您会如何回应“RHEL 比 Ubuntu 更安全”这一论点？

Question

重要提示：我并不是想问 RHEL 是否真的比 Ubuntu 更安全。这不是一个“意见”问题。

相反，我想问的是，如果有人提出上述论点，你会如何证明或反驳？我查看了 CVE 数据库，但其中充满了软件包中的漏洞，而不是操作系统中的漏洞。我比较了“强化”文档，发现两种操作系统都有强化方法，似乎程度相当。

另外，我研究了每个操作系统的流行程度 - 用于 Web 服务器、AWS 等。但这有什么意义呢？

那么，您将如何处理这个论点？

Answer 1

最终的问题并不完全是操作系统本身，而是操作系统如何配置。两种操作系统都可以安全地设置，也可以像瑞士奶酪一样设置。

虽然可以说这两个操作系统都一样安全，但我要关注的是以下几点：

1. 分段和其他安全工具：对于 DAC，Ubuntu 使用 Apparmor，而 RHEL 使用 SELinux。RHEL 还附带开箱即用的 Auditd，而 Ubuntu 需要手动设置（并运行旧版本）。但这些类型的工具只有在您使用和监控它们时才有价值。
2. 开箱即用的设置是什么（这取决于操作系统的来源：ISO/AMI/等）- 一个操作系统是否对 SSH 访问和防火墙有更好的控制设置？一个操作系统是否有一堆监听服务？虽然两者都可以粗略地配置为与另一个相匹配，但从默认安全安装开始，而不是必须追踪一堆边缘服务，可以降低遗漏某些东西的风险。
3. 处理 CVE 的记录如何？当发生重大问题（例如 Heartbleed 和 Shellshock）时，母公司的反应有多快？哪家公司的响应最符合您的风险缓解策略？
4. 哪个操作系统的补丁管理系统最适合您的需求？如果操作系统不保持更新，它就无法保持安全。
5. 他们的支持生命周期是什么样的？您是否计划跟踪最新版本并不断循环使用机器，或者这是一台需要十年支持的宠物机器？

这些只是一些关于差异的想法 - 但绝不是全面的（如果有人有任何其他想法，我很乐意扩展上面的列表）。