanim deb/rpm a nebudem si nalhavat, ze to funguje jenom proto, ze se zakaznik neozval s tim, ze ma poskozena data a to vcetne zaloh.

Jak rikam, osobne nemam nic proti live patchingu, ale dokud nebude platit ze starejadro+live patching = starejadro->reboot->novejadro, tak to je proste o hubu. A jaderni vyvojari jasne rekli, ze soucasne jadro neni z duvodu omezene modularity schopno vymenit cast funkcionality za behu tak, aby nedoslo k padu nebo poskozeni struktur. Navic live patching resi problem, ktery se da vyresit mnohem elegantneji (HA), a v podstate jediny use case jsou servery, ktere z nejakeho duvodu musi bezet 27/4 a zaroven nepodporuji HA...

Ted se divam, ze od RHEL 7.2 je kpatch podporovan pro Premium SLA, je kolem toho dost vagni popis, takze otazka je, jestli se to nenabizi, jenom aby se to nabizelo. U SUSE to bude asi jinak, ale tam mate vetsi prehled vy...

[Michal Kubeček]

Promiňte, ale tohle je pořád stejné mlžení, náznaky, strašení, ale žádný konkrétní problém.

Je pravda, live patching kód, který je v současné době v mainline, neřeší konzistenci. Ale to neznamená, že ji neřeší live patching, který se nabízí zákazníkům SLE nebo RHEL. Stejně tak je pravda, že ne pro každý fix lze vytvořit live patch. To ale neznamená, že se v takovém případě zákazníkům dá nespolehlivý nebo dokonce nefunkční live patch.

Takže vás prosím, abyste buď popsal konkrétní problém a konkrétní riziko, nebo přestal trousit mlhavé a neurčité poznámky a silácké výkřiky o "nesmyslu", o tom, jak je něco "o hubu" a o tom, že zákazníci "nev(ěd)í co riskují".

ale dokud nebude platit ze starejadro+live patching = starejadro->reboot->novejadro, tak to je proste o hubu

To nebude platit nikdy. To totiž v úplnosti neplatí ani bez patchování, tj. nabootujete-li dvakrát stejné jádro, nedostanete v paměti úplně totéž.

Navic live patching resi problem, ktery se da vyresit mnohem elegantneji (HA)

Řeší podobný problém, ale ne úplně stejný. Ne všechno lze řešit pomocí HA nástrojů a ani ty nejsou úplně bez problémů.

Ted se divam, ze od RHEL 7.2 je kpatch podporovan pro Premium SLA, je kolem toho dost vagni popis, takze otazka je, jestli se to nenabizi, jenom aby se to nabizelo.

Pokud to v té nabídce je, tak to tam je. "Premium SLA" budou zákazníci s většími kontrakty, takže tam se stejně přesné podmínky budou domlouvat individuálně. Co se SLE týká, existují zcela reální zákazníci a dostávají zcela reálné patche, takže to v žádném případě není "jen aby se to nabízelo".

[Ruža Becelin]

Tak mainline neresi konzistenci, ale SLE/RHEL jo. Hmm OK. Konkretni riziko jsem popsal, stejne jako ji popsali vyvojari jadra, to uz jsem uvedl driv.

Ja nemam konkretni problem, na druhou stranu nemam rad reci obchodniku, ze kdyz to nabizi, tak to musi prece fungovat, a vy prece nedelate v sales, tak nechapu, proc se bavit na tehle urovni.

A k tomu nesmyslu a silackym recem - Live patching v soucasne podobe na soucasnem jadre je nederministicky a nezarucuje mi, ze jadro bude funkcni stejne tak, jako kdyz nabootuju nove ciste jadro. To je fakt a reci o tom, co mam v pameti po dvou rebootech, jsou k nicemu.

Jak jsem napsal, chapu vyuziti live patching tam, kde nejde nasadit HA, ale je to velice omezena skupina pripadu, na omezenem otestovanem HW.

Mne nevadi, ze to SLE/RHEL nabizi, fakt ne, na druhou stranu nebudu tvrdit, ze to je svaty gral, co zaruci 100% dostupnost systemu, ktery bude zaroven 100% opatchovany, tak to totiz zakaznici chapou a pak se jim musi vysvetlit, ze stejne jako neopatchuju openssl/glibc/apache bez restartu, tak ani jadro ne, at navoskovany papir rika neco jineho.

Jinak, zkuste se trochu zamyslet nad celou vetou, na kterou jsem reagoval a pochopite, proc je to totalni nesmysl.

Skutecny live patching jsem videl akorat v erlangu, a tam linuxove jadro fakt neni (I kdyz doufam, ze jednou bude, protoze to je fakt vec!)

[Michal Kubeček]

Konkretni riziko jsem popsal

Nepopsal. Nevidím tu popsaný žádný konkrétní scénář, při kterém dojde k problému, nevidím aspoň základní popis toho problému.

stejne jako ji popsali vyvojari jadra, to uz jsem uvedl driv.

Kdybyste uvedl odkaz na konkrétní e-mail, mohli bychom se bavit o tom, co je v něm. Mohli bychom se bavit o tom, jestli se ten problém týká jen toho, co je v mainline, nebo jestli se vztahuje i na kgraft/kpatch a jestli náhodou nepopisuje zrovna ten typ patche, o kterém se ví, že ho v současné implementaci udělat nejde. Takhle se není o čem bavit, pořád z vás padá jen neurčité a mlhavé strašení.

nemam rad reci obchodniku, ze kdyz to nabizi, tak to musi prece fungovat, a vy prece nedelate v sales, tak nechapu, proc se bavit na tehle urovni

Nic takového jsem netvrdil. Vy jste začal s tím, jestli se to nenabízí jen tak na oko, já reagoval, že existují reální zákazníci a dostávají reálné patche.

Live patching v soucasne podobe na soucasnem jadre je nederministicky a nezarucuje mi, ze jadro bude funkcni stejne tak, jako kdyz nabootuju nove ciste jadro. To je fakt a reci o tom, co mam v pameti po dvou rebootech, jsou k nicemu.

Nejsou k ničemu. Tak, jak jste to napsal, to prostě neplatí ani bez patche, takže se nedá očekávat, že to tak bude s patchem. Konkrétní implementace - a to je to, co se nabízí zákazníkům, ne základní framework v mainline - konzistenci řeší.

na druhou stranu nebudu tvrdit, ze to je svaty gral, co zaruci 100% dostupnost systemu, ktery bude zaroven 100% opatchovany, tak to totiz zakaznici chapou a pak se jim musi vysvetlit

Zákazníci vědí - a je jim to jasně vysvětleno - že live patche se poskytují pouze pro kritické bezpečnostní chyby a že ani pro ty to v konkrétních případech nemusí být technicky realizovatelné.

Jinak, zkuste se trochu zamyslet nad celou vetou, na kterou jsem reagoval a pochopite, proc je to totalni nesmysl.

Raději se vy pokuste zamyslet nad tím, co jste napsal. Nejdřív jste kernel live patching jako takový označil za "nesmysl", poté jste dokonce tvrdil, že zákazníci "nev(ěd)í co riskují". Ale napsat konkrétně, co vlastně podle vás riskují, opakovaně odmítáte.

Live patching není žádný svatý grál řešící všechny problémy světa. Je to služba, která řeší určitý problém (poptávka tu byla dlouho před nabídkou) v určitých situacích. Není to kouzelný proutek, ale stejně tak to není "nesmysl" ani něco, co z principu nemůže fungovat.

a pak se jim musi vysvetlit, ze stejne jako neopatchuju openssl/glibc/apache bez restartu, tak ani jadro ne

Kernel live patching na SLE reálně funguje, a to už i v produkci. To není navoskovaný papír, to je reálný produkční provoz. User space live patching se nenabízí, ale i tady existuje poptávka a řeší se, zda a za jakých podmínek by to bylo možné realizovat.

[Ruža Becelin]

Tak jinak

Řešení Live Patching pro SUSE Linux Enterprise Server umožní podnikovým uživatelům systému Linux aktualizovat operační systém, aniž by jej museli restartovat.

Nechapu, proc se tohohle nesmyslu porad nekdo drzi...

Tak jestli SUSE dokaze opatchovat operacni system bez restartu (o kritickych bezpecnostnich chybach se nic nepise), tak to se omlouvam.

No ja myslim, ze uz se v tom nebudem hrabat, protoze se stejne nikam nedostanem (a to rikam s respektem k vam), tak preji pekny den a zase nekdy

[Michal Kubeček]

Tak jestli SUSE dokaze opatchovat operacni system bez restartu (o kritickych bezpecnostnich chybach se nic nepise), tak to se omlouvam.

Pokud se chcete mermomocí hádat o slovíčka, tak musím konstatovat, že ta citovaná věta je pravdivá; sice se tam nepíše nic o kritických bezpečnostních chybách (což je ovšem jen naše volba), ale stejně tak se tam nepíše nic o tom, že lze takto provádět všechny aktualizace.

No ja myslim, ze uz se v tom nebudem hrabat, protoze se stejne nikam nedostanem

Pokud popíšete konkrétní problém (ať už přímo nebo odkazem), můžeme se pobavit o tom, jestli je pro kgraft relevantní (sice nedělám na kgraftu, ale základní principy znám a kdyby bylo nejhůř, člověk, který na něm v současnosti pracuje nejvíc, sedí ve stejné místnosti). Bez toho ale ta diskuse opravdu nemá smysl.

[pavele]

Tak já bych měl tedy dotaz na člověka, který na něm v současnosti pracuje nejvíc a sedí ve stejné místnosti:

Je v tento okamžik plně funkční (myslím tím produkční nasazení) možnost výměny linuxového jádra bez restartu počítače, aniž by došlo k jakýmkoliv problémům po této výměně?

Slova "jakýmkoliv problémům" pro mne znamenají, že běžících služeb jako glusterfsd, kvm, Samba, Apache, MariaDB nebo OpenSSH se tato výměna nijak nedotkne.

Předem děkuji za odpověď.

[Michal Kubeček]

Jestli formulací "možnost výměny linuxového jádra" myslíte to, že pod běžícím userspace vyměníte jádro za (obecně) úplně jiné, tak to live patching neumí a ani to nebylo jeho cílem. Spíš mi to zní jako use case pro nějaké nástroje typu checkpoint/restore, ale tam vůbec nevím, v jakém je to stavu ani kdo na tom pracuje.

[pavele]

Díky za odpověď.