SANS bestempelt IIS als meest onveilige Windows-software

hmz ik denk dat IIS vrij veilig is; zolang je updates maar consequent en tijdig installeert.

Natuurlijk mag je een eigen mening hebben, maar de experts zijn het hierover dus niet met jou eens. Over iets wat de experts aanduiden als "meest onveilige" gaan vertellen dat het volgens jou "vrij veilig" (of vrij niet ) is , zonder enige onderbouwing, lijkt me niet goed voor je geloofwaardigheid.

da klopt inderdaad, en dat geven zij ook aan....

IISLock tool (en de daarbij behorende adviezen) is de beste die ik ooit geinstalleerd heb....
Let wel, ik ben de laatste tijd veel servers tegengekomen, beheert door 'experts' (tenminste...) en zie dan veel 'tips' niet uitgevoerd, zaken als remote beheer, printer spul ed. die standaard binnen IIS geinstalleerd worden, staan d'r nog vrolijk, terwijl je die bijna nooit nodig hebt. Ik draai ASP sites, ik heb dan alleen die ASP.dll's nodig, de rest kan weg. Gevolg, je sluit een heeeeeel groot deel van attacks hiermee uit.... Onveilig? Yep, misschien, maar na die wijzigingen een stuk minder....

Maar goed, dat geeft iid dat artikel verder wel aan. Goeie link trouwens, dank daarvoor richting de poster van dit gebeuren...

Een beetje goede DoS kan alles platleggen.

Zo simpel is het niet. IMO mag DoS de server niet laten crashen en moet de server direct nadat de aanval gestopt is weer beschikbaar zijn.
Of de server crashed of niet zegt dus wel iets over de betrouwbaarheid.

In welk opzicht is er dan een verschil tussen IIS 5 en IIS 6 wat security betreft? Daar ben ik dan wel even benieuwd naar. Het onderliggende besturings systeem blijft toch een heel grote rol spelen bij de veiligheid van een applicatie..... En IIS (5/6) draait nu eenmaal alleen op Windows.

Trouwens, Windows 2003 wordt echt wel goed ingezet tegenwoordig

44 miljoen sites, waarvan er 175.000 win2003 gebruiken, dat is 0,4 procent... noem ik verwaarloosbaar.
5 providers hebben samen de helft van het marktaandeel win2003 in handen.

met zo weinig servers is het niet moeilijk om je marktaandeel te verdubbelen

Voor een DDos attack is vrijwel alles gevoelig, maar een DoS attack is prima af te weren. En het is natuurlijk helemaal een blamage als je sever ook na de aanval onbereikbaar blijft.

Natuurlijk ligt het er aan hoe goed een bedrijf beveiligd is, maar hoe goed een bedrijf beveiligd is ligt weer aan welke produkten ze gebruiken en hoe hard ze die beveiliging nodig hebben (ja, een minder druk behackt systeem is per definitie veiliger). En als je een zeer goed beveiligde dienst wilt opzetten, pak je dan een produkt wat onbekend is en niet de aandacht van (veel) hackers heeft, of pak je dan een produkt dat geplaagd wordt de bergen en bergen mensen die proberen dat produkt te kraken?

IIS heeft zijn reputatie zelf veroorzaakt doordat het ook goed mogelijk bleek om te slagen. Er was niet alleen de uitdaging, maar er was ook nog eens de beloning van het slagen. Het is niet "toevallig", zoals jij stelt, populair bij hackers.
Lockpicking (het openen van b.v. hangsloten) is een sport, compleet met officiële verenigingen etc. omdat het een uitdaging is en je ook kunt winnen, maar touwtrekken tegen een bulldozers is geen sport, het is gewoon niet leuk omdat je toch niet kunt winnen.

IIS is gewoon een bewezen onveilig produkt en het zal nog heel lang duren voordat ze daar van af zijn, mede doordat ze het zo populair hebben laten worden bij hackers. Tot die tijd is IIS gewoon een hele zwake schakel. Natuurlijk kun je inbraken vookomen door met allerlei extra beveiliging je site te beveiligen, maar dat verandert niets aan de veiligheid van IIS, maar verbetert enkel de veiligheid van de site als geheel. Als IIS zelf al veilig was geweest, had je die extra beveiliging niet eens nodig gehad.