来源：Linux中国/付峥，有删改
原文作者：Dave Taylor
企业投入了大量时间、精力和金钱来保障系统的安全性。最强的安全意识可能就是有一个安全运行中心（SOC），肯定用上了防火墙以及反病毒软件，或许还花费了大量时间去监控他们的网络，以寻找可能表明违规的异常信号，用那些 IDS、SIEM 和 NGFW 之类的东西，他们部署了一个名副其实的防御阵列。
然而又有多少人想过数字化操作的基础之一——部署在员工的个人电脑上的操作系统呢？当选择桌面操作系统时，安全性是一个考虑的因素吗？
这就产生了一个IT人士都应该能回答的问题：一般部署哪种操作系统最安全呢？
我们问了一些专家他们对于以下三种选择的看法：Windows，最复杂的平台也是最受欢迎的桌面操作系统；macOS X，基于 FreeBSD 的 Unix 操作系统，驱动着苹果的 Macintosh 系统运行；还有 Linux，这里我们指的是所有的 Linux 发行版以及与基于 Unix 的操作系统相关的系统。
企业可能没有评估他们部署给工作人员的操作系统的安全性的一个原因是，他们多年前就已经做出了选择。退一步讲，所有操作系统都还算安全，因为侵入它们、窃取数据或安装恶意软件的牟利方式还处于起步阶段。而且一旦选择了操作系统，就很难再改变。很少有 IT 组织想要面对将全球分散的员工队伍转移到全新的操作系统上的痛苦。唉，他们已经受够了把用户搬到一个现有的操作系统的新版本时的负面反响。
还有，重新考虑操作系统是高明的吗？这三款领先的桌面操作系统在安全方面的差异是否足以值得我们去做出改变呢？
当然商业系统面临的威胁近几年已经改变了。攻击变得成熟多了。曾经支配了公众想象力的单枪匹马的青少年黑客已经被组织良好的犯罪分子网络以及具有庞大计算资源的政府资助组织的网络所取代。
像你们许多人一样，我有过很多那时的亲身经历：我曾经在许多 Windows 电脑上被恶意软件和病毒感染，我甚至被宏病毒感染了 Mac 上的文件。最近，一个广泛传播的自动黑客攻击绕开了网站的保护程序并用恶意软件感染了它。这种恶意软件的影响一开始是隐形的，甚至有些东西你没注意，直到恶意软件最终深深地植入系统以至于它的性能开始变差。一件有关病毒蔓延的震惊之事是不法之徒从来没有特定针对过我；当今世界，用僵尸网络攻击 100,000 台电脑容易得就像一次攻击几台电脑一样。
给你的用户部署的哪个操作系统确实对你的安全态势产生了影响，但那并不是一个可靠的安全措施。首先，现在的攻击很可能会发生，因为攻击者探测的是你的用户，而不是你的系统。一项对参加了 DEFCON 会议的黑客的调查表明，“84％ 的人使用社交工程作为攻击策略的一部分。”部署安全的操作系统只是一个重要的起点，但如果没有用户培训、强大的防火墙和持续的警惕性，即使是最安全的网络也会受到入侵。当然，用户下载的软件、扩展程序、实用程序、插件和其他看起来还好的软件总是有风险的，成为了恶意软件出现在系统上的一种途径。
无论你选择哪种平台，保持你系统安全最好的方法之一就是确保立即应用了软件更新。一旦补丁正式发布，黑客就可以对其进行反向工程并找到一种新的漏洞，以便在下一波攻击中使用。
而且别忘了最基本的操作。别用 root 权限，别授权访客连接到网络中的老服务器上。教您的用户如何挑选一个真正的好密码并且使用例如 1Password 这样的工具，以便在每个他们使用的帐户和网站上拥有不同的密码
因为底线是您对系统做出的每一个决定都会影响您的安全性，即使您的用户工作使用的操作系统也是如此。
若你是一个安全管理人员，很可能文章中提出的问题就会变成这样：是否我们远离微软的 Windows 会更安全呢？说 Windows 主导企业市场都是低估事实了。NetMarketShare 估计互联网上 88% 的电脑令人震惊地运行着 Windows 的某个版本。
如果你的系统在这 88％ 之中，你可能知道微软会继续加强 Windows 系统的安全性。这些改进被不断重写，或者重新改写了其代码库，增加了它的反病毒软件系统，改进了防火墙以及实现了沙箱架构，这样在沙箱里的程序就不能访问系统的内存空间或者其他应用程序。
但可能 Windows 的流行本身就是个问题，操作系统的安全性可能很大程度上依赖于装机用户量的规模。对于恶意软件作者来说，Windows 提供了大的施展平台。专注其中可以让他们的努力发挥最大作用。
就像 Troy Wilkinson，Axiom Cyber Solutions 的 CEO 解释的那样，“Windows 总是因为很多原因而导致安全性保障来的最晚，主要是因为消费者的采用率。由于市场上大量基于 Windows 的个人电脑，黑客历来最有针对性地将这些系统作为目标。”
可以肯定地说，从梅丽莎病毒到 WannaCry 或者更强的，许多世界上已知的恶意软件早已对准了 Windows 系统.
如果最流行的操作系统总是成为大目标，那么用一个不流行的操作系统能确保安全吗？这个主意是老法新用——而且是完全不可信的概念——“通过隐匿实现的安全”，这秉承了“让软件内部运作保持专有，从而不为人知是抵御攻击的最好方法”的理念。
Wilkinson 坦言，macOS X “比 Windows 更安全”，但他马上补充说，“macOS 曾被认为是一个安全漏洞很小的完全安全的操作系统，但近年来，我们看到黑客制造了攻击苹果系统的额外漏洞。”
换句话说，攻击者会扩大活动范围而不会无视 Mac 领域。
Comparitech 的安全研究员 Lee Muson 说，在选择更安全的操作系统时，“macOS 很可能是被选中的目标”，但他提醒说，这一想法并不令人费解。它的优势在于“它仍然受益于通过隐匿实现的安全感和微软提供的操作系统是个更大的攻击目标。”
Wolf Solutions 公司的 Joe Moore 给予了苹果更多的信任，称“现成的 macOS X 在安全方面有着良好的记录，部分原因是它不像 Windows 那么广泛，而且部分原因是苹果公司在安全问题上干的不错。”
为什么说Linux的安全性高？
很多人都知道Linux系统的安全性比微软Windows系统更高。但是，为什么会是这样?这种说法到底有没有道理?却很少有人能回答得出来。
为了搞清楚这个问题，首先，我们必须要明确“安全性”的定义。其实，绝大多数人都犯了同样一个错误，那就是孤立地认为某个产品比较安全。比如，Linux系统要比微软Windows系统更加安全;或是，开放源代码的Firefox网络浏览器要比微软IE浏览器更加安全。不、不、不，你们都错了，安全性并不是针对某个产品本身而言的。它是一整套以用户为核心的体系。安全性指的是在用户和软件之间，通过适当的交互方式，所达成的一种活跃状态。漏洞补丁管理仅仅是这套系统的一个重要方面。而其它可能更为重要的方面还包括：用于补丁管理的恰当工具、健壮的默认设置，达成安全的多层次运作体系，以及时刻将用户看作是安全性的第一道、也是最后一道防线的设计理念。
当你有了这种思想之后，我就可以向你解释，为什么在一般情况下，一位有经验的用户在使用Linux系统要比使用Windows系统要更加安全：
1.更加卓越的补丁管理工具：
在微软的Windows系统中，自动更新程序只会升级那些由微软公司官方所提供的组件。而第三方的应用程序却不会得到修补。从而，第三方的应用程序可能会给你的系统带来大量的安全隐患。你在使用Realplayer播放器吗?你需要单独升级它。在使用Flash?你还是需要单独进行升级。依此类推，对于电脑上所有的应用程序，你都需要定期地对每一款软件单独进行更新升级。这种方法非常的繁琐，并且让人心烦，而绝大多数用户很快就将这项工作忘到九霄云外去了。
而在Linux系统中，当你在自动更新系统的时候，它将同时升级系统中所有的软件。在Ubuntu系统中，你所下载的任何软件产品，都会出现在系统的程序仓库当中，要升级它，你只需要用鼠标轻轻一点。而在其它Linux发行版本中，如果下载的软件并没有出现在系统的程序仓库中，要添加它也是非常的简便。这样的设计，极大地提高了用户实时更新系统的积极性。
2.更加健壮的默认设置：
Linux系统天生就被设计成一个多用户的操作系统。因此，即便是某个用户想要进行恶意破坏，底层系统文件依然会受到保护。假如，在非常不幸的情况下，有任何远程的恶意代码在系统中被执行了，它所带来的危害也将被局限在一个小小的局部之中。
与之形成鲜明对照的是微软的WindowsXP系统。在这里，用户会默认以系统管理员的身份登录，而在系统中所发生的任何损害，都会迅速蔓延到整个系统之中。微软最新的WindowsVista系统让用户在默认设置下以受限用户的身份登录，因此它要比自己的前任更加安全一点。
3.模块化设计：
Linux系统采用的是模块化设计。这表示，如果不需要的话，你可以将任何一个系统组件给删除掉。由此而带来的一个好处是，如果用户感觉Linux系统的某个部分不太安全，他就可以移除掉这个组件。这对于Windows系统来说，简直是不可思议的。比如说，如果我感觉对于自己的Linux系统来说，Firefox网络浏览器是最薄弱的一个环节，我完全可以删除掉它，用其它网络浏览器来替代，比如说Opera。而在Windows系统当中，即便是再不满意，我也无法替换微软的InternetExplorer网络浏览器。
4.更棒的“零日攻击(zero-dayattacks)”防御工具
即便你能确保自己的系统实时更新，这也并不代表着万无一失!零日攻击(zero-dayattacks，指的是在软件生产厂商发布针对漏洞的更新补丁之前，就抢先利用该漏洞发动网络攻击的攻击方式)正在变得日益猖獗。此外，一项调查研究也显示：对于攻击者来说，他们只需要6天时间就能够开发出针对漏洞的恶意攻击代码，而软件生产厂商们却需要花费长得多的时间才能够推出相应的更新补丁。因此，一套睿智的安全策略在防御零日攻击方面至关重要。微软的WindowsXP系统并没有提供这样的一套防御机制。而新的Vista系统，在保护模式状态之下，虽然有一定效果，但是也只能对针对InternetExplorer网络浏览器的攻击提供一点有限的保护。
与之相对应的是，无论是何种类型的远程遥控代码攻击，AppArmor或SELinux,都能够为系统提供细致而周全的保护。有越来越多的主流Linux发行版本，在系统中都默认整合了AppArmor(例如，SuSE、UbuntuGutsy)或者SELinux(Fedora、DebianEtch、YellowDog)。即便是对于其它发行版本来说，用户也可以非常方便地从网络上下载并安装这两套软件
5.开放源代码构架：
在Linux系统中，当谈论到系统安全性的时候，用“你所看到的，就是你所得到的”这句话来形容，是再合适也不过了。开放源代码意味着，任何可能的软件漏洞都将被“无数双眼睛”所看到，并且得到尽可能快的修复。而更重要的是，这同时也意味着，在这里没有任何被隐藏的修复措施。作为用户，只要你有心，就可以找出自己系统所存在的安全问题，并采取相应的防范措施以应对潜在的安全威胁，即便是在此时该漏洞还没有被修补。
而在Windows世界当中，有很多安全问题都是被掩盖起来的。微软公司内部所发现的软件漏洞，是不会让外界所知晓的，而他们所想的只是在下一个更新升级包中对它进行默默地修补就可以了。虽然这样做可以让被公开的软件漏洞数目更少，并让某些漏洞不会被大规模地利用，但这种做法同时也蒙蔽了用户的双眼。由此所导致的结果是，用户很可能不会积极地对系统进行升级，因为他不了解自己的系统存在着什么样的漏洞，以及这些漏洞的危害大小，结果反而会成为恶意攻击的牺牲品。
6.多样化的系统环境：
Windows的系统环境可以说是千篇一律。这种巨大的一致性让攻击者们在编写恶意代码、病毒或其它诸如此类的一些东西时显得得心应手。反过来，看一看Linux系统世界。在这里，应用程序可以是.deb、.rpm，或源代码，以及其它诸如此类的等等。这种差异性让攻击者们很难在Linux系统身上获得像Windows系统那样的广泛影响。
最后，但却是最重要的，你必须时刻牢记，系统的安全性最终还是掌握在用户手中的。一位有经验的用户可以安全地使用Windows98操作系统，而一位无知的用户则可以让基于OpenBSD的系统都变得千疮百孔。因此，归根结蒂，人才是系统安全的核心，人才是一切的根本。要牢记这一点!
你可能一开始就知道它：专家们的明确共识是 Linux 是最安全的操作系统。然而，尽管它是服务器的首选操作系统，而将其部署在桌面上的企业很少。
如果你确定 Linux 是要选择的系统，你仍然需要决定选择哪种 Linux 系统，并且事情会变得更加复杂。 用户需要一个看起来很熟悉的用户界面，而你需要最安全的操作系统。
像 Moore 解释的那样，“Linux 有可能是最安全的，但要求用户是资深用户。”所以，它不是针对所有人的。
将安全性作为主要功能的 Linux 发行版包括 Parrot Linux，这是一个基于 Debian 的发行版，Moore 说，它提供了许多与安全相关开箱即用的工具。
当然，一个重要的区别是 Linux 是开源的。Simplex Solutions 的 CISO Igor Bidenko 说，编码人员可以阅读和审查彼此工作的现实看起来像是一场安全噩梦，但这确实是让 Linux 如此安全的重要原因。 “Linux 是最安全的操作系统，因为它的源代码是开放的。任何人都可以查看它，并确保没有错误或后门。”
Wilkinson 阐述说：“Linux 和基于 Unix 的操作系统具有较少的在信息安全领域已知的、可利用的安全缺陷。技术社区对 Linux 代码进行了审查，该代码有助于提高安全性：通过进行这么多的监督，易受攻击之处、漏洞和威胁就会减少。”
这是一个微妙而违反直觉的解释，但是通过让数十人（有时甚至数百人）通读操作系统中的每一行代码，代码实际上更加健壮，并且发布漏洞错误的机会减少了。这与 《PC World》 为何出来说 Linux 更安全有很大关系。正如 Katherine Noyes 解释的那样，“微软可能吹捧它的大型的付费开发者团队，但团队不太可能与基于全球的 Linux 用户开发者进行比较。 安全只能通过所有额外的关注获益。”
另一个被 《PC World》举例的原因是 Linux 更好的用户特权模式：Noye 的文章讲到，Windows 用户“一般被默认授予管理员权限，那意味着他们几乎可以访问系统中的一切”。Linux，反而很好地限制了“root”权限。
Noyes 还指出，Linux 环境下的多样性可能比典型的 Windows 单一文化更好地对抗攻击：Linux 有很多不同的发行版。其中一些以其特别的安全关注点而差异化。Comparitech 的安全研究员 Lee Muson 为 Linux 发行版提供了这样的建议：“Qubes OS 对于 Linux 来说是一个很好的出发点，现在你可以发现，爱德华·斯诺登的认可极大地超过了其谦逊的宣传。”其他安全性专家指出了专门的安全 Linux 发行版，如 Tails Linux，它旨在直接从 USB 闪存驱动器或类似的外部设备安全地匿名运行。
惯性是一股强大的力量。虽然人们有明确的共识，认为 Linux 是桌面系统的最安全选择，但并没有出现对 Windows 和 Mac 机器压倒性的倾向。尽管如此，Linux 采用率的小幅增长却可能会产生对所有人都更加安全的计算，因为市场份额的丧失是确定能获得微软和苹果公司关注的一个方式。换句话说，如果有足够的用户在桌面上切换到 Linux，Windows 和 Mac PC 很可能成为更安全的平台。
OS之战是无休止的▼
