'Windows Server riskanter dan Red Hat'

Het gebruiken van Windows Server is riskanter dan Red Hat Enterprise Linux (RHEL), zo claimt Red Hat. Het bedrijf baseert deze conclusie op een rapport van het SANS instituut. Deze organisatie heeft een lijst van de 20 meest gevaarlijke netwerk-gerelateerde lekken gedefinieerd. Slechts twee hiervan zijn terug te vinden in RHEL. De zes belangrijkste veiligheidsproblemen hebben betrekking op: Internet Explorer (IE), Exchange Server, Windows Message Queuing Server, het Windows SMB protocol, de Windows HTML help file en het op afstand uitvoeren van code in een Windows shell.

Red Hat geeft aan dat er vaak wordt gekeken naar het aantal lekken in Linux en andere besturingssystemen, maar te weinig naar de gevaarlijkheid van de gevonden problemen. De twee in de top 20 genoemde lekken zijn inmiddels gepatched, aldus Red Hat. Afgelopen maart is er nog een rapport verschenen waaruit bleek dat RHEL minder veilig was dan Windows Server.

Naast de vergelijking tussen de verschillende besturingssystemen speelt er nog meer. Opvallend is de trend rondom de veiligheid van backupsoftware zoals ArcServe en Veritas. In deze software worden steeds meer zaken gevonden, wat de producten een gemakkelijke prooi maakt voor aanvallers. Backuptools zijn interessant voor misbruikers omdat deze vaak ongelimiteerde toegang hebben tot alle data.

Reacties (69)

[Drobanir]

Ik wordt altijd een beetje moe van dit soort verhalen. Wij van WC eend adviseren WC eend.

Het systeem is zo goed als de administreerder het administreed. Punt uit.

[SchizoDuckie]

Een administreerder kan nog zo goed administeren, maar als er iemand met een DOS of een simpele buffer overflow waar nog niemand van wist of waar microsoft nog geen pach voor wil vrijgeven root access tot je bak krijgt, kan jij daar als administrator echt weinig aan doen.

[The End]

Als jij je systemen goed beheert, dan is dat nagenoeg onmogelijk...

Houdt je systemen up to date, installeer firewalls, virusscanners, spyware scanners, enz. Als je dit allemaal netjes doet, dan maakt het denk ik niet echt veel uit wat voor besturingssysteem op je machine draait.

[twiekert]

Een firewall, virusscanner of spyware scanner helpt helemaal niets als er een bug (bijv een bufferoverflow) zit in de login authentificatie van bijvoorbeeld arcserve of VPN waardoor men dezelfde rechten krijgt als de user waar dit programma onder draait.

Dan kan je nogzo goed adminnen, maar daar doe je helemaal niets tegen. Je server is zo veilig als de programma's die er op draaien.

[Verwijderd]

Een firewall, virusscanner of spyware scanner helpt helemaal niets als er een bug (bijv een bufferoverflow) zit in de login authentificatie van bijvoorbeeld arcserve of VPN waardoor men dezelfde rechten krijgt als de user waar dit programma onder draait.

Hangt deels van je firewall af. Veel moderne firewalls zoals ISA en checkpoint kunnen veel beter controleren wat er nu precies aan verkeer bijkomt en zo zaken afschermen.

[The End]

Als jij poorten open hebt staan in je firewall, dan ben je inderdaad enigzins afhankelijk van de programmatuur. Zelfs dan kan je het gevaar minimaliseren, door 'externe' machines (webserver, mailserver e.d.) in een DMZ te zetten of via een RADIUS server te routeren.

In principe is het nooit onmogelijk om ergens binnen te komen als je bijvoorbeeld toestaat dat VPN's opgezet kunnen worden. (Je kan zelfs usernames/passwords raden). Je kan de kans dat het gebeurd echter wel nagenoeg onmogelijk maken en daarvoor maakt het m.i. niet uit welk OS je gebruikt.

[Verwijderd]

Ik dacht dat je een systeem gebruikt voor een bepaalde functie en het daarop afstemd wat je aanschaft.

Het zal toch niet zo zijn dat je voor extra functies (firewall, virusscanner of spyware scanner) je een duurdere aanschaf moet maken om alleen de functie te kunnen gebruiken.

[Eric Oud Ammerveld]

Wel eens van "Crackers" gehoord??

Die maken gebruik van lekken die niet bekend zijn bij de buitenwereld maar die ze bijvoorbeeld door zelf source code te inspecteren of bufferoverflows te genereren aan het licht brengen.

Dit kan pas maanden later worden ontdekt, nadat er al meermalen misbruik van de server systemen is gemaakt.

[Verwijderd]

Hangt deels van je firewall af. Veel moderne firewalls zoals ISA en checkpoint kunnen veel beter controleren wat er nu precies aan verkeer bijkomt en zo zaken afschermen.

Een veiligheidslek is een veiligheidslek, daar helpt geen lieve moeder tegen. Natuurlijk is het zo dat dingen die niet voor de buitenwereld toegankelijk zijn niet misbruikt kunnen worden, maar je zult toch iets open moeten zetten wil je nog een nuttige dienst aan kunnen bieden. Als er daar vervolgens een veiligheidslek in zit heb je hoe dan ook een probleem, firewall of niet.

[Verwijderd]

@ The End,

Mee eens, ik heb voor de lol een server draaien op Windows 98, en al 2 DOS aanvallen gehad, en hoewel m'n verbinding erg traag was bleef de machine draaien.

[KatirZan]

het enige wat echt helpt is onbekende ip's automatisch bannen maarja, dan krijg je een lijst waar je scheel van wordt omdat je alle ip's die niet gebanned mogen worden automatisch in de unban list moet sodemieteren

[alt-92]

Daar heb je standaard deny all / allow whitelist ACLs voor.

[M@rijn]

@ The End, als je echt een beetje verstand hebt van zaken dan ga je gee spyware scanners installeren op je systeem (spyware komt alleen binnen als je internet lijkt mij, en internetten op een server is toch behoorlijk fout). En virusscanner is ook niet altijd nodig, ligt er echter aan hoe het netwerk is opgebouwd binnen een organisatie. Een cluster van 100 Linux servers heeft toch ook geen Norton Antivirus 2005 geinstalleerd

[Verwijderd]

De "buitenkant" van je netwerk bescherm je normaal gesproken niet eens met heteens metzelfde OS wat je intern draait. Dus ik ben het eens met dat een netwerk net zo goed beveiligd is als de beheerder die het beheert.

Dat is niet OS gebonden. Want alle zaken die in het artikel staan hoeven geen enkel probleem te vormen mits je je huiswerk gedaan hebt.

Maw, iemand die niet kan autorijden zal zijn auto ook eerder in elkaar rijden.......

[Verwijderd]

Tuurlijk. En de volgende dag gaat iemand met vakantie en plakt vrolijk een post-it note op zijn/haar monitor met inlognaam en wachtwoord

Of heb jij, beste beheerder, de gehele vakantieplanning al in je account-disabled schedule staan?

[s463042]

Nooit ervan gehoord dat de meeste gevaarlijke hacks naar gevoelige data van binnen het bedrijf komen, niet van buiten?

[Verwijderd]

Ja dat klopt, en daarom heb je interne firewalls, ipsec, acls, policies etc etc.

[Verwijderd]

Het systeem is zo goed als de administreerder het administreed. Punt uit.

Een systeem is zo goed als de zwakste schakel. Dat kan de beheerder zijn, dat kan ook het OS zijn.

[PTR]

Als een beheerder een zwakke schakel niet op één of andere manier afschermt, of misschien dus de verkeerde keuze voor de oplossing heeft gemaakt, is de beheerder dus nog steeds de zwakste schakel.

[Verwijderd]

Dat is onzin natuurlijk. Als er een exploit in een service zit die je aan je gebruikers aan wil bieden en daar is nog geen oplossing voor kan je niks anders doen dan wachten. Voor sommige dingen komt geen oplossing ook omdat ze insecure by design zijn. (Zie mijn diverse eerdere rants op ActiveX).

De keuze voor een bepaalde oplossingen wordt in de meeste grote omgevingen niet door de beheerder gemaakt; dus die kan er niks aan doen als hem een slecht systeem over de schutting wordt gesmeten.

Daarnaast heb je de factor tijd/geld: als een veilig systeem 10x meer kost dan een systeem dat minder veilig is, zullen er maar weinig beheerders zijn die dat budget losgepeuterd zullen krijgen.

Tenslotte heb je altijd de tegenstelling functionaliteit <--> veiligheid. Het enige echt veilige systeem is een systeem zonder stekker (ook lekker stabiel: uit is uit ). Er zal altijd een balans gezocht moeten worden tussen de twee uitersten.
Voorbeeld: je kan alle attachments doorlaten, met een groot risico op virussen, je kan ook alle attachments blocken, geen virussen meer, maar ook een deel van de functionaliteit van je mailsysteem is weg. De middenweg is: mail filteren op virussen; echter dat kost geld, sommige (m.n. nieuwe) virussen zullen toch doorkomen en mogelijk zal er af en toe een valide bestand toch weggegooid worden.

[Verwijderd]

hmmmm
dat betekend......
Als ik mijn server goed administreerd.....
dan kan ik met mijn armen over elkaar gaan zitten
nogal kortzichtig
Vooral Windows heeft voortdurende aandacht nodig
We doen meer aan een Win2003 server onderhoud plegen dan op onze Novell...laat staan op de HP-UX machines
zelfs op een rustige administreerder dag.....(vandaag is trouwens de Dag van Systeembeheer) heb ik nogal wat te doen....
dan wil ik wel eens weten wat voor spul jij hebt staan, en dan helemaal wat er op draait??

een kale Windows2003 zonder internet...ja daar zal weinig op gebeuren

[The End]

Het beheren van een machine is niet een eenmalige actie. Dat bedoelt Drobanir ook niet. Je bent pas een goed beheerder als je 'continue' met de machine(s) bezig bent. Onderhoud, controle, updates enz.

Je vergelijkt eventjes een paar systeempjes zonder erbij te vertellen wat ze doen. Dat is voor de lezer van jou bericht dus compleet nutteloos. Misschien is die Windows 2003 machine wel webserver/domain controller/mail server(Exchange)/File server enz. en is de Novell server een router....

Een goed geconfigureerde en niet overbelaste Windows 2003 machine heeft niet veel meer of minder onderhoud nodig, dan een machine met een ander OS die hetzelde werk verricht.

[Verwijderd]

Feit blijft dat 90% van de wereld Windows gebruikt. Hierdoor zullen hackers/virusmakers ten alle tijden hier hun aandacht op blijven richten (meeste kan op verspreiding)

Dat geldt hoogstens voor scriptkiddies. Voor een échte hacker is het veel stoerder om een supergoed beveiligd systeem te kraken dan om 1000 slecht beveiligde thuis-PC'tjes te pakken te nemen. Er zal dus door de écht goede beveiligingsexperts net zoveel of misschien wel meer naar fouten gezocht worden in Linux als in Windows.

Als Linux 90% van de markt zou hebben dan zouden hier de meeste "fouten" in gevonden worden zeker gezien het feit dat het opensource is.

De meeste beveiligingsexperts zijn het erover eens dat Open Source software eerder veiliger maakt dan minder veilig. ("Security through obscurity is no security").

Zou je liever een bank hebben waar je je geld door de brievenbus moet gooien en waar je daarna absoluut geen idee hebt wat ze er mee doen (misschien wordt het wel in een kartonnen doos onder de brug gelegd) of een bank waar je je geld overhandigd aan iemand, die je vervolgens (via camera's) kan volgen tot hij het in de goed beveiligde kluis stopt?

Bij de eerste is de beveiliging gebaseerd op security through obscurity; zolang niemand ontdekt dat die kartonnen dozen onder de brug vol met spaarcentjes zitten, is het veilig, echter, zodra iemand een keer de bankmedewerker volgt die de kartonnen dozen onder de brug legt, valt de hele beveiliging om. De bank zal dan genoodzaakt zijn een andere brug te zoeken totdat die ook weer ontdekt wordt.

Bij de tweede bank kan iedereen de interne werking zien en degenen die er een beetje kijk op hebben kunnen de fouten zien. ("Zeg, ik bracht net m'n geld weg, en zag dat de medewerkers, om het geld in de kluis te leggen, het steegje achter de bank over moeten steken, is dat nou wel handig?")

Natuurlijk is het zo, dat indien de tweede bank z'n geld onder de brug zou leggen dit veel sneller gevonden zou worden, immers, iedereen ziet de medewerkers met het zojuist gestorte geld de deur uit lopen en het onder de brug leggen. Dus, een voor "open" bank is het veel belangrijker om een écht goede beveiliging te hebben dan voor een "gesloten" bank.

[drice]

Als ik even refereer aan Marve.
De meeste websites draaien op apache dus die is het beste target. Echter IIS is lekker dan apache.

[maxxware]

Windows wordt inderdaad meer gebruikt en is dan een groter target, maar daarnaast ook nog eens een heel gemakkelijk target.

Een olifant van papier brandt nou eenmaal harder dan een olifant van staal...

[Verwijderd]

Ja das dus vette bullshit... als linux zo populair en veel gebruikt was als Windows dan weet ik zker dat Linux ten onder ging aan al die lekken die werden gevonde in dat gatenkaas OS Linux is juist nog zo lek als een mandje omdat de meerderheid zich richt op Windows Systemen

Dat is niet waar, wist je dat het merendeel van de Internet Webservers op Linux icm. Apache draait?
Het was altijd IIS die het makkelijkst exploitable was terwijl die toch duidelijk in de minderheid is!

[hing]

Je conclusies trekken uit slechts 1 rapport is natuurlijk niet echt objectief. Als er meerdere instituten/bureaus waren die allen meerdere rapporten hebben geschreven en als je daaruit dan je conclusie trekt, dan kom je pas geloofwaardig over.

Microsoft heeft ook om de haverklap dit soort uitspraken die ze baseren om 1 rapport van 1 instituut. Zegt natuurlijk helemaal niets over de veiligheid.

[Verwijderd]

Maar het SANS is een instituut dat alle bekende lekken en problemen bijhoudt, inclusief het feit of er wel of geen patch voor beschikbaar is.
Volgens het SANS heeft Windows (vanaf Windows 2000 en later) dit kwartaal de meeste lekken gehad.
Bron: http://www.sans.org/top20/q2-2005update/detail.php

Dus in dit geval heeft RedHat wel een punt. Zij baseren zich op de feiten die geleverd worden door een onpartijdige partij (wat SANS in dit geval dus wel is). en die feiten liegen er nu niet om.

RedHat heeft misschien meer lekken die minder kritiek zijn, maar die lekken zijn minder makkelijk te misbruiken en hebben minder impact op het systeem (lees: je kunt het systeem niet helemaal overnemen).
Daarnaast zijn de twee kritieke lekken die er van RedHat waren ondertussen gepatched, dus feitelijk zijn er nu geen kritieke lekken meer van redhat, terwijl de kritieke Windows lekken nog niet allemaal gepatched zijn.

[Verwijderd]

Je moet ook rekening houden met de verschillende mogelijkheden voor statistiek.

Er zijn zoveel manieren om naar een dataset te kijken dat je er altijd wel iets uit kan halen dat in je voordeel werkt. Zelfs als de data exact gelijk is, en de feiten in rapporten tot in detail kloppen kan het nog zijn dat MS in het ene, en RedHat in het andere goed naar voren komt.

Denk maar eens aan 'marktaandeel' van grafische kaarten wat de laatste tijd ook wel eens in het nieuws is.
- Kijk je naar omzet om te bepalen wat iemand's aandeel is? Dan benadeel je de budget-merken waarschijnlijk.
- Kijk je puur naar aantallen, dan maak je het weer gemakkelijk voor geintegreerde chips, die wel verkocht zijn, maar misschien niet gebruikt worden
- Kijk je alleen naar desktops? Of ook laptops? En speciale toepassingen zoals PDA's, mobiele telefoons, etc.? Daar kan je ook nog veel mee 'sturen'.

Zo moet je met dit soort rapporten altijd voorzichtig zijn en het interpreteren in de context (waar komt de data vandaan, waar komt het onderzoek vandaan, wie heeft het geinitieerd). Tuurlijk 18 lekken tegenover 2 is wel een grote marge. Maar je kan er donder op zeggen dat ondanks het feit dat de SANS data onafhankelijk is, RedHet wel die statistiek gezocht heeft die het beste voor ze uitpakt.

Ik denk zelf, dat het verschil tussen de OSsen praktisch gezien niet eens zo groot is aangezien alle partijen regelmatig kunnen 'bewijzen' dat zij het beste zijn (ze hebben dus allemaal wel wat). Mogelijk zit voorlopig het grootste praktisch voordeel gewoon in het kleinere marktaandeel van Linux (in het algemeen) omdat dat dan minder snel als doelwit gekozen wordt.

[Verwijderd]

Uit ervaring: RedHat meer secure dan Windows.

Probeer het self maar. Sluit twee kastjes aan op het net en laat ze zichzelf automatisch van patches voorzien, verder niet aankomen. We'll talk in twenty (minutes not days)...

[raphidae]

Op die manier een vergelijking maken is wel heel nutteloos.

Als je verder niet aan je systemen komt dan ben je een prutser.

[Quacka]

Normaal gesproken claimen bedrijven altijd dat het produkt van de concurrent beter en veiliger is dan hun eigen produkt....
Opvallend nieuws is dit dan....

[EdwinW]

En toch zit er een kern van waarheid in.
Eén (highly) critical vulnerability is m.i. erger dan tien "not critical" vulnerability. Het gaat uiteindelijk ook om de impact als het fout gaat ...

[Massiefje]

Dit vind ik nou de slimste opmerking die ik in tijden gehoord heb

[Verwijderd]

Natuurlijk zegt Red Hat dit; hun product komt als 'beter' uit deze test.

Bij dit soort rapporten blijft de vraag altijd een beetje hoe gevaarlijk die 'gevaarlijke lekken' nou werkelijk zijn. Iedereen weet dat je bijvoorbeeld je SMB shares niet naar het internet toe open moet zetten en dat je op een server niet uitgebreid moet gaan zitten browsen (waarbij de standaard instelling van IE op 2k3 server zo is dat je er toch al bijna niks mee kan). Een systeem/netwerkbeheerder die zijn vak verstaat kan beide systemen zo veilig en onveilig maken als hij zelf wil...

'flamebait.... interessant '

[Verwijderd]

Het lijkt me dat er beter eens gekeken kan worden naar constructieve oplossingen tegen veelal buffer overflows. Want laten we eerlijk zijn, de meeste vulnerabilities van formaat zijn een gevolg van het feit dat deze applicaties in (oude) unmanaged talen (e.g. C, C++) zijn geschreven. Het probleem bij deze wortel aanpakken lijkt me op den duur een veel betere oplossing, wat dus in zou houden dat meer applicaties, waaronder misschien zelfs het OS, in managed talen als Java of .NET geschreven moeten worden.

Overigens is Microsoft hier deels al mee bezig, ik ben benieuwd hoe lang C nog steeds de voertaal blijft in OSS. Tot die tijd blijft het imho dweilen met de kraan open.

[Verwijderd]

Gaan we weer. Kijk, het maakt volgens mij niks uit. Als linux net zo bekend zou zijn en zoveel gebruikt wordt als windows zijn het bijde net zoon grote gat OS`en als andere. MAAR, linux heeft zijn manier van werken. Nieuwe technologien die meestal(niet altijd) eerder in linux zitten dan in windows. Ik sta zelf achter linux, maar opzich maakt het mij niks uit of de server op windows of linux draait. Microsoft heeft zo giga veel werknemers in dienst en ik snap nog steeds niet waarom ze dan niet super goede software neer kunnen zetten. Linux een comunity project is toch beter (vanuit mijn ogen ) omdat het vrijwel geen onzin in gegooit wordt. (Neem je even terug in tijd, toen bleek dat windows bijna 50 Miljoen regels code bevatte) linux echter 1,5 miljoen (Weet niet zeker ben geen programeur) en omdat er zo weinig onzin code in zit er ook weinig (lees minder) lekken in kunnen zitten omdat het geen onnodige functies die ergens verborgen zitte in code er niet zijn.


@rooicity
Ja ok, had het ff in een snelle vizie op de toekomst. Linux kan natuurlijk beter met Error`s om gaan enzo.

[mOrPhie]

Je vergelijkt een kernel met een compleet OS in het aantal code-regels. Dat is onjuist.

[Terracotta]

Bestaat de kernel dan uit 1.5 miljoen regels code?? lijkt me veel voor een kernel.

[Verwijderd]

Nauwelijks - lees de metingen van o.a. de kernel tegenover een volledige Debian 2.2 distributie.
Kernel ruim 2 miljoen regels, Debian in zn geheel ruim 50 miljoen regels.

[Treenaks]

Kernel met ALLE drivers. Die tellen bij Windows weer niet mee, want die worden los met de hardware meegeleverd.

Hardwareboeren moeten ook nog eens uitvinden dat een gezamenlijke manier van aanspreken van een bepaald type onderdeel toch wel handig zou zijn

[JeanJeremy]

- Er zijn meer ontwikkelaars bezig met Linux dan met Microsoft Windows

- Standpunt dat Linux, indien net zoveel gebruikt werd als MS net zo veel gaten zou hebben, vind ik onzin. Linux community heeft in het verleden al eerder bewezen dat zij sneller kunnen inspringen bij het detecteren bugs/flaws/errors/etc.

[Terracotta]

Het rare is wel, dat omdat de linux-community niet specifiek aan een bedrijf gebonden is, de developpers liever aan een elegante oplossing werken dan aan "een" oplossing, waardoor je ook nog eens de kans beperkt op nieuwe bugs die erin sluipen, dit vraagt normaal meer tijd dan "een" oplossing, maar toch slagen ze er vaak in om sneller om te springen met bugs.... Waarom neemt het voor bedrijven dan zoveel meer tijd in beslag om iets te patchen/upgraden...

[Observer]

Procedures, as simple as that. Als er bij Microsoft een bug ontdekt wordt, dan wordt daar (naar ik aanneem) een rapport van gemaakt, doorgestuurd naar de verantwoordelijke afdeling en toegewezen aan een (of meer) programmeur(s). Die moeten dan weer procedures volgen voor de oplossing, documentatie, etc.

Voordat het probleem is opgelost zijn er ontzettend veel mensen bij betrokken geweest. Dat kost allemaal tijd en erger nog: elke stap verhoogt de kans dat er fouten insluipen omdat iemand iets verkeerd interpreteert.

Voor Linux zijn er waarschijnlijk veel minder procedures of is het proces een stuk korter: iemand ontdekt een bug, fixxed het zelf (done!) of meldt het, waarna iemand anders het oppikt om zelf te fixxen. Minder stappen in het proces, en ook nog eens minder mensen in het proces.

[PcDealer]

Geeft Red Hat hiermee eigenlijk aan dat ze niet voldoende vertrouwen hebben dat hun product zo goed is dat het zichzelf verkoopt?

Moeten ze daarom een actie ondernemen die net zo flauw is de bekende van Microsoft: onze software is beter want een "onafhankelijk" onderzoeksbureau heeft een conclusie gemaakt die ons product superieur maakt aan anderen?

De kreet "There are Lies, Damn Lies and Statistics" gaat hier ook voor Red Hat op.

[Verwijderd]

Geeft Red Hat hiermee eigenlijk aan dat ze niet voldoende vertrouwen hebben dat hun product zo goed is dat het zichzelf verkoopt?

Dat zou in iedergeval het marketingbudget van MS (>$3 500 000 000 per jaar) verklaren....