j.zimmermann@xsiteing.de schrieb:
Konrad spielte auf Sicherheit an. Natürlich ist Linux eine ernsthafte Lösung, gerade in kleinen und mittelständischen Unternehmen. Unbenommen davon bleibt, dass es für bestimmte Aufgaben geeignetere OS'se gibt. BSD hat Linux gegenüber einige Vorteile, aber eben auch ne Menge Nachteile. Es kommt eben immer darauf an, was man machen will/muss. Und nein, BSD nutzt Dir nichts, wenn Du dann Linuxsoftware drauf installierst. Mit Linux hast Du sehr gute Chancen einen stabil laufenden Sever zu bauen. (Man muss ja nicht gerade SuSE [einfach alles] nehmen)
Nunja - dann muss ich hierzu noch ein paar Dinge zur Erklärung sagen: a) Wenn man eine Lösung haben will, dann sollte man erst einmal überlegen, was ich überhaupt für Anforderungen stelle! Linux hat seine Tauglichkeit als Server sehr wohl schon vielfach unter Beweis gestellt! Schon vor Jahren hatte SuSE Firmen auf Linux umgestellt. Ich erinnere mich z.B. noch an einen Newsletter wo SIXT (Oder war es ein anderes Verleihunternehmen?) umgestellt wurde. Linux ist sehr wohl eine (gute!!) Alternative zu Windows. Und ich habe es wohl schon einmal gesagt: In meinen Augen die einzig wahre Konkurenz zu Mircrosoft. b) Ich kann bei jeder Software Vor- und Nachteile aufzählen. Auch Linux hat Vor- und Nachteile. Man wird es nie anders finden! Und wie immer muss man dann hier entscheiden: Kann ich mit den Gefahren leben? Es ist natürlich unproduktiv, wenn man sich ständig Sorgen macht! Ich fühle mich im Haus nicht sicher, denn dieses könnte bei einem Erdbeben einstürzen. Wenn ich aber draussen bin, dann werde ich evtl. von einem Auto überfahren ... Aber sehr wohl muss man die Gefahren kennen und einschätzen. Und ich versuche die Gefahr so sehr zu minimieren, wie ich nur kann: - Ich fahre mit angepasster Geschwindigkeit - Ich schnalle mich an - Meine kleine Tochter kommt in einen Kindersitz - .... - .... Und dies gibt es auch im IT Bereich. Lange war das uninteressant, aber durch die Anzahl der "Unfälle" wurde so langsam nach und nach jeder wach und kennt etwas die Gefahren. - So nutze ich nichts, was unverschlüsselt das Passwort überträgt. - Ich beschäftige mich mit Sicherheit! Mann kann die Betriebssysteme mit Autos vergleichen. Und dann hat man von mir aus ein MS Auto, wo man noch nicht einmal unter die Motorhaube schauen kann (Das Beispiel hinkt etwas!) Dann gibt es auch Linux. Das Auto ist nicht schlecht! Es gibt fast alles! Wenn Du willst, kannst Du LKW-Reifen draufbauen. Du kannst an dem Auto rumbasteln, soviel Du willst. Und ständig bekommst Du Updates! Heute ein neues Lenkrad, morgen ein neuen Trinkbecherhalter. Du musst dann entscheiden: Was machst Du mit welchem Update? Wenn es um die Bremsen geht, dann machst Du das Update mal lieber mit. Ist ja wichtig. Willst Du aber auch von Trommelbremsen auf Sheibenbremsen updaten? Das ist sicherheitsmässig nicht unbedingt nötig. Du kriegst ständig neue Features und du musst entscheiden, was du brauchst. Oder willst Du ein Auto haben, das ähnlich wie Linux ist? Viel Zubehör von Linux kannst Du direkt verwenden! Das Auto hat dann ein paar Sicherheitsmerkmale mehr. So gibt es z.B. Jails. Und die Entwickler verzichten lieber auf viel viel Zubehör! Das Auto ist kein Universalauto, welches mit allen Motoren und Rädern klar kommen soll! Aber dafür ist es sicher! Es gibt nicht einen König, der neue Versionen rausbringt sondern ein richtiges Core Team .... All sowas halt ... Oder willst Du lieber einen Merzedes? Dann kriegst Du für viel Geld eine gute Hardware mit einen System, wo du wirklich sicher sein kannst, dass nicht ständig Updates reinfliegen. (Du kannst zwar Updaten zu einem neuen Auto, aber das alte Auto wird auch voll gepflegt!) Das ist etwas, das ich z.B. für sehr wichtig halte! Ich will Security- Fixes für mein AIX 4.2 kriegen! Ich will kein AIX 5L! Denn so eine Servermigration ist zu heftig. Ein kleiner Fix tut es doch auch! Das sind alles Punkte, die man sehen muss! Die Frage ist nur eben, was ich will! Wenn ich nur einen Server für Webseiten irgenwo mieten will, dann werde ich Linux nehmen. Und wenn was passiert? Da ist Linux noch das geringste Risiko! Das sind dann flache Kisten ohne Raid und so! Linux ist in seiner Entwicklung nicht auf Security aus! Das ist meine Aussage! Und diese Aussage konnte ich belegen. Es gibt auch gute Gründe, weshalb die Entwicklung genau so läuft, wie sie läuft! Ich muss nur an den alten Streit Microkernel vs. Monolithischer Kernel denken. Da hat Linus auch den Monolithischen Kernel verteidigt. Es gibt immer Vor- und Nachteile! Was ist mit Unternehmensservern? Wogegen will man diese absichern? Was baut man wie auf? Ich hoffe, dass niemand so blöd ist, und einen Server frei zugänglich vom Internet aus hält und dort alles wichtige drauf klatscht. Da kann man nur noch fragen: Gibt es keine einfacheren Wege für Suizid? Was für Server kenne ich denn so? - Der Typische Arbeitsgruppenserver. Hier laufen Dienste für Filesharing und die zentralen Drucker werden hier evtl. verwaltet. Der Server hängt in einem relativ sicheren Netzwerk. Wer ins Netz rein will, der muss erst einmal in das Firmengebäude. Internet und Funknetz sind durch Firewalls so gut es geht geschützt (Minimale Dienste werden erlaubt!) Wo liegen hier die Risiken? Ich würde sagen, dass die grössten Risiken Ausfälle durch Hardwaredefekte und so sind. Also werde ich lieber hier tätig! - Firewall und "Internetserver". Hier achte ich darauf, dass möglicht wenig sensible Daten vorhanden sind. Ich überwache die Rechner besonders. Ich werde Daten von diesen Rechnern NIE vertrauen! (Ich spiele z.B. Daten auf den Server, aber ich ziehe nie Daten runter). Wenn ich Daten runter ziehe, dann haben diese in einer Form vorzuliegen, dass ich diese kontrollieren kann. Also z.B. reine Textfiles mit Kundendaten oder so. Hereinkommende eMails werden z.B. geprüft! Wenn jemand sagt: "Micorsoft mit seinen Update-Preisen ist uns zu teuer!", dann kann ich diese Person durchaus verstehen. Für diese Person kommen dann Linux und FreeBSD sofort in Frage, da hier die alte Hardware normalerweise unterstützt wird. (Es ging ja um das Einsparen von Kosten!) Nr eben gilt hier wie eigentlich immer: Ich muss auch drüber nachdenken, was ich wie mache! Linux ist auch nur ein einfaches Betriebssystem. Es ist nicht sicherer als Windows oder so. Und jedem, der meint, dass Linux ach so sicher ist und ihm ja nichts passieren kann mit seiner 08/15 Distribution wünsche ich gnadenlos den grössten Ärger, den er sich vorstellen kann. Die 08/15 Distris überprüfen gar nichts! Und die Linuxer meinen ja, dass sie es nicht nötig hätten! Windows-User haben ihre Scanner, mit denen sie ihr System überwachen. Linuxer haben einen "Scheissdreck". FreeBSD hat trojanproof.org .... Linux minimiert gewisse Gefahren, aber Linux hat definitiv NICHT Security als oberstes Prinzip! Man achtet auch auf Sicherheit, aber es handelt sich nicht um eine Art "oberste Prämisse". Und für eine Firewall könnte man vielleicht etwas einsetzen, wo dies anders ist. Aber auch hier muss man sich fragen, was man wie will? FLI4L ist total easy. Selbst ohne Linux-Kenntnisse kann man das schon aufbauen! Und solch eine Firewall ist deutlich besser als gar keine. Und die Frage ist wirklich, welche Risiken ich wie bekämpfe! Was gewinne ich mit welchen Mitteln? Auch ich halte eine Linux Firewall für ausreichend. Da stecke ich ansonsten lieber meine Energier in eine weitere IT Security. Die Konfig der Firewall ist ja extrem wichtig! Und auch, was ich den Benutzern erlaube und was nicht. Wie konfiguriere ich Proxies? IT Security ist nichts triviales! Und es ist auch schlimm, wenn man normale 08/15 Admins hat und die dann IT Security machen müssen. IT Security ist zum Teil eine andere Denkweise! (Wenn ich z.B. eine Filterregel fordere, die das interne 10.* Netzwerk vor Paketen schützen soll, welche von aussen kommen und eine 10.* Absenderadresse haben, dann schauen mich Admins oft an und fragen, ob ich noch alle beieinander hätte. Sowas geht doch gar nicht.) Mit den besten Grüßen, Konrad Neitzel -- SoftMediaTec GmbH Tel: 0172 / 689 31 45 Fax: 069 / 90 50 99 53