Der Inhalt der /proc/uptimeBerichte:
48973211.37 1627573879.70
48973211 Sekunden bedeuten, dass der Server 567 Tage lang ohne Neustart aktiv ist.
Seitdem wurden viele ernsthafte Sicherheitsfixes auf den Linux-Kernel angewendet. Da mein Server nie neu gestartet wurde, fehlen mir wohl all diese Patches. Ich bin bei einem großen europäischen Webhoster. Aber ich möchte niemandem die Schuld geben, also werde ich den Namen nicht nennen.
Es ist ein kleiner Webspace. Ich habe PHP + MySQL (nichts Besonderes).
Ich habe es nicht ausprobiert, aber es könnte möglich sein, ausführbare Dateien mit der exec()-Funktion von PHP auszuführen, wodurch direkte Kernel-Aufrufe möglich werden. Aber selbst wenn das nicht möglich ist, halte ich die fehlenden Patches für ein Problem.
Wie kann das also sicher sein? Ich weiß, dass es viele verschiedene Virtualisierungstechniken gibt. Vielleicht erklärt eine davon es?
Antwort1
Nein, eine Kiste, die so lange steht, ist nicht sicher.
Allgemeine Betriebssysteme sollten mehrmals im Jahr neu gestartet werden, um Sicherheits- (und Qualitäts-)Updates zu erhalten. Alle Prozesse sind davon betroffen, da es irgendwann Fixes für die Anwendung, die C-Bibliothek, die TLS-Bibliothek usw. geben wird. Es ist einfacher, das gesamte System herunterzufahren und zu beweisen, dass es einen Warmstart durchführen kann.
Live-Patching ist eine eingeschränkte Technologie. Einige Enterprise-Distributionen machen sich die Mühe, für sehr ausgewählte, meist sicherheitsrelevante Kernel-Updates keine Neustart-Updates bereitzustellen. Dies kann jedoch nicht alles beheben, da die meisten Anwendungen so etwas nicht haben.
Vorausgesetzt, es handelt sich um einen VM-Gast, muss auch der Hypervisor darunter gelegentlich gewartet werden. Live-Migration oder das Speichern des Speicherstatus können den Anschein erwecken, als würde der Gast weiterlaufen, selbst wenn er den physischen Host wechselt. Dies hat jedoch keinen Einfluss auf das Patchen des Gasts, der weiterhin seine eigenen Updates benötigt.
Wenn Sie Managed-Hosting-Dienste nutzen, liegt die Verantwortung für den Computergast und den Host zwar bei einer anderen Person, aber Sie können sich trotzdem Zusicherungen holen. Fragen Sie den Anbieter nach seinen allgemeinen Richtlinien für Software-Updates. Übernehmen sie beispielsweise ausdrücklich die Verantwortung dafür und erfolgen die Updates vierteljährlich oder in einem anderen Intervall? Wenn Sie keine Antwort haben oder die Dinge absichtlich jahrelang laufen lassen, sind das Anzeichen für Inkompetenz.
Wenn die Verfügbarkeit ein Problem darstellt, sollten sie über eine Hochverfügbarkeitslösung mit mehreren Knoten verfügen. Es geht nicht um die Betriebszeit eines einzelnen Hosts, sondern um den gesamten bereitgestellten Dienst.
Antwort2
Nein. Nicht gesichert.
Virtualisierungstechniken wie Containerisierung können einem Linux-Webserver ein gewisses Maß an Sicherheit bieten, sind aber kein Ersatz für regelmäßige Updates und Überwachung. Sie können zwar dazu beitragen, den Server vor potenziellen Bedrohungen zu isolieren, es ist jedoch dennoch wichtig, das zugrunde liegende Betriebssystem auf dem neuesten Stand zu halten und auf Probleme zu achten.