LinuxとWindowsのどちらが安全ですか？

Microsoftが後援した調査では、Linux上で動作するWebサイトはWindowsよりもリスクが大きいと指摘しています。

火曜日に発表されたこの調査では、昨年のWindows Server 2003ベースのネットワークサーバーが、標準のオープンソースのRed Hat Enterprise Linux ES 3よりも脆弱性が少ないとの報告がありました。

この調査ではまた、マイクロソフトのWebサーバーの「リスクの日数」は、オープンソースの競合他社よりもはるかに少ないことが指摘されています。方法

「この調査の目的は、2回考え、すべてのプラットフォームについて安全になるよう全員に依頼することです。」Herbert Thompsonは、セキュリティアプリケーション企業であるSecurity Innovationsの研究トレーニングディレクターです。報告書の3人の著者のうちの1人、と彼は言った。一般に、人々はLinuxがWindowsより安全であると常に考えます。

先月のRSA会議情報セキュリティ会議でこの報告は物議をかもしました。 WindowsとLinuxに対してより安全である比較研究のいくつかはまた多くの議論を引き起こしました。

「これは真実ではないと思います。」Red Hatのセキュリティ対応チームの責任者であるMark Coxは、最近の調査レポートについて同社のWebサイトの最近のブログで述べています。彼が指摘したところによれば、このレポートでは「重要」とそれほど危険でないものとを区別していません。
Red Hatは、ブログへの回答に加えて、このレポートには積極的にコメントしません。

脆弱性は計算です。

この調査では、各ネットワークサーバーが2004年に更新されたという公開されている脆弱性を調査しました。さらに、リスク日数、つまり脆弱性が公開されてソフトウェア開発者が脆弱性を修正した後のリスク日数の合計が集計されます。 Microsoftによると約1600日であるが、Red Hat Enterprise Linux ES 3を使用しているサーバーは12,000以上のリスクがある、と同研究は述べた。

リークについては、Apache Webサーバー、MySQLデータベース、P HPスクリプト言語を含むRed Hatネットワークサーバーが、174の脆弱性を処理するように工場で設定されている、と同研究は指摘しています。 Microsoft Server 2003、Internet Information Server 6、SQL Server 2000、およびASP.Netの出荷時設定には52の脆弱性があります。

研究者は、この2つの最小化についても検討しました。これは、Webページのサーボに関連しないいくつかのアプリケーションを比較することです。この場合、マイクロソフトは依然として52の脆弱性でRed Hat Linuxソフトウェアを簡単に破っています132

Red HatのCoxは、ブログ記事でこの調査を否定しました。 「MicrosoftまたはRed Hatの厳格な基準がない限り、Red Hat Enterprise Linux 3に含まれる8つの脆弱性だけが危険です。これらの脆弱性のうち3つは危険です。」通常1日で修復され、通常8日かかります。

一般に、 "危険な"レベルのセキュリティ違反により、ハッカーがコンピュータシステムをリモートから制御する可能性があります。この調査では、脆弱性のレベルを3つのレベル（高、中、低）に分類しました。 「高い」リスク評価には、Red HatおよびMicrosoftの「重大」（「危険」または「重大」）、および地域のユーザーがシステム機能にアクセスすることを可能にする脆弱性が含まれます。レポートによると、Microsoftの「ハイリスク」脆弱性は、元の設定でも最低限の設定でもはるかに少ない。

しかし、研究者たちは、Microsoftが研究資金を提供することを認めました。 Microsoftの火曜日のプレスリリースでは、このレポートはMicrosoftのGet the Factsキャンペーンの一部であり、Windowsソフトウェアの利点を浮き彫りにすることを目的としているとも指摘しています。 「

Security Innovationsがマイクロソフトにソフトウェアセキュリティアプローチを提案した際、そのような分析はお客様にとって非常に有益であると評価したため、彼らの研究は後援されました」とMicrosoftはプレスリリースで述べた。 「私たちは、お客様が自分のコンピュータ環境で情報をテストし、評価することをお勧めします。」

この研究報告書の他の2人の著者はフロリダ工科大学です。コンピュータサイエンスの教授であり、Security InnovationsのセキュリティテストエンジニアであるRichard Ford。彼らはあらゆる側面からの批判に対抗するために彼らの研究報告に研究方法を公表することを望んでいる。

「研究方法の設計により、他の人が自分でそれを検証することが可能になります - それは定量化され、再現可能でなければなりません」とThompsonは述べました。 「私たちはケーキを贈っているのではありません。私たちもケーキを提供しています。」

危険日数と脆弱性の計算は真の安全性の尺度として使うことはできません。システム管理者にとって意味のある指標について。彼は、脆弱性を待つための合計時間はかなり合理的な計算であると主張しています。

しかし、Thompson氏は、セキュリティの大部分は管理者のプロ意識にかかっていると認めています。

「有能な管理者にとっては、どちらのオペレーティングシステムも非常に安全です。」とThompson氏は述べました。 「Linuxの専門家がいれば、この人にLinuxのWebサーバを手伝ってほしいと思います。Windowsの専門家であれば、もちろんWindowsを使います。