Bekijk Volledige Versie : BSD vs. Linux vs. Windows
systemdeveloper
10/09/10, 15:15
Je ISP kan altijd je traffic sniffen als ie dat wil. Of ie nu een plugin in je spamfilter moet stoppen of je encrypte traffic reroute en lekker gaat bruteforcen op een andere bak. In principe heb je dus altijd een eigen server nodig, minimaal vpn verbindingen, een eigen firewall, een afgesloten rack en je isp/hoster mag totaal geen toegang tot je server hebben. Zie je dit al gebeuren voor een paar tientjes per maand?
Een wellicht betere oplossing is om een betrouwbare ISP/hoster te zoeken en een heel stevige NDA op te stellen met hoge boetes bij oneigelijk gebruik van de gegevens.
Voorbeeld: zodra je hoster niet eens de mogelijkheid heeft om te kunnen controleren hoe en waarom een mail in de spam terechtkomt, heb je wel een probleem dat je zelf moet zien op te lossen.
FreeBSD is wel een erg goede keuze, OpenBSD is nog iets beter wat security betreft. Linux varianten zou ik idd. links laten liggen :)
Linux varianten zou ik idd. links laten liggen :)
Doe eens onderbouwen aub
systemdeveloper
10/09/10, 16:18
Doe eens onderbouwen aub
Waarom? Iedereen weet toch dat *bsd's veiliger zijn? En kon nu niet aan met een n00b op *bsd is minder veilig dan een expert op linux :)
Google op 'most secure os' en dan kom je de *bsd's toch vaak bovenaan tegen. (Los van een verdwaalde oelewapper van symantic die iets over windows blaat, maar ook die zal ondertussen al nuchter zijn hoop ik)
http://www.secpoint.com/Top-10-Most-Secure-Operating-Systems.html
(random voorbeeld)
Edit: Ander voorbeeld:
De laatste remote exploit op freebsd kom je op security.nl in de exploit db pas op pagina 12 tegen en is al een 14 maanden geleden.
Waarom? Iedereen weet toch dat *bsd's veiliger zijn? En kon nu niet aan met een n00b op *bsd is minder veilig dan een expert op linux :)
Google op 'most secure os' en dan kom je de *bsd's toch vaak bovenaan tegen. (Los van een verdwaalde oelewapper van symantic die iets over windows blaat, maar ook die zal ondertussen al nuchter zijn hoop ik)
http://www.secpoint.com/Top-10-Most-Secure-Operating-Systems.html
(random voorbeeld)
Maar de meeste webhosters gebruik toch vaker linux varianten i.p.v. bsd's of vergis ik mij daar compleet in?
systemdeveloper
10/09/10, 16:26
Maar de meeste webhosters gebruik toch vaker linux varianten i.p.v. bsd's?
Je hoort mij ook niet zeggen dat dit een goede keuze is :)
NL is niet echt up2date mbt. exploits...
http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=bsd&filter_author=&filter_platform=0&filter_type=0&filter_port=&filter_osvdb=&filter_cve=
Je bent nog niet eens veilig als je PC niet aan het internet verbonden is. Als iemand genoeg motivatie heeft om bepaalde gegevens te willen bemachtigen op jouw *bsd machine, dan komt hij daar ook wel. Hoe dan ook.
systemdeveloper
10/09/10, 16:57
NL is niet echt up2date mbt. exploits...
http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=bsd&filter_author=&filter_platform=0&filter_type=0&filter_port=&filter_osvdb=&filter_cve=
Je bent nog niet eens veilig als je PC niet aan het internet verbonden is. Als iemand genoeg motivatie heeft om bepaalde gegevens te willen bemachtigen op jouw *bsd machine, dan komt hij daar ook wel. Hoe dan ook.
Uiteraard, maar als jij met een linux/windows box er naast staat, weet ik wel wat ie eerst gaat proberen :)
Uiteraard, maar als jij met een linux/windows box er naast staat, weet ik wel wat ie eerst gaat proberen :)
Die BSD doos, daar staan de gegevens op die de 'hacker' wil hebben. Op de linux/windows doos staan die gegevens niet.
^ precies.
Ik hoop niet dat dit je gedachtegang is bij het opzetten van *BSD machines in een multi-OS netwerk.
systemdeveloper
10/09/10, 19:05
Hehe, je hoeft mijn mening echt niet aan te nemen hoor. De getallen spreken voor zich. Ik zei trouwens 'remote' exploits. Als we het ook over de rest gaan hebben... is het nog steeds (dit jaar) 4 voor freebsd en 3,5 pagina voor linux.
Hehe, je hoeft mijn mening echt niet aan te nemen hoor. De getallen spreken voor zich. Ik zei trouwens 'remote' exploits. Als we het ook over de rest gaan hebben... is het nog steeds (dit jaar) 4 voor freebsd en 3,5 pagina voor linux.
Je zegt het zelf. De getallen. Die laten nog steeds zien dat Linux/*nix de meest gebruikte server OS is qua web diensten naar het internet toe. Daarom zijn er meer exploits voor bekend. Ik hoef je gevalletje Windows/OSX niet toe te lichten neem ik aan. Er zijn daarom ook meer programma's voor.
That said, vaak zijn de exploits van Linux gebaseerd op een stuk software, als deze software ook voor *BSD beschikbaar is, kan je er donder op zeggen dat deze ook minimaal 50% van de tijd te daar op te misbruiken zijn.
systemdeveloper
10/09/10, 21:51
Dat is jouw 'opinion' en heb je het volste recht op. Windows is het meest gebruikte OS voor de desktop... ga je nu roepen dat dit het beste is omdat het veel gebruikt wordt? Hoop ik toch niet...
Lees er maar eens iets over, want ik merk dat je jezelf een beetje aangevallen voelt. Dat is niet nodig, hoor. Mij maakt het echt geen drol uit wat de rest van de wereld gebruikt, maar de BSD's zijn gewoon ontwikkeld met security in mind. Dat kun je niet van linux zeggen.
Trouwens... als je zelf al zegt dat aps via een *BSD port maar 50% van de tijd te misbruiken is op *BSD tov. Linux... wat kan ik daar dan nog aan toevoegen ;)
Dit is een fork van een aanbiedingsthread die uit is gelopen op een beter vs beter topic. :)
systemdeveloper
10/09/10, 22:17
Sorry, liet me inderdaad iets gaan :)
Om af te kicken dan maar: *BSD Rules... en kan al raden wie hier dadelijk gaat reageren :)
Maar de meeste webhosters gebruik toch vaker linux varianten i.p.v. bsd's of vergis ik mij daar compleet in?
Bij de wat meer ervaren bedrijven is jarenlang freebsd de standaard geweest, het is mij dan ook een compleet raadsel waarom de bulk van de kleine starters allemaal massaal aan de centos gaan, terwijl dat toch echt niet een van de meest gebruikersvriendelijke of stabiele linux varianten is.
Ik support al jarenlang alle unix varianten (SCO Unixware niet meer, dat gebruikt niemand meer, en HP-UX zie ik ook steeds minder) en in principe kan ik zeggen dat elke unix/linux veilig te maken is, of het dan nog werkbaar is is een ander verhaal.
systemdeveloper
11/09/10, 00:25
Bij de wat meer ervaren bedrijven is jarenlang freebsd de standaard geweest, het is mij dan ook een compleet raadsel waarom de bulk van de kleine starters allemaal massaal aan de centos gaan, terwijl dat toch echt niet een van de meest gebruikersvriendelijke of stabiele linux varianten is.
Ik support al jarenlang alle unix varianten (SCO Unixware niet meer, dat gebruikt niemand meer, en HP-UX zie ik ook steeds minder) en in principe kan ik zeggen dat elke unix/linux veilig te maken is, of het dan nog werkbaar is is een ander verhaal.
Ik heb in mijn beginjaren (heel lang geleden) FreeBSD helemaal niet zo leuk gevonden en was toen meer met redhat & co bezig. Het is pas een jaar of 8-9 dat ik vrijwel uitsluitend met bsd bezig ben. Ik moest het licht even zien, denk ik.
Dat centjesos is wel verklaarbaar omdat erg veel hosters gewoon geen verstand van servers en hun os hebben, simpel. Veel denken nog steeds dat het belangrijkste van een os is, dat het controlpanel zonder fouten geïnstalleerd kan worden en dat ze makkelijk een hostingpakketje aan kunnen maken.
En je hebt gelijk dat elk OS veilig te krijgen is (bsd, unix, linux of vms dan, windows ga je me niet wijsmaken, hehe), maar voor echt veilig spul zul je toch bij de grotere organisaties moeten zitten. De huis-, tuin-en keukenhoster krijg je nooit zo gek dat ie zijn selinux config goed gaat invullen of (in freebsd's geval) zelfs het securelevel gaat aanpassen en rebooten om een config bestandje aan te passen. Security staat helaas haaks op gebruikersgemak :(
Edit: Ik zeg dus niet dat hosters die centos oid gebruiken, geen verstand van hun servers hebben. Om even een flamewar te voorkomen :)
Maar de vakantiehosters zul je niet snel op iets anders zien draaien...
En Qubes (http://qubes-os.org/Home.html)?
Wat voor een onzin-thread is me dat hier, vooral de argumentatie (aantal gevonden bugs/exploits).
Een OS is zo veilig als zijn systeembeheerder het maakt (mits in acht name dat bepaalde OSsen bepaalde veiligheidsniveaus niet kunnen halen); en het best onderhouden OS is het OS waarvan de systeembeheerder de in's en out's kent. Om maar even de hand in eigen boezem te steken: zelf ben ik geen onaardige sysadmin, en toch gebruik ik geen BSD. Ik ken het niet genoeg, ik kan het niet secure genoeg maken,... Volgens systemdeveloper zijn redenering kan ik er maar beter mee stoppen, er is geen toekomst voor mij.
Het is ook altijd ridicuul om aanvragen te krijgen waarin een managed server gevraagd wordt, maar waarin een bepaald OS gedwongen wordt. Als een klant een door ons managed en secure server wil, dan zetten wij daarop wat wij willen (Debian in ons geval dus), wij moeten garanderen dat het blijft werken...
En om nu even advocaat van de duivel te spreken: al je selinux, firewalling, obfuscation,... is gewoon nutteloos tegen pakweg een 0-day-exploit in een apache of een ssh, mocht die er ooit komen. En als je dan BSD of Linux draait, je bent hoe dan ook gezien. Trouwens, niets zo onhandig te managen als een volledig custom "secured" kist met een gazillion andere instellingen dan een normale kost. Het is grondig sukkelen om iets online te krijgen, en toch is het dat wat je moet doen. Als je slechts één of twee dergelijke machines hebt, is dat prima te doen; met meer snij je in je eigen vingers. Normale, gezonde instellingen, uniform en goed gedocumenteerd en beheerd door mensen met een zeer grondige kennis van de systemen. Dat heb je nodig. Zelfs Windows is in zo een geval een prima keuze.
Ik volg Wonko daarin, het gebruik van een bepaald OS heeft niets te maken met de kennis (of het ontbreken daarvan) van een sysadmin. Je moet het meest geschikte OS kiezen voor de uit te voeren taak. Als je klant asp.net nodig heeft, dan ben je niets met BSD (of Linux). Heeft de klant nood aan php, mysql e.d., dan ben je (m.i.) niets met Windows en ga je voor Linux (of BSD, ...).
Ik hoor het graag zeggen van een server te tunen en beveiligen op 10 niveaus diep, zoals Wonko zegt is dat goed als je enkele servers hebt, met tientallen/honderden servers is dat niet te doen. In de meeste gevallen volstaat het om een deftige firewall voor de machines te zetten, 95% van de exploits zijn dan al niet meer van toepassing, gezien deze poorten, diensten al vooraf worden beschermd door de firewall.
Ik heb meer vertrouwen in onze firewalls dan in het secure maken (tot in het oneindige) van iedere aparte server. De basiszaken moeten uiteraard wel in orde zijn op iedere server. Het valt me trouwens op dat de meeste hosters hier met geen firewalls werken (of eentje op de machine zelf), dan kan je natuurlijk niet anders dan je server binnenste buiten te keren. Zoals gezegd, goed als je een servertje of 5 hebt ...
Bij ons is het trouwens ook zo dat wij het OS bepalen wanneer wij het beheer moeten doen. Wanneer de klant zijn eigen beheer doet, dan kiest die uiteraard wat hij wil, al was het Windows 95 :)
Met SSH en RDP kom je er bij ons trouwens niet in zonder VPN tunnel of vast ip, dat sluit al veel miserie uit (maar moet inderdaad centraal worden geregeld via firewalls en niet door op iedere machine te prutsen). Dergelijke werkwijze zegt volgens mij veel meer over de beheerders en de kwaliteit van de diensten (tegen een kost, dat is waar), dan de kiezen voor BSD, Linux, ..., Windows, ...
systemdeveloper
11/09/10, 10:55
@wonko, dan heb je niet goed gelezen wat ik zeg. Ik heb het puur over het OS en niet over jouw kwaliteiten als debian admin. Maar als je iemand was die bv. een 'gemakkelijk' OS zou kiezen, puur om ze snel mogelijk iets werkend te hebben of iets een tientje goedkoper te kunnen leveren, dan zou ik daar toch wel mijn eigen gedachten over hebben. Ik gaf trouwens ook specifiek aan dat het geen betrekking had op 'een goede admin voor windows is beter dan een slecht voor linux'... dat is een open deur.
Voor de rest geef ik je gelijk, manage alleen wat je goed kent anders ga je inderdaad na een paar servertjes op je gezicht.
Maar dat een goed beveiliging tijd kost, of in jouw woorden 'sukkelen om iets online te krijgen', heeft heeft puur met ervaring en commercie te maken en zou geen excuus moeten zijn om het niet te doen. So what als je een uurtje langer bezig bent om je firewall, IDS, virusscanner, backups, etc te installeren of dagelijks de logs te checken? Dit doe je toch niet gratis en laat je de klant via zijn SLA/dediprijs toch voor betalen?
Als wij een server of een vps opleveren waarbij de klant een dusdanige freaky beveiliging wilt dat wij 2 uur per maand kwijt zijn aan regulier onderhoud, dan dokt ie daar gewoon voor, dat is niet in de vingers snijden, dat is werk en dus omzet.
Veel hosters (en ik heb het niet over jou, al heb ik geen flauw idee of je hier ook onder valt) gebruiken een SLA puur als cashcow: 4-5 tientjes op de maandprijs, automatische updates van DA aanzetten en klaar.
Wij gebruiken op de servers zelf trouwens ook firewalls. Ik snap niet dat er mensen zijn die dit raar vinden. Dat is gewoon een second line of defense om te voorkomen dat iemand met local priviliges vrij speel heeft achter de 1ste firewall. Voor een IDS is dat hetzelfde verhaal. Het zal niet de eerste keer zijn dat dan een klant zijn wachtwoord aan een trojan geeft en dan zijn server open zet. een extra firewall/ids helpt dan toch behoorlijk om de schade te beperken (imho).
Maar zoals ik al zei, laat niemand zich aangesproken voelen als je gewoon achter je eigen werk staat en dat ook goed kunt managen :)
T. Verhaeg
11/09/10, 13:32
Wat dat betreft heb je zeker een punt m.b.t. de vakantiehosters, die draaien het liefst op Windows want dat biedt een GUI he, en Linux vaak niet. Een deftige SLA valt bij ons bij zéér zeker niet onder het aanzetten van de automatische updates en gaan met die banaan.
Dat is eerder het proactief monitoren met software als paessler (zijn er overigens nog meer mensen die dit gebruiken, of is iedereen pro-Nagios hier?), het maken en controleren van backups en het nalezen van de logs etc etc. Natuurlijk is dit nog lang niet perfect (zou graag nog een hardwarematige MPIX of ASA ervoor willen hebben) maar op dit moment voldoet dit nog wel even.
M.b.t. je keuze voor FreeBSD, ik heb er zelf weinig ervaring mee :)
Wonko verwoord waar ik niet echt opkwam :-)
Overigens, je firewall verhaal, systemdeveloper is in mijn mening ook een minimale vereisten. Zelfde verhaal geldt in een client omgeving. Hier zorg je ook dat één client zo weinig mogelijk schade kan aanrichten aan de rest van het netwerk. Zat trojans die zich voornamelijk op intern netwerk exploitatie concentreren.
Ik heb vroeger jaren op freeBSD gedraaid (2. 3. 4.) toen ben ik over gestapt op linux varianten in volgorde slackware, gentoo, debian, ubuntu, centos. Reden waarom ik nu dus zelf op centos draai is omdat klanten het meest centos vragen en ik mij hier dus meer in verdiept heb om management te kunnen leveren. Naast het feit dat centos het enige OS was dat directadmin 64bit aan kon. En ja een server is zo veilig als de sysadmin die hem beheert, maar ik moet toch toegeven dat ipfw (bsd) meer en beter opties heeft dan iptables (linux). En dat *BSD veel kleinere basis installaties heeft en minder resource nodig heeft dan een out-of-the box linux variant. Op veel linux distro's zie je niet vaak jailed omgevingen, waar dit bij *BSD varianten bijna altijd de standaard is. Dit is dus ook een reden waarom *BSD veiliger kunnen zijn dan linux distro's. Om dit verschil deftig te kunnen testen zou je eigenlijk een niet sysadmin 2 servers moeten geven en zeggen installeer een *BSD naar keuze en een linux distro naar keuze. Beveilig deze zoals je zelf wilt en installeer mysql, apache, php, ssh. En laat dan eens pen-testing tools los om te zien wat er beter uit de bus komt. Want in mijn ogen moet een OS out-of-the-box secure zijn zonder hier veel extra dingen aan te veranderen en dan bedoel ik recompiles etc.
Wij draaien onze Shared Hosting omgeving op CentOS 5.5 64-bit met een custom gebouwde kernel. Hele zooi modules eruit die toch niet van toepassing zijn en ook niet zullen worden in die opstelling.
Op die manier behoudt je resources, schijfruimte en kans op exploiting vanwege een lek in een kernel module, en daarom dus ook een stuk security.
Doe je soort gelijke handelingen bij *BSD, of draai je deze altijd standaard out of the box, systemdeveloper?
systemdeveloper
11/09/10, 18:43
Wij draaien onze Shared Hosting omgeving op CentOS 5.5 64-bit met een custom gebouwde kernel. Hele zooi modules eruit die toch niet van toepassing zijn en ook niet zullen worden in die opstelling.
Op die manier behoudt je resources, schijfruimte en kans op exploiting vanwege een lek in een kernel module, en daarom dus ook een stuk security.
Doe je soort gelijke handelingen bij *BSD, of draai je deze altijd standaard out of the box, systemdeveloper?
Het zou wel erg duf zijn om hier een heel verhaal over security af te steken en dan de boel out of the box te draaien, he :)
Wij hebben na een minimal install meestal nog wel een 4-8 uur nodig voordat een bak opgeleverd wordt.
4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?
T. Verhaeg
11/09/10, 20:36
4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?
Wellicht pakken ze met die boxen gewoon al een mooie omzet :)
systemdeveloper
11/09/10, 21:10
4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?
Totaal een kleine 250 fully managed omgevingen in 3 DC's (nl en be) en wat in de Amazon cloud. Het grootste deel staat inhouse bij partijen die bv. in de olie, autoindustrie, uitzendbranche e.d. zitten. Ook hosten wij een ruime 80 marktplaatsen in ruim 40 verschillende landen waar ook hier en daar een bakkie komt kijken, maar we werken echt met een heel ander businessmodel dan de normale hoster, hoor. Het is echt niet dat we het maar met 50 euro winst per server p/m moeten doen, maar het beleg op de boterham komt bij ons nog steeds uit ontwikkeling van software en support/onderhoud.
Wat die tijd betreft. Ik weet ook wel dat een minimal install 10 minuten duurt en DA er overheen gooien ook met een half uur gedaan is, maar er komt nog wel iets meer bij kijken. Een hercompilatie van alles op een bak kan wel eens een paar uur duren en soms hebben we regeltjes waar we ons aan moeten houden die de boel niet bepaald sneller maken :)
Sterker nog, soms gaat aan de oplevering van een systeempie weken overleg aan vooraf. Maar die tijd hebben wel ook wel hoor.
systemdeveloper
11/09/10, 21:22
Wellicht pakken ze met die boxen gewoon al een mooie omzet :)
Nu ja, de eerste jaren was ik alles kwijt aan investeren in de toko. Terwijl mijn concullega's rack na rack vulden met 600-700 euro servertjes, zat ik nog te sparen voor servertjes van 3500 euro en midden in de nacht te bouwen aan systemen om de boel goed draaiende te houden zodat ik in de toekomst goed kon slapen :P