Сравнение уязвимостей Windows и Linux
Коллеги, прошу прощения за долгое молчание. на то были объективные причины: первый всеволжский MCP Summit, который прошел 5-6 ноября под Нижним Новгородом. Огромное спасибо всем, кто в нем участвовал. Алексей Фролов (MCP из Нижнего) написал небольшой отзыв - https://adminoff.spaces.live.com/blog/cns!AEDDAD91AC156CE2!150.entry. Подробный отчет с фото будет попозже.
А теперь собственно о том, что я хотел вам сегодня рассказать, точнее дать полезный линк. Забугорный коллега Jeff Jones(который ведет один из популярнейших блогов TechNet) очень интересно рассказал про сравнение уязвимостей в Windows и Linux. К сожалению, сообщение на английском, но, все равно, очень рекомендуется к прочтению.
Часть текста:
First, let's look at the quarter. Windows had 12, Red Hat had 31, and Ubuntu had 14.
Next, let's look at the High, Remote vulnerabilities per day for the year. (Note that Vw doesn't add any value since we're explicitly excluding Medium and Low, so we're just dividing the vuln count by the days in the period.) We need to normalize by days since Ubuntu has only been available since June 1. The figure below charts the High, Remote vulns fixed per day for the three workstation products.
Весь отзыв можно прочитать в блоге Jeff'а - https://blogs.technet.com/security/archive/2006/10/20/windows-vs-linux-workstation-q3-2006-addendum-high-remote.aspx
PS У меня скопилось много новостей, поэтому постараюсь обо всем рассказать в ближайшие дни
Comments
Anonymous
January 01, 2003
>The figure below charts the High, Remote vulns fixed per day for the three workstation products Я правильно перевёл:рисунок показывает сколько уязвимостей устранялось в день для различных ОСей?Тогда я трактую этот рисунок так:ребята из RH работают,из Ubuntu-работают,но меньше,MS-ещё меньше,а ведь могли и есть над чем работать.Anonymous
January 01, 2003
Часто такая статистика делается на заказ, т.е. с учетом преимуществ заказчика, ну разьве кто-то скажет что его софт не самый лучший? :)Anonymous
November 09, 2006
Сказки. duck tales. По дефолту в дитсрибутивах unix-like системах много что включено. Необходимо правильно разграничивать права доступа, делить нормально дисковое пространство, а именно: / /usr /tmp /var swap, а не так, как предлагается инсталляторо по умолчанию: swap и /. В общем - прописные истины. Читайте "старые" книги по юникс системам - там вся философия. Всякие руткины - результат действий неквалифицированного админитратора. Что касается Windows 2000/XP- то все также упирается в настройки системы. ;) Uptime unix-систем несравним (значительно больше ;) ) в сравнении с uptime Windows.Anonymous
November 09, 2006
Ну, сравнивать что-либо с Убунтой, очень забавно ;) Почему не с SuSE. То есть, речь же про дефолтные настройки безопасности, как я понимаю, а не про матерых админов win/lin с 2k3/Slackware ;)Anonymous
November 09, 2006
The comment has been removedAnonymous
November 09, 2006
При разов в восемь меньшем размере дистра, в разов семьсот семдесят семь меньшей функциональности и закрытых исходниках у виндовса насчитали всего вдвое меньше уезвимостей. Ну не позор ли?Anonymous
November 09, 2006
И не будем забывать что Linux это ядро а не O.С. >:) А уже на этой основе при помощи GNU окружения и загрузочных скриптов можно много чего наколбасить .Anonymous
November 10, 2006
В моей Ubuntu в дистрибутив входит OpenOffice, Evolution, компиляторы, редакторы, среды разработки, Mono, Java и прочее, прочее, прочее. 14 говорите security updates для поддерживаемых пакетов :) Возьмите и сравните тогда не голую виндовс, а целый пакет Windows, MS Office, Visual Studio, Media Player, Photoshop, Messenger и ещё несколько программ аналоги которых есть в Ubuntu по умолчанию... Сколько получилось? 146? больше? Намного больше. Не надо сравнивать пустышку с настоящей unix рабочей станцией. --wbr nikolaj.udalov(гав)gmail.comAnonymous
November 10, 2006
The comment has been removedAnonymous
November 10, 2006
The comment has been removedAnonymous
November 10, 2006
Странное сравнение! Линукс бесплатен и делается (изначально) "Just for fun". Хочешь качественный продукт - плати деньги. Винда стоит денег, офис стоит денег и прочие, прочие, прочие расходы. За такие деньги можно гораздо качественнее софт разрабатывать. А линукс (тут упоминался Убунту) со всеми необхордимыми приложениям - бесплатен.Anonymous
November 10, 2006
Вот блин... В RH и Unbtu тысячи пакетов, и уязвимости считаются во всех, а винда... ядро, блокнот и експлорер :)Anonymous
November 10, 2006
У nix-like ОСей аптайм больше чем лайвтайм у винды =) Благодаря закрыты мисходникам винда себя погубит -) А что касается того сравнения - так оно явно "покупное". Помните, как некто хаккер обнаружил в фаерфоксе ~150 уязвимостей? +) Уток везде полно.Anonymous
November 10, 2006
господам, указывающим на некорректность сравнения Windows и Linux, могу предложить на выбор два варианта действия — для того, чтобы их аргументы звучали убедительно, а не подобно базарному спору. а) внимательно прочитать описание методологии сравнения здесь: http://blogs.technet.com/security/archive/2006/07/14/441877.aspx (с дополнениями здесь: http://blogs.technet.com/security/archive/2006/10/06/Red-Hat-and-Windows-2D00-Defining-an-Apples_2D00_to_2D00_Apples-Workstation-Build.aspx). б) произвести хоть раз самостоятельно подобное исследование, опубликовав свои результаты и приложив столь же подробное описание методологии.Anonymous
November 10, 2006
2 Tuco: -> Странное сравнение! Линукс бесплатен и делается -> (изначально) "Just for fun". Хочешь качественный -> продукт - плати деньги. Винда стоит денег, офис -> стоит денег и прочие, прочие, прочие расходы. За -> такие деньги можно гораздо качественнее софт -> разрабатывать. А линукс (тут упоминался Убунту) -> со всеми необхордимыми приложениям - бесплатен. Тебя не Билл Гейтс зовут? :-) Ответь, пожалуйста, если выпускается бесплатный софт такого качества, то почему мы за деньги видим только дырки?Anonymous
November 10, 2006
чем больше букв в описании иследования тем больше можно налить воды и запудрить мозги.Anonymous
November 10, 2006
- В статье не учтено время от появления до исправления ошибки. Лучше было бы если считалось не количество ошибок а время исправления их, т.е. время от выявления ошибки до появления исправления.
- Не учтен перерыв в работе на учет ошибок. К примеру на моих серверах в самом тяжелом случае (ошибка в ядре Linux) перерыв uptime составляет менее 1 минуты благодаря kexec(). В случае прикладных программ это - секунды. Сколько требуется типичному windows-серверу на перезагрузку?...
Anonymous
November 10, 2006
у меня файрволл стоит чекпойнт на базе секуре-платформ. для тех кто не знает - это линукс-ядро патченное изготовителем чекпойнта. таки если есть проблемы - в службе тех-поддержки первый вопрос - какая платформа. если не не их линукс - то однозначно разберитесь с виндой/соляркой. ну или линуксом если не ихнем ;) и второе. ДО установки чекпойнта долго стояли линуксы в качестве файрволла, почты, веб- и прочих сервисов. при грамотном админе - сломать можно - но не чайнику, а только профи. коих весьма немного.Anonymous
November 10, 2006
Камрад Laitr правильно заметил про время исправления ошибки. В Win можно ждать несколько дней пока появится патчик, а в *nix он выходит почти мгновенно. Прямые руки админа - залог успеха. что под Win, что под *nix. Плюс ко всему не надо забывать о критичности ошибок. в статистике считаются "просто ошибки", а то, что 70% ошибок не критические вежливо замалчивается... И пара слов для тех кто говорит об открытости исходников MS. Народ, вы представьте себе что MS открывает свой исходный код. Это же хана всем юзерам. Люди которые более - менее сооброжают в вирусописании просто убьют 99% машин с виндами... Это *nix софт проверен годами открытого кода и в нём на каждое действие найдётся противодействие, а в винде такого счатья непридвидится...