Microsoft安全技術(shù)部門經(jīng)理杰夫瓊斯(Jeff Jones)公布了最新的關(guān)于Windows Vista系統(tǒng)年度安全報(bào)告。報(bào)告中用數(shù)據(jù)對比了Vista與 Windows XP，Red Hat Enterprise Linux 4，Ubuntu 6.06 及Mac OS X 10.4在過去的一年中的市場安全漏洞修復(fù)情況。
瓊斯采用了各種標(biāo)準(zhǔn)的比較，包括限制應(yīng)用程序，來保證測試結(jié)果的相對一致性。舉例來說，Redhat和Ubuntu都采用了OpenOffice的默認(rèn)安裝。在分析過程中，瓊斯并沒有考慮OpenOffice存在的漏洞，以及由系統(tǒng)工具帶來的各種問題，如gimp圖形程序和GCC編譯器等。
瓊斯的統(tǒng)計(jì)結(jié)果顯示，在Vista的第一年中，總共有36個(gè)漏洞分9次17個(gè)補(bǔ)丁包被微軟修復(fù)，這些Vista補(bǔ)丁通常是隨微軟每月修補(bǔ)程序一同發(fā)布。而XP在過去的一年中修復(fù)了65個(gè)安全漏洞。
Redhat企業(yè)版Linux 4工作站在過去的一年中進(jìn)行了64次補(bǔ)丁修復(fù)事件，發(fā)布了125個(gè)補(bǔ)丁包，修復(fù)了360個(gè)漏洞。 Ubuntu 6.06進(jìn)行了65次補(bǔ)丁修復(fù)事件，發(fā)布了80個(gè)補(bǔ)丁包，修復(fù)了224個(gè)漏洞。 OS X的10.4經(jīng)理了17次修復(fù)事件，修復(fù)了116個(gè)安全漏洞。
由于微軟和蘋果公司在補(bǔ)丁發(fā)放過程中執(zhí)行固定的時(shí)間表，因此Vista和OS X的漏洞修復(fù)事件要相對較少。而Redhat和Ubuntu在發(fā)現(xiàn)安全漏洞后會(huì)立即對漏洞進(jìn)行修復(fù)并發(fā)放安全補(bǔ)丁。微軟和蘋果公司的做法可以減少企業(yè)管理開銷，但卻是使得用戶暴露在安全隱患中，相對發(fā)現(xiàn)漏洞并立即修復(fù)，這種做法顯然存在很大的安全隱患。
幾乎從報(bào)告的開始，瓊斯就通過兩個(gè)問題來強(qiáng)調(diào)數(shù)據(jù)的重要性，即修復(fù)一個(gè)存在10個(gè)安全漏洞容易還是修復(fù)100個(gè)安全漏洞容易?另一個(gè)問題，您的安全團(tuán)隊(duì)是每年更新10次補(bǔ)丁還是每年更新100個(gè)補(bǔ)丁?
很顯然第一個(gè)問題無可非議；第二個(gè)問題卻過于片面，因?yàn)樗雎粤艘粋€(gè)事實(shí)，Windows是如今最有針對性的操作系統(tǒng)，而這些安全漏洞的修復(fù)存在一個(gè)很大的時(shí)間空隙，相對而言很多系統(tǒng)管理員寧愿在發(fā)現(xiàn)漏洞后及時(shí)更新安全補(bǔ)丁。
在修復(fù)任何版本的Windows時(shí) ，重新啟動(dòng)往往時(shí)必須，但是在許多實(shí)際情況下，操作系統(tǒng)不可能馬上去執(zhí)行重啟來完成補(bǔ)丁的安裝。相比之下，Unix及Linux系統(tǒng)通常不會(huì)經(jīng)歷這種極端的做法。舉例來說，我已經(jīng)對Ubuntu的桌上型電腦與服務(wù)器裝上很多的安全補(bǔ)丁，到目前為止我并未遇到重新啟動(dòng)系統(tǒng)的情況。當(dāng)系統(tǒng)上運(yùn)行這高流量的Apache和MySQL服務(wù)器，重新啟動(dòng)幾乎是不可想象的。
上星期，我對一些Ubuntu的臺(tái)式計(jì)算機(jī)做了完整的系統(tǒng)升級(jí)操作。整個(gè)升級(jí)所需安裝1234個(gè)新軟件包。這些升級(jí)完全是在后臺(tái)來完成的，在安裝過程中并沒有中斷系統(tǒng)的使用。類似VISTA安裝SP1的過程，在完成整個(gè)更新后會(huì)需要一次重新啟動(dòng)，這個(gè)過程總約30秒左右。據(jù)我的實(shí)際經(jīng)驗(yàn)，Linux升級(jí)或漏洞修復(fù)要比Windows方便的多。
盡管我并十分不認(rèn)同瓊斯的報(bào)告，但如果讀者有興趣閱讀它，您也可以下載一份PDF格式的報(bào)告，在瓊斯的博客(http://blogs.technet.com/security/archive/2008/01/23/download-windows-vista-one-year-vulnerability-report.aspx)。如果您有興趣了解為何Windows仍是最有針對性的操作系統(tǒng)，可以下載微軟最新的安全情報(bào)報(bào)告(http://www.microsoft.com/downloads/details.aspx?FamilyId=BCC879DB-9FE6-4331-B231-E274EA8FC804&displaylang=en)。
如今，Microsoft仍然有很長的路要走，首先需要改善其補(bǔ)丁管理流程，使其更加透明，并給出相應(yīng)的應(yīng)急措施。我想如果微軟可以做到，將會(huì)使為用戶的系統(tǒng)提供更加安全的保證。
瓊斯采用了各種標(biāo)準(zhǔn)的比較，包括限制應(yīng)用程序，來保證測試結(jié)果的相對一致性。舉例來說，Redhat和Ubuntu都采用了OpenOffice的默認(rèn)安裝。在分析過程中，瓊斯并沒有考慮OpenOffice存在的漏洞，以及由系統(tǒng)工具帶來的各種問題，如gimp圖形程序和GCC編譯器等。
瓊斯的統(tǒng)計(jì)結(jié)果顯示，在Vista的第一年中，總共有36個(gè)漏洞分9次17個(gè)補(bǔ)丁包被微軟修復(fù)，這些Vista補(bǔ)丁通常是隨微軟每月修補(bǔ)程序一同發(fā)布。而XP在過去的一年中修復(fù)了65個(gè)安全漏洞。
Redhat企業(yè)版Linux 4工作站在過去的一年中進(jìn)行了64次補(bǔ)丁修復(fù)事件，發(fā)布了125個(gè)補(bǔ)丁包，修復(fù)了360個(gè)漏洞。 Ubuntu 6.06進(jìn)行了65次補(bǔ)丁修復(fù)事件，發(fā)布了80個(gè)補(bǔ)丁包，修復(fù)了224個(gè)漏洞。 OS X的10.4經(jīng)理了17次修復(fù)事件，修復(fù)了116個(gè)安全漏洞。
由于微軟和蘋果公司在補(bǔ)丁發(fā)放過程中執(zhí)行固定的時(shí)間表，因此Vista和OS X的漏洞修復(fù)事件要相對較少。而Redhat和Ubuntu在發(fā)現(xiàn)安全漏洞后會(huì)立即對漏洞進(jìn)行修復(fù)并發(fā)放安全補(bǔ)丁。微軟和蘋果公司的做法可以減少企業(yè)管理開銷，但卻是使得用戶暴露在安全隱患中，相對發(fā)現(xiàn)漏洞并立即修復(fù)，這種做法顯然存在很大的安全隱患。
幾乎從報(bào)告的開始，瓊斯就通過兩個(gè)問題來強(qiáng)調(diào)數(shù)據(jù)的重要性，即修復(fù)一個(gè)存在10個(gè)安全漏洞容易還是修復(fù)100個(gè)安全漏洞容易?另一個(gè)問題，您的安全團(tuán)隊(duì)是每年更新10次補(bǔ)丁還是每年更新100個(gè)補(bǔ)丁?
很顯然第一個(gè)問題無可非議；第二個(gè)問題卻過于片面，因?yàn)樗雎粤艘粋€(gè)事實(shí)，Windows是如今最有針對性的操作系統(tǒng)，而這些安全漏洞的修復(fù)存在一個(gè)很大的時(shí)間空隙，相對而言很多系統(tǒng)管理員寧愿在發(fā)現(xiàn)漏洞后及時(shí)更新安全補(bǔ)丁。
在修復(fù)任何版本的Windows時(shí) ，重新啟動(dòng)往往時(shí)必須，但是在許多實(shí)際情況下，操作系統(tǒng)不可能馬上去執(zhí)行重啟來完成補(bǔ)丁的安裝。相比之下，Unix及Linux系統(tǒng)通常不會(huì)經(jīng)歷這種極端的做法。舉例來說，我已經(jīng)對Ubuntu的桌上型電腦與服務(wù)器裝上很多的安全補(bǔ)丁，到目前為止我并未遇到重新啟動(dòng)系統(tǒng)的情況。當(dāng)系統(tǒng)上運(yùn)行這高流量的Apache和MySQL服務(wù)器，重新啟動(dòng)幾乎是不可想象的。
上星期，我對一些Ubuntu的臺(tái)式計(jì)算機(jī)做了完整的系統(tǒng)升級(jí)操作。整個(gè)升級(jí)所需安裝1234個(gè)新軟件包。這些升級(jí)完全是在后臺(tái)來完成的，在安裝過程中并沒有中斷系統(tǒng)的使用。類似VISTA安裝SP1的過程，在完成整個(gè)更新后會(huì)需要一次重新啟動(dòng)，這個(gè)過程總約30秒左右。據(jù)我的實(shí)際經(jīng)驗(yàn)，Linux升級(jí)或漏洞修復(fù)要比Windows方便的多。
盡管我并十分不認(rèn)同瓊斯的報(bào)告，但如果讀者有興趣閱讀它，您也可以下載一份PDF格式的報(bào)告，在瓊斯的博客(http://blogs.technet.com/security/archive/2008/01/23/download-windows-vista-one-year-vulnerability-report.aspx)。如果您有興趣了解為何Windows仍是最有針對性的操作系統(tǒng)，可以下載微軟最新的安全情報(bào)報(bào)告(http://www.microsoft.com/downloads/details.aspx?FamilyId=BCC879DB-9FE6-4331-B231-E274EA8FC804&displaylang=en)。
如今，Microsoft仍然有很長的路要走，首先需要改善其補(bǔ)丁管理流程，使其更加透明，并給出相應(yīng)的應(yīng)急措施。我想如果微軟可以做到，將會(huì)使為用戶的系統(tǒng)提供更加安全的保證。