Насколько MS SQL Server безопаснее, чем Oracle

Информационная безопасность*

Михаил Козлов, сотрудник компании Microsoft, предлагает визуально сравнить количество выявленных и исправленных уязвимостей в Oracle 8, 9 и 10 против Microsoft SQL Server 7, 2000 и 2005 за период с 2001 по 2006 годы.

Сверху — уязвимости в Oracle, снизу — в SQL Server. Графики взяты из отчёта NGSSoftware Insight Security Research (PDF).

19 июня 2007, 14:40

alizar 2224,8 G+

комментарии (10)

olegi 19 июня 2007, 14:42 #

Заголовок поправьте плиз.
не "Насколько SQL безопаснее, чем Oracle", на "Насколько Miscorsoft SQL Server безопаснее, чем Oracle"

а то звучит как — "Насколько ActionScript безопаснее Adobe"

НЛО прилетело и опубликовало эту надпись здесь

stix 19 июня 2007, 15:01 # ↑

Согласен.
Особенно после некоторого знакомства с MS SQL 2000. Я к примеру не видел еще ни одной СУБД которая также легко пишет в текстовые поля битые данные, а вот с MS-овским творением это происходило примерно 1-2 раза в месяц, когда я сним работал. Одного этого бага достаточно чтобы перекрыть все остальные баги на всех остальных СУБД.

TheBits 19 июня 2007, 16:02 # ↑

А кому верите? Точно так же и наоборот делается. ИИС после апача. Оракл лучше SQL Server и т.д.

НЛО прилетело и опубликовало эту надпись здесь

vitaminych 19 июня 2007, 15:32 #

не верю я что в продуктах MS нет проблем, прям сидят специалисты по безопасности без работы, исправлять и находить уже нечего ;) Коммент из блога MS:

Объясняю. Вот версия от имени другого лагеря:
Если посмотреть на версии Oracle за это время, то это 8, 9 и 10 - вещи принципиально революционные по новым возможностям и идеям. МС за это время выпускал продукты довольно сильно отстающие от уровня Oracle и IBM DB2. У МС более-менее приличная СУБД получилась с 2005 сервера. Причем SQL 2000 не менялся более пяти лет. Отсюда и вывод - не трогай продукт, патчей меньше придется делать.
Oracle забыл о СУБД больше чем Microsoft узнал за всю жизнь ))

olegi 19 июня 2007, 15:40 # ↑

c 2000 до 2005 MS для своего SQL выпустили 4 сервис-пака.
о роли сервиспаках можно судить как к примеру о сервиспаках для XP

0xa8 19 июня 2007, 17:58 #

Графики под кат.

wiz 19 июня 2007, 18:18 #

Кроме количества дыр есть ещё такие метрики как "сложность эксплоита" и "критичность уязвимости". О котором во многих "исследованиях" "забывают".

gribozavr 19 июня 2007, 18:38 # ↑

Согласен. Если прочитать пару-тройку advisories про Oracle, почти везде чётко указано, что уязвимость можно эксплоитить только например, если ты или локальный пользователь на этой машине, или ты пользователь базы данных, или если уже есть SQL injection и др.

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.