Paradigmenwechsel beim Patching
Jede Downtime – geplant oder ungeplant – bedeutet für Teams von SAP-Rechenzentren und auch für Fachbereiche oder Anwender in Unternehmen immer einen misslichen Umstand.
Bei den planned Downtimes liegen wir im Schnitt pro Jahr immer noch bei geschätzten fünf Tagen – kein schlechter Wert. Über Jahre hinweg wurden Patching-Prozesse quasi ritualisiert und man verfährt nach Standarddrehbüchern: Relativ fest sind die Patching-Zeitabstände fixiert, und Patches finden oft an Wochenenden statt.
Praktisch alle IT-Betriebsabteilungen werden mit einbezogen und es werden mit Fachbereichen die planned Downtimes abgestimmt.
Bei den unplanned Downtimes in SAP-Rechenzentren gibt es keine fixen Termine und man kann auch nicht auf Wochenenden ausweichen. Eine Abstimmung mit den Fachbereichen ist nicht möglich.
In der Regel lässt sich bei einer unplanned Downtime nur ein bestimmtes Problem fixen. Um unplanned Downtimes zu minimieren, steht eine Reihe von Konzepten und Lösungen – einzeln oder in Kombination – zur Verfügung: RAS (Reliability, Availability, Serviceability), Virtualisierung, HA-/GEO-Cluster, Systemrollback oder das Live/Online Patching.
In Zeiten des Realtime Business sind wir angehalten, einen echten 7X24-Betrieb oder eine „Towards Zero Downtime“ anzustreben. Es liegt in der Natur der Sache, dass in einem SAP-Rechenzentrum Softwareaktualisierungen (und von Zeit zu Zeit auch Hardwareaktualisierungen) durchzuführen sind.
Stärker als in der Vergangenheit geht es dabei um die Security. Sogenannte CVEs (Common Vulnerabilities and Exposures) betreffen auch Betriebssysteme.
CVEs beschreiben auf der Grundlage von einheitlichen Konventionen Sicherheitslücken und andere Schwachstellen; hier: die Verletzbarkeit von Betriebssystemplattformen samt Kernel. Dabei bleibt Linux nicht ausgenommen.
Zum Beispiel wurden 24 als schwerwiegend kategorisierte CVEs bei Linux im Jahre 2014 ausgemacht. Mehr waren es bei anderen Betriebssystemen. Man muss davon ausgehen, dass die CVEs insgesamt weiter zulegen.
Das Security-Patching hat Auswirkungen auf die planned und unplanned Downtimes. Es darf nicht sein, dass etwa bei Security-Aktualisierungen oder einer Art CVE-Therapie quasi eine IT- oder eben SAP-Vollbremsung stattfindet.
Das Ziel muss lauten: Patches vornehmen, ohne ein System-Rebooting samt Vereinbarungen mit Fachbereichen über Downtimes, etwa mit SAP-nicht-Nutzung eine bestimmte Zeit lang.
Zum Zuge zu kommen hat ein Live Patching, das herkömmlichen Konzepten den Laufpass gibt und im Kern die IT-Serviceverfügbarkeit von kritischen SAP-Anwendungen nachhaltig erhöht. Seit Jahren beschäftigt sich Suse damit, ein Live oder Online Patching des Linux-Kernels im Enterprise-Umfeld zur Verfügung zu stellen – ohne eben ein typisches System-Stop-and-go.
Im Entwicklungsprojekt kGraft wurde das klassische Dynamic Software Updating (DSU), vornehmlich verwendet für Sicherheits-Patches und Patches mit limitierter Größe, erweitert – mit dem Ziel, eine Standard-Live-Patching-Lösung für den Linux-Enterprise-Einsatz bereitzustellen.
kGraft basiert auf modernsten Linux-Technologien, u. a. INT3/IPI-NMI selbstmodifizierendem Code, einem RCU-ähnlichen Update-Mechanismus, mountbasierter NOP Space Allokation und Standard-Kernel-Module-Loading/Linking-Mechanismen.
Im Rahmen der diesjährigen Sapphire hat Suse seine SAP-zertifizierte Lösung Suse Linux Enterprise Live Patching vorgestellt, die seitdem für x86-64-Server verfügbar ist. Zusätzlich wird sie zu SLES 12 Service Pack 1 for SAP Applications (Hana, NetWeaver und andere SAP-Plattformen) ausgeliefert.
Suse gibt mit Suse Linux Enterprise Live Patching Unternehmen einen Hebel an die Hand, um überholten Patching-Konzepten den Rücken zu kehren. Um Sicherheitsbetriebskonzepte ohne geplante Downtimes und minimierte ungeplante Downtimes (durch CVEs) in die Tat umzusetzen.
Gleichzeitig kann das Riskmanagement verbessert, das Angriffspotenzial durch Schadsoftware proaktiv minimiert und insbesondere die IT-Servicequalität gesteigert werden.
