Итак, я сегодня обсуждаю с коллегой, и он сообщил кое-что, что мне показалось странным, когда я готовился применить обновления безопасности к одному из наших рабочих серверов.
«Вы никогда не должны применять обновления ядра». Его рассуждения заключаются в том, что вы не знаете, сломает ли он какой-либо из связанных модулей, что впоследствии может привести к поломке частей приложения. Я бы согласился на это, если бы, возможно, что бы вы ни использовали, вам нужно было создавать собственные модули ядра - но для ваших стандартных приложений это действительно проблема? FWIW рассматриваемый ящик запускает веб-сервер apache и базу данных.
Я считаю, что регулярное применение обновлений безопасности необходимо для защиты от ошибок, и что риск, который он обнаружил, перевешивается преимуществом наличия обновленного ядра в вашей производственной среде.
Вот почему у вас есть лаборатория, среда разработки, промежуточного тестирования или тестирования, которая чем-то напоминает вашу производственную среду или представляет ее. Некоторые машины загружаются с одной и той же ОС, уровнями исправлений и приложениями, в идеале ... так что вы можете быть уверены, что любые исправления будут совместимы с программным обеспечением, которое вы используете в производстве.
Патчи выпускаются, потому что они исправляют ошибки, проблемы с безопасностью, проблемы с производительностью и т. Д.
Если только ты не не хотите исправить эти вещи ... примените все свои патчи. После вы пропустили их через свою тестовую среду, чтобы убедиться, что они безопасны.
PS для удовольствия: Линус публично вырвал у какого-то чувака новую дыру, потому что патч ядра нарушил совместимость с приложением пользовательского режима. Очевидно, это его девиз (и общий принцип дизайна ОС), что исправления ядра должны стремиться никогда не нарушать внешние интерфейсы.
На самом деле мы сейчас занимаемся обновлением ядра. Только сегодня мы обновили ядро 50 виртуальных машин, работающих в нашем центре обработки данных в Техасе. Это обновление ядра очень важно, поскольку оно касается ошибки «секунды координации» в приложениях Java. У нас есть Java-приложения, работающие на Redhat 6.2, и возникает проблема, если вводится дополнительная секунда (середина и конец года), приложения паникуют и перестают отвечать. Итак, мы обновляем все хосты Redhat / CentOS 6.2 до середины года, чтобы снова избежать этой ошибки. Обновление ядра было выпущено Redhat Corporation и является очень важным обновлением. Мы хотели бы сделать это до середины года, когда будет введена дополнительная секунда.
Сначала вы тестируете обновление ядра в тестовой среде и смотрите, не сломается ли оно что-нибудь. Вы просто не запускаете никаких обновлений в производственной среде волей-неволей.