【转帖】Linux安全别忽视 可能成下一攻击目标
Linux内核中存在的未被攻击的漏洞数量在上升。虽然关于Linux的脆弱性存在有许多争论，但现在，企业应该采取手段确保他们的开业软件是安全的。空空等待是非常危险的。最近的一个调查给出的数据显示，Linux和Unix中存在的漏洞是2328个，而常为人们所诟病的微软公司的Windows中的漏洞只有812个，这引起了轩然大波。计算机紧急响应中心（Computer Emergency Readiness Team，CERT）受到批评，因为他们可能重复计数了Linux和Unix中的漏洞，也许把不和核心Linux操作系统相关的问题也包含了进去（请参考"Linux Backers Question CERT Vulnerability Stats"）。但是，除CERT之外，还有其它机构也得出结论，称Linux的威胁等级确实在上升。
美国国家标准和技术研究所（National Institute of Standards and Technology）所维护的国家漏洞数据库（National Vulnerability Database）中的数据也显示出一些迹象：Linux可能是存在一些潜伏的问题。据该数据库的管理员Peter Mell所言，在去年，核心Linux内核中一共有119个漏洞上报，这个操作系统的所有版本都会用到核心Linux内核；而Windows XP所发布的漏洞数目是61。此外，Mell说，这种趋势并没有丝毫夸张，2002年，这一数字是11，2004年是47。这些数字有点混乱是可能的，因为在开源领域，有多种计数漏洞的方式。而微软这样的公司有一套标准，一种类型和另一种类型的安全问题之间都有明确的界限。但无论如何，这些数据指出了一种趋势，IT经理需要提高警惕多加注意。
让问题消失于萌芽状态
很多企业都花钱去买由像红帽和Novell这样的公司开发并受其支持的Linux版本和相关的应用程序。他们要保证他们的产品是没有问题的，一旦出现了什么问题，也可以马上获得补丁。红帽公司的安全产品主管Michael Ferris说，红帽公司甚至会去保证他们所出售的第三方Linux应用程序，也会为之提供补丁支持。
但即便这样，也并不意味着就可以完完全全免受Linux安全的一切问题侵扰。客户可能在使用一个未打补丁的基于Linux的多功能网络打印机，或者在自己的网络上装了某位程序员从某网站找到的不太明确的工具，并且没有人发觉这种情况，那么这就相当于打开了通向问题地狱的大门。SANS研究所的研究主管Alan Paller警示说：“打开通向整个企业的大门，往往只需要一个错误就可以发生。”
安全顾问Jamie Haughom说，另一个问题就是，包括很多Linux发行版本在内的操作系统上都关掉了一些关键的安全特性，以求应用程序可以正常运行而不必顾及兼容性问题。IT经理们必须保证自己公司的员工完全可以设定加密等级、构建VPN来收发文件、并可以使用工具来审计Linux的安全性，公司员工必须可以非常熟练地做这些事情。
Haughom说，值得欣慰的一点是，为了确保安全你所需要的所有的东西，Linux都带着。并且，网上有足够的信息可以给你提供帮助。不过，关键在于用户是否愿意在这方面培养自己，提高自己的能力。
目前的安全状况
Linux已经避开了大多数严重的蠕虫、病毒及拒绝服务攻击，而其它产品，特别是Windows却难幸免遇难。安全专家说，这是因为Linux主要安装在服务器上，服务器管理员比普通用户对安全更在行。大多数情况下，恶意软件总是通过桌面进入系统，而大多数的桌面都运行的是Windows。
一位Forrester研究分析师Michael Goulde说：“但是，现在Linux越来越流行了，对黑客很有吸引力。”Goulde说，Linux更多地用于CRM和ERP，特别是在中等规模的公司中；财政服务和健康保健类型的公司里也有一批忠实的Linux用户。
在美国，采用Linux的用户数量增长很慢，仅占所有桌面数量的不到1%，Gartner的分析师Michael Silver这样说。Silver还说：“他们需要更便宜的系统，并且他们也没有像我们这样的所有权及兼容性问题。”
使用Linux的人越来越多，就有些人提出质疑：开源开发模型是否可以保证安全性呢？
顾问公司Ekaru的一位高级技术顾问David Humphrey说，内核安全性的增强会把Linux变成最安全的操作系统之一。
英特网安全顾问组（Internet Security Advisors Group）的主席，《我们中间的间谍（Spies Among Us）》一书的作者，Ira Winkler说：“从很大程度上讲，在开源领域内，安全可能会失败。”
Forrester的Goulde说，问题的关键在于开源模型是更安全呢，还是更不安全。他说，每个人都可以检查代码，寻找漏洞并提交补丁。但是，因为任何一个Linux项目的源代码都流传得非常广泛，世界上的任何一位黑客都可以获得这些代码。
Goulde强调说：开源的贡献者必须首先被接受才能参与一个项目的开发，而是否能被接受就取决于他们已经做了的工作。他说：“人们感觉每一位在自己房间里喝可乐吃薯片的人都可以为开源项目贡献代码，但很显然，事实并不是这样。”
许多Linux用户并不为这一切而焦心。InformationWeek所做过的一个调查显示，在354名被调查的企业技术专业人员中，只有10%的人提到，在部署软件的过程中，他们碰到的安全问题是一个巨大的挑战。
Burlington制衣厂在其大约7,000个销售点和工作站中都安装了Linux的软件，据负责信息服务的副总裁Brad Friedman所言，他们还没有经历过有关这些Linux软件的大的安全问题。但是，他还是保持高度警惕。他说：“可以肯定的是，我们很快就会看到有人攻击Linux中的漏洞了。”
总之，对于使用Linux系统的公司来说，安全的重担沉甸甸地压在了肩上。他们将会为有缺陷的软件打一场持久战，并且，他们必须意识到，这种缺陷的代价可能会非常高。
页:
[1]