IIS と Apache: 優先されるセキュリティ オプションはどれですか?

少し前まで、ネットワーク管理者は組織のネットワーク サービス プラットフォームを深く掘り下げていませんでした。勤務している部門が Windows システムを使用している場合は、Microsoft の Internet Information Server (IIS) を実行し、Linux/Unix システムを使用している場合は、Apache を使用します。 IIS と Apache の双子の兄弟は決して出会うことはありません。しかし、時代は変わり、Apache HTTP Server プロジェクトは Windows バージョンの Web サーバーをリリースすることで、両者を隔てる壁を打ち破りました。 Web サーバーの歴史は、元の NCSA httpd サーバーまで遡ることができます。さて、この分野には 2 人の「大きな子供たち」がいて、Windows 管理者には少なくともある程度の柔軟性があります (Microsoft がすぐに Linux 用 IIS をリリースするとは期待しないでください!)。

セキュリティの観点から、この選択には議論の余地があります。組織にとって最も安全なプラットフォームを選択する決定に影響を与える可能性のある 4 つの要素を次に示します。

· 固有のサーバー セキュリティの脆弱性。メディアでの Microsoft に対する批判にもかかわらず、両方のプラットフォームはほぼ同じように脆弱です。 Computer Emergency Response Team Security Vulnerability Database が発表した最近の調査によると、IIS のセキュリティ脆弱性は 28 回攻撃され、Apache のセキュリティ脆弱性は 25 回攻撃されました。情報セキュリティの世界では、それは競馬のマージンと同じくらい僅差です。

・既存のネットワーク管理知識。ネットワーク管理者がこれらのプラットフォームのいずれかをすでに使用しており、そのセキュリティ設定に精通している場合、それは非常に重要な要素になります。セキュリティ侵害の多くは、熟練していないネットワーク管理者による設定ミスによって引き起こされます。新しいプラットフォームを使用しているときは、間違いを犯しやすくなります。

・オペレーティングシステムに精通した管理者。ネットワーク サーバーのセキュリティは、基盤となるオペレーティング システムのセキュリティとまったく同じです。攻撃者がオペレーティング システムの管理者権限を取得できれば、ネットワーク サーバーへの侵入は簡単です。したがって、この決定を行う際には、システム管理者のスキルを考慮してください。 Windows オペレーティング システムを使用している部門の場合、IIS と Apache は両方とも Windows プラットフォームで実行されるため、これは大きな要因ではありません。ただし、部門で Unix を使用している場合は、分析に Apache のポイントを追加してください。IIS に切り替える場合でも、Windows 環境で作業する管理者を維持する必要があるためです。

・開発者のスキル。動的 Web ページ (ASP、PHP、CGI など) を作成している場合は、開発者のセキュリティ スキルを考慮してください。オペレーティング システム管理者と同様、開発者も使い慣れた環境では間違いを犯す可能性が低くなります。開発者が特定の開発環境を好む場合は、これを考慮する必要があります。ただし、一般的な Web 開発システムをインターネット上の他のプラットフォームに移植する方法は数多くあることにも注意してください。たとえば、Sun Java System ASP と Apache::ASP の両方で、RedHat サーバー上で ASP を使用できます。同様に、IIS サーバーに PHP をインストールしてセットアップすることもできます。

私たちはこの問題を情報セキュリティの観点から議論します。これは覚えておくことが非常に重要です。 IIS と Apache は機能的に同等ですが、技術スタッフが組織に密接に関連するテクノロジを習得している場合は、リスクと利点の分析を行うときにこの要素を必ず考慮してください。ネットワークサービスを楽しんでください!