Netcraft survey: marktaandeel Apache neemt af

De resultaten van de Netcraft webserver survey van augustus 2001 staan online. In totaal zijn er 30,775,624 hosts getest, dat zijn er 523,968 minder dan vorige maand. Wat opvalt is dat het aantal Apache-servers iets is gedaald (van 58.73% in juli naar 58.08% in augustus) en dat het aantal IIS-servers gestegen is (25.88% in juli en 26.47% in augustus). Netcraft heeft daar de volgende verklaring voor:

The total number of sites in the survey actually fell this month, as a result of failures and business model changes at several mass hosting companies. Microsoft continues its recent gains, with a further half a per cent rise, due in part to the remainder of a large domain hosting system at Network Solutions completing a migration to Windows 2000, and in part because it has far less exposure to the mass hosting companies than Apache. Our data was collected at the start of the month, and we will have a clearer picture of whether Code Red has caused any significant movement away from Microsoft-IIS in September.

Op de survey pagina is verder te lezen dat IIS-webservers massaal gepatched zijn de afgelopen maand. De reden hiervoor is onder andere de CodeRed worm. Vanwege deze worm hebben systeembeheerders massaal hun machines van de laatste servicepacks voorzien, zoals te zien is in dit plaatje:

Reacties (45)

Hoeveel mensen runnen IIS zonder dat ze dat zelf weten?

En wat dacht je van PWS? Volgens mij draaien die erg vaak en identificeren zich als een IIS server (weet ik niet zeker hoor).

Gelezen op de website van Netcraft -> Microsoft is the sum of sites running Microsoft-Internet-Information-Server, Microsoft-IIS, Microsoft-IIS-W, Microsoft-PWS-95, & Microsoft-PWS.

Gewoon artikel lezen voordat je reageert

Alleen mensen die Windows 2000 Server draaien, daar word hij namelijk standaard geinstalleerd. Bij Prof. niet, en aangezien de meesten mensen die draaien (als ze al 2000 draaien) zal dat aantal wel meevallen.

Is het niet zo dat bij (bepaalde versies van?) Frontpage IIS ook geinstalleerd wordt? En dat is wel een pakket dat door veel mensen zonder systeembeheerder-kennis gebruikt wordt!!

[miereneukerij]
het word standaard wel geinstalleerd, het staat standaard niet aan!
[/miereneukerij]

Wat me wel opvalt is dat steeds meer IIS servers root.exe ge-installeerd hebben [blauwe lijn]

Het word standaard niet geinstalleerd op win2k pro als je het daarop wilt installen dan zal je om de installcd van win2kpro worden gevraagd.

win2k server zal het vast wel op geinstalled worden.

Veel thuisgebruikers waarschijnlijk zoals de buurvrouw

Hoe kunnen ze half mei al weten of een IIS server Code Red proof is?????

Vaag

Omdat die bug toen ontdekt is, en een aantal weken later in juni kwam er een al een patch voor.

Het enige flauwe is dan wel dat de score natuurlijk niet bij nul begint, maar gewoon ergens bij 10 - 20 % had moeten beginnen. Sterker nog, die had IMHO bijna bij 100 % moeten beginnen..

Een heel belangrijk punt is dat veel startende ondernemingen apache draaien, en de grote bedrijven juis Microsoft.
De grote bedrijven vaak wat trager zijn met het volgen van trends en zullen wat vaker blijven zitten waar ze zaten. Microsoft is daar vaak een algemene standaard, en daar past Linux of Apache ed. gewoon niet zomaar tussen.
Aangezien de economie wat inzakt, en helemaal de webbusiness, krijg je dat er minder bedrijven zijn die net starten en zelf een server hebben draaien. De grote bedrijven krijgen weer meer de overhand. Ook van die bedrijven die gratis hosten gebruiken vaak Linux en Apache ed. en die gaan de laatste tijd met bosje failliet.

Een heel belangrijk punt is dat veel startende ondernemingen apache draaien, en de grote bedrijven juis Microsoft.

hmm wat jij zegt klopt niet echt met wat de core business correlatie onderzoeken zeggen. Die vinden juist dat bedrijven die internet als core business hebben (bijv. Amazon) heel vaak Apache als webserver hebben, terwijl bedrijven waar het een bijzaak is vaak IIS hebben omdat ze "toch al een NT server hebben".

Ik hebt het niet helemaal duidelijk geformuleerd, maar idd. bedrijven emt als core-business internet gaan de laatste tijd over de kop, en die hebben vaak apache draaien.
Daar doelde ik dus op.

* 786562 TheGhostInc

Waar maak je uit op dat juist de grote bedrijven niet voor Apache kiezen maar voor MS IIS? En waardoor denk je dat de grote bedrijven de overhand krijgen nu de economie minder snel groeit? Het zou interessant zijn als je dit verder kunt onderbouwen..

Apache biedt ook ondersteuning, dat is de core business van Apache ......

Feit is dat elk groot bedrijf al meerdere NT of win2k servers heeft draaien, dus daar ook het systeembeheer voor heeft lopen. Unix beheer is toch echt een andere tak van sport, zeker als het gaat om security en dat soort zaken. En aangezien de licenties toch al aanwezig zijn is het geen probleem om IIS te draaien. Daarbij komt ook nog het voordeel dat eigenlijk bijna elke web ontwikkelaar wel ASP kent, dus tel uit je winst...

and we will have a clearer picture of whether Code Red has caused any significant movement away from Microsoft-IIS in September.

Het lijkt me niet dat er veel bedrijven zijn die vanwege code red op Apache overgaan. Er zat dan wel een bug in IIS, maar die was met een patch eenvoudig op te lossen, alleen waren veel systeem beheerders daar de te lui voor waardoor code red relatief veel "slachtoffers" heeft gemaakt. Ik denk dat een bedrijf eerder zo'n prut systeembeheerder ontslaat dat ze op een compleet ander pakket overgaan (en meestal dan ook nog eens op een ander OS overgaan, aangzien Apache niet echt lekker op Windows draait geloof ik, in ieder geval niet zo lekker als op Linux).

Oftewel, uit het grafiekje kan ik opmaken de websites worden steeds minder kwetsbaar voor de op dit moment bekende bedreigingen. Lijkt me een soort van schijnveiligheid, want op nieuwe/toekomstige bedreigingen wordt natuurlijk nog niet getest

Daarnaast vind ik een verandering van een half procent niet echt opzienbarend...

Lijkt me een soort van schijnveiligheid, want op nieuwe/toekomstige bedreigingen wordt natuurlijk nog niet getest

Hoe moet je op nieuwe of toekomstige bedreigingen gaan testen? Want als het nieuw is weet je nog niet dat het er is en laat staan toekomstige.

Het is net zoals met virusscanners, je loopt altijd achter omdat het ene tijdje duurt voordat er een virusdefinitie van een nieuw virus is.

Zo werkt het IMHO ook, het enige wat je als admin kan doen is de server zo op-to-date als mogelijk houden, want je weet eenvoudig weg niet wat er gaat komen in de toekomst.

Zo werkt het IMHO ook, het enige wat je als admin kan doen is de server zo op-to-date als mogelijk houden, want je weet eenvoudig weg niet wat er gaat komen in de toekomst.

of gewoonweg software installeren waar al honderden (zoniet duizenden) mensen naar hebben gekeken of het veilig is.

laatst stond er een artikel op securityportal, de laatste keer dat er een remote-access exploit in Apache heeft gezeten was 2 jaar geleden, terwijl er continu bugs in IIS worden gevonden die remote access mogelijk maken.

Ik vind dit toch werkelijk apart. Je zou denken dat er goed over nagedacht wordt welk OS je op webserver gaat zetten. Na een beetje onderzoek zie je dat er voor ISS om de week wel weer een patch word uitgebracht, die weer extra moeite met zich mee brengt, en ook nog een reboot. Apache is simpelweg een betere keus.

Na een beetje onderzoek zie je dat er voor ISS om de week wel weer een patch word uitgebracht

Welnee. Lang niet alle patches zijn voor iedereen van belang (als jij geen ASP-files hebt heeft het ook geen zin om ASP-fixes te installen), en ook niet alle patches die MS uitbrengt zijn voor IIS hoor.

die weer extra moeite met zich mee brengt

Nou, als een systeembeheerder al extra moeite heeft om 4 muisklikken te doen (want zoveel zijn het er), kan hij misschien beter een andere baan nemen...

en ook nog een reboot

Ook dat is niet juist. In de Resource Kit zit een tooltje waarmee je slechts één reboot nodig hebt voor een hele reeks Hot Fixes.

Apache is simpelweg een betere keus.

Nee, dus. Dat hangt helemaal van de situatie die je hebt af.

en ook nog een reboot

Ook dat is niet juist. In de Resource Kit zit een tooltje waarmee je slechts één reboot nodig hebt voor een hele reeks Hot Fixes.

Sorry hoor maar een reboot blijft een reboot, ook al is het er maar eentje.

Sorry hoor maar een reboot blijft een reboot, ook al is het er maar eentje.

Zekers, maar als je die een beetje slim scheduled zijn die 3-4 minuutjes die het kost ook niet zo spannend meer. Als je een béétje serieuze site hebt staan heb je hem toch al dubbel staan ivm fault-tolerance etc.

Apache is simpelweg een betere keus.

Sorry, dat ik het zeg maar dat is wel heel erg kort door de bocht. De keuze welke webserver je neemt heeft ook te maken met welke kennis je in huis hebt, wat voor servers je al hebt staan, hoe je back-office eruit ziet, wat je doel is van de site, enz.
Een goed onderhouden IIS webserver is imho net zo goed/slecht als een Apache webserver.

Ja Apache is beter denk ik, maar ook lastiger te configureren. Daar moet je wel wat meer voor kunnen dan een muis bedienen. De rede dat mensen IIS kiezen is vaak omdat ze simpelweg te weinig kennis hebben om iets als Apache te configureren. Dat is ook de reden dat er weinig onveilige Apache servers zijn, gewoonweg omdat de beheerders meer kennis van zaken hebben. Wil niet zeggen dat dit altijd zo is, maar in veel gevallen zal het wel zo zijn.

Best vreemd, ik had toch het idee dat Apache webservers steeds populairder werden...
Zal je net zien dat die 523.000 servers net allemaal apache servers zijn

Inderdaad, er zijn 500.000 hosts minder getest en daar kunnen best veel Apache servers tussen zitten. Om nu meteen te zeggen dat het marktaandeel van Apache daalt (maar 0.65%) en dat MS nu ontzettend populair is (stijging van maar 0.59%) vind ik een beetje overdreven.
Zeker als je nog kijkt naar de statestieken van de active sites. (Apache -0.20% MS +0.38%)

Je kan wel stellen dat de meerderheid nog steeds Apache draait en dat zegt genoeg over de kwaliteit dacht ik zo.

Wat heeft wat de meerderheid doet nu met kwaliteit te maken?

Het is toch opvallend om te zien dat er bij veel meer bakken root.exe is geinstalleerd, dan het aantal machines dat niet gepatched is tegen code red. Waren toch een aantal systeembeheerders te laat met patchen ..
(en te dom om te checken of hun machine al was geinfecteerd)

IIS zit standaard bij Windows NT 4.0 Server hoor... Is alleen versie 2. Geloof dat hij met een recente service pack al naar versie 3 wordt gebracht. Die versie 4 is inderdaad alleen via het Option Pack te installeren.

Ps. 4.0 is de nieuwste versie voor NT 4.0

Dat er maar een paar mensen deze percentages met een korreltje zout nemen verbaasd me.

Denk wel dat deze aantallen de statistieken nauwkeuriger maken, maar met een fluctuatie van 1.7% een verschil van 0.7% uit kunnen leggen lijkt me niet erg wiskundig verantwoord.

Wel kun je in de grafiekjes dat Apache niet verder groeit qua percentage en zelfs aan't dalen is en IIS dit marktaandeel schijnt over te nemen, maar je kunt ook zien dat de andere webservers ook dalen maar dit niet allemaal ten goede valt aan IIS.

Hoe deze curves te verklaren zijn is wellicht niet zo makkelijk te zeggen. Maar op zich wel interessant.