Onderwerp: BSD vs. Linux vs. Windows

Oorspronkelijk geplaatst door vDong

Bij de wat meer ervaren bedrijven is jarenlang freebsd de standaard geweest, het is mij dan ook een compleet raadsel waarom de bulk van de kleine starters allemaal massaal aan de centos gaan, terwijl dat toch echt niet een van de meest gebruikersvriendelijke of stabiele linux varianten is.

Ik support al jarenlang alle unix varianten (SCO Unixware niet meer, dat gebruikt niemand meer, en HP-UX zie ik ook steeds minder) en in principe kan ik zeggen dat elke unix/linux veilig te maken is, of het dan nog werkbaar is is een ander verhaal.

Ik heb in mijn beginjaren (heel lang geleden) FreeBSD helemaal niet zo leuk gevonden en was toen meer met redhat & co bezig. Het is pas een jaar of 8-9 dat ik vrijwel uitsluitend met bsd bezig ben. Ik moest het licht even zien, denk ik.
Dat centjesos is wel verklaarbaar omdat erg veel hosters gewoon geen verstand van servers en hun os hebben, simpel. Veel denken nog steeds dat het belangrijkste van een os is, dat het controlpanel zonder fouten geïnstalleerd kan worden en dat ze makkelijk een hostingpakketje aan kunnen maken.
En je hebt gelijk dat elk OS veilig te krijgen is (bsd, unix, linux of vms dan, windows ga je me niet wijsmaken, hehe), maar voor echt veilig spul zul je toch bij de grotere organisaties moeten zitten. De huis-, tuin-en keukenhoster krijg je nooit zo gek dat ie zijn selinux config goed gaat invullen of (in freebsd's geval) zelfs het securelevel gaat aanpassen en rebooten om een config bestandje aan te passen. Security staat helaas haaks op gebruikersgemak

Edit: Ik zeg dus niet dat hosters die centos oid gebruiken, geen verstand van hun servers hebben. Om even een flamewar te voorkomen
Maar de vakantiehosters zul je niet snel op iets anders zien draaien...

En Qubes?

Wat voor een onzin-thread is me dat hier, vooral de argumentatie (aantal gevonden bugs/exploits).

Een OS is zo veilig als zijn systeembeheerder het maakt (mits in acht name dat bepaalde OSsen bepaalde veiligheidsniveaus niet kunnen halen); en het best onderhouden OS is het OS waarvan de systeembeheerder de in's en out's kent. Om maar even de hand in eigen boezem te steken: zelf ben ik geen onaardige sysadmin, en toch gebruik ik geen BSD. Ik ken het niet genoeg, ik kan het niet secure genoeg maken,... Volgens systemdeveloper zijn redenering kan ik er maar beter mee stoppen, er is geen toekomst voor mij.

Het is ook altijd ridicuul om aanvragen te krijgen waarin een managed server gevraagd wordt, maar waarin een bepaald OS gedwongen wordt. Als een klant een door ons managed en secure server wil, dan zetten wij daarop wat wij willen (Debian in ons geval dus), wij moeten garanderen dat het blijft werken...

En om nu even advocaat van de duivel te spreken: al je selinux, firewalling, obfuscation,... is gewoon nutteloos tegen pakweg een 0-day-exploit in een apache of een ssh, mocht die er ooit komen. En als je dan BSD of Linux draait, je bent hoe dan ook gezien. Trouwens, niets zo onhandig te managen als een volledig custom "secured" kist met een gazillion andere instellingen dan een normale kost. Het is grondig sukkelen om iets online te krijgen, en toch is het dat wat je moet doen. Als je slechts één of twee dergelijke machines hebt, is dat prima te doen; met meer snij je in je eigen vingers. Normale, gezonde instellingen, uniform en goed gedocumenteerd en beheerd door mensen met een zeer grondige kennis van de systemen. Dat heb je nodig. Zelfs Windows is in zo een geval een prima keuze.

Ik volg Wonko daarin, het gebruik van een bepaald OS heeft niets te maken met de kennis (of het ontbreken daarvan) van een sysadmin. Je moet het meest geschikte OS kiezen voor de uit te voeren taak. Als je klant asp.net nodig heeft, dan ben je niets met BSD (of Linux). Heeft de klant nood aan php, mysql e.d., dan ben je (m.i.) niets met Windows en ga je voor Linux (of BSD, ...).

Ik hoor het graag zeggen van een server te tunen en beveiligen op 10 niveaus diep, zoals Wonko zegt is dat goed als je enkele servers hebt, met tientallen/honderden servers is dat niet te doen. In de meeste gevallen volstaat het om een deftige firewall voor de machines te zetten, 95% van de exploits zijn dan al niet meer van toepassing, gezien deze poorten, diensten al vooraf worden beschermd door de firewall.

Ik heb meer vertrouwen in onze firewalls dan in het secure maken (tot in het oneindige) van iedere aparte server. De basiszaken moeten uiteraard wel in orde zijn op iedere server. Het valt me trouwens op dat de meeste hosters hier met geen firewalls werken (of eentje op de machine zelf), dan kan je natuurlijk niet anders dan je server binnenste buiten te keren. Zoals gezegd, goed als je een servertje of 5 hebt ...

Bij ons is het trouwens ook zo dat wij het OS bepalen wanneer wij het beheer moeten doen. Wanneer de klant zijn eigen beheer doet, dan kiest die uiteraard wat hij wil, al was het Windows 95

Met SSH en RDP kom je er bij ons trouwens niet in zonder VPN tunnel of vast ip, dat sluit al veel miserie uit (maar moet inderdaad centraal worden geregeld via firewalls en niet door op iedere machine te prutsen). Dergelijke werkwijze zegt volgens mij veel meer over de beheerders en de kwaliteit van de diensten (tegen een kost, dat is waar), dan de kiezen voor BSD, Linux, ..., Windows, ...

@wonko, dan heb je niet goed gelezen wat ik zeg. Ik heb het puur over het OS en niet over jouw kwaliteiten als debian admin. Maar als je iemand was die bv. een 'gemakkelijk' OS zou kiezen, puur om ze snel mogelijk iets werkend te hebben of iets een tientje goedkoper te kunnen leveren, dan zou ik daar toch wel mijn eigen gedachten over hebben. Ik gaf trouwens ook specifiek aan dat het geen betrekking had op 'een goede admin voor windows is beter dan een slecht voor linux'... dat is een open deur.
Voor de rest geef ik je gelijk, manage alleen wat je goed kent anders ga je inderdaad na een paar servertjes op je gezicht.

Maar dat een goed beveiliging tijd kost, of in jouw woorden 'sukkelen om iets online te krijgen', heeft heeft puur met ervaring en commercie te maken en zou geen excuus moeten zijn om het niet te doen. So what als je een uurtje langer bezig bent om je firewall, IDS, virusscanner, backups, etc te installeren of dagelijks de logs te checken? Dit doe je toch niet gratis en laat je de klant via zijn SLA/dediprijs toch voor betalen?
Als wij een server of een vps opleveren waarbij de klant een dusdanige freaky beveiliging wilt dat wij 2 uur per maand kwijt zijn aan regulier onderhoud, dan dokt ie daar gewoon voor, dat is niet in de vingers snijden, dat is werk en dus omzet.
Veel hosters (en ik heb het niet over jou, al heb ik geen flauw idee of je hier ook onder valt) gebruiken een SLA puur als cashcow: 4-5 tientjes op de maandprijs, automatische updates van DA aanzetten en klaar.
Wij gebruiken op de servers zelf trouwens ook firewalls. Ik snap niet dat er mensen zijn die dit raar vinden. Dat is gewoon een second line of defense om te voorkomen dat iemand met local priviliges vrij speel heeft achter de 1ste firewall. Voor een IDS is dat hetzelfde verhaal. Het zal niet de eerste keer zijn dat dan een klant zijn wachtwoord aan een trojan geeft en dan zijn server open zet. een extra firewall/ids helpt dan toch behoorlijk om de schade te beperken (imho).
Maar zoals ik al zei, laat niemand zich aangesproken voelen als je gewoon achter je eigen werk staat en dat ook goed kunt managen

Wat dat betreft heb je zeker een punt m.b.t. de vakantiehosters, die draaien het liefst op Windows want dat biedt een GUI he, en Linux vaak niet. Een deftige SLA valt bij ons bij zéér zeker niet onder het aanzetten van de automatische updates en gaan met die banaan.

Dat is eerder het proactief monitoren met software als paessler (zijn er overigens nog meer mensen die dit gebruiken, of is iedereen pro-Nagios hier?), het maken en controleren van backups en het nalezen van de logs etc etc. Natuurlijk is dit nog lang niet perfect (zou graag nog een hardwarematige MPIX of ASA ervoor willen hebben) maar op dit moment voldoet dit nog wel even.

M.b.t. je keuze voor FreeBSD, ik heb er zelf weinig ervaring mee

Wonko verwoord waar ik niet echt opkwam :-)

Overigens, je firewall verhaal, systemdeveloper is in mijn mening ook een minimale vereisten. Zelfde verhaal geldt in een client omgeving. Hier zorg je ook dat één client zo weinig mogelijk schade kan aanrichten aan de rest van het netwerk. Zat trojans die zich voornamelijk op intern netwerk exploitatie concentreren.

Ik heb vroeger jaren op freeBSD gedraaid (2. 3. 4.) toen ben ik over gestapt op linux varianten in volgorde slackware, gentoo, debian, ubuntu, centos. Reden waarom ik nu dus zelf op centos draai is omdat klanten het meest centos vragen en ik mij hier dus meer in verdiept heb om management te kunnen leveren. Naast het feit dat centos het enige OS was dat directadmin 64bit aan kon. En ja een server is zo veilig als de sysadmin die hem beheert, maar ik moet toch toegeven dat ipfw (bsd) meer en beter opties heeft dan iptables (linux). En dat *BSD veel kleinere basis installaties heeft en minder resource nodig heeft dan een out-of-the box linux variant. Op veel linux distro's zie je niet vaak jailed omgevingen, waar dit bij *BSD varianten bijna altijd de standaard is. Dit is dus ook een reden waarom *BSD veiliger kunnen zijn dan linux distro's. Om dit verschil deftig te kunnen testen zou je eigenlijk een niet sysadmin 2 servers moeten geven en zeggen installeer een *BSD naar keuze en een linux distro naar keuze. Beveilig deze zoals je zelf wilt en installeer mysql, apache, php, ssh. En laat dan eens pen-testing tools los om te zien wat er beter uit de bus komt. Want in mijn ogen moet een OS out-of-the-box secure zijn zonder hier veel extra dingen aan te veranderen en dan bedoel ik recompiles etc.

Wij draaien onze Shared Hosting omgeving op CentOS 5.5 64-bit met een custom gebouwde kernel. Hele zooi modules eruit die toch niet van toepassing zijn en ook niet zullen worden in die opstelling.

Op die manier behoudt je resources, schijfruimte en kans op exploiting vanwege een lek in een kernel module, en daarom dus ook een stuk security.

Doe je soort gelijke handelingen bij *BSD, of draai je deze altijd standaard out of the box, systemdeveloper?

Oorspronkelijk geplaatst door opinion

Wij draaien onze Shared Hosting omgeving op CentOS 5.5 64-bit met een custom gebouwde kernel. Hele zooi modules eruit die toch niet van toepassing zijn en ook niet zullen worden in die opstelling.

Op die manier behoudt je resources, schijfruimte en kans op exploiting vanwege een lek in een kernel module, en daarom dus ook een stuk security.

Doe je soort gelijke handelingen bij *BSD, of draai je deze altijd standaard out of the box, systemdeveloper?

Het zou wel erg duf zijn om hier een heel verhaal over security af te steken en dan de boel out of the box te draaien, he
Wij hebben na een minimal install meestal nog wel een 4-8 uur nodig voordat een bak opgeleverd wordt.

4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?

Oorspronkelijk geplaatst door wonko

4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?

Wellicht pakken ze met die boxen gewoon al een mooie omzet

Oorspronkelijk geplaatst door wonko

4 tot 8 uur om één box op te leveren? Hoeveel servers hebben jullie in productie draaien?

Totaal een kleine 250 fully managed omgevingen in 3 DC's (nl en be) en wat in de Amazon cloud. Het grootste deel staat inhouse bij partijen die bv. in de olie, autoindustrie, uitzendbranche e.d. zitten. Ook hosten wij een ruime 80 marktplaatsen in ruim 40 verschillende landen waar ook hier en daar een bakkie komt kijken, maar we werken echt met een heel ander businessmodel dan de normale hoster, hoor. Het is echt niet dat we het maar met 50 euro winst per server p/m moeten doen, maar het beleg op de boterham komt bij ons nog steeds uit ontwikkeling van software en support/onderhoud.

Wat die tijd betreft. Ik weet ook wel dat een minimal install 10 minuten duurt en DA er overheen gooien ook met een half uur gedaan is, maar er komt nog wel iets meer bij kijken. Een hercompilatie van alles op een bak kan wel eens een paar uur duren en soms hebben we regeltjes waar we ons aan moeten houden die de boel niet bepaald sneller maken
Sterker nog, soms gaat aan de oplevering van een systeempie weken overleg aan vooraf. Maar die tijd hebben wel ook wel hoor.

Oorspronkelijk geplaatst door T. Verhaeg

Wellicht pakken ze met die boxen gewoon al een mooie omzet

Nu ja, de eerste jaren was ik alles kwijt aan investeren in de toko. Terwijl mijn concullega's rack na rack vulden met 600-700 euro servertjes, zat ik nog te sparen voor servertjes van 3500 euro en midden in de nacht te bouwen aan systemen om de boel goed draaiende te houden zodat ik in de toekomst goed kon slapen :P