Linux vs Windows 安全性大比拚：微軟贊助研究報告深度解讀與雙方辯論

微軟贊助的一項研究指出：Linux 架設的網站面臨更多風險。報告稱 2004 年 Windows Server 2003 修補漏洞少於 Red Hat Enterprise Linux ES 3，「風險日」（已知未修補漏洞累積天數）微軟約 1600 天，紅帽超過 12000 天。漏洞數方面，紅帽預設配置（Apache+MySQL+PHP）174 個，微軟（IIS 6+SQL 2000+ASP.NET）52 個；最小化配置紅帽 132 個，微軟仍 52 個。

紅帽反駁核心論點

• 報告未區分「危險」與較低等級漏洞。依紅帽嚴格標準，RHEL 3 僅 8 個危險漏洞，4/4 在一天內修補，平均 8 天
• 研究將「高危險」定義包含紅帽/微軟的 critical 及本地提權漏洞，微軟高危險漏洞確實較少

研究方法論與爭議

• 作者：Security Innovations 總監 Herbert Thompson、Florida Institute of Technology 教授 Richard Ford、安全測試工程師
• 微軟承認贊助，屬「Get the Facts」行銷活動一環
• Thompson 強調方法可驗證、量化、可重複，「提供蛋糕也提供做法」
• 風險日與漏洞數非完美安全度量，但對管理員有參考意義

專家共識：安全性取決於管理員專業

「對有能力的管理員，兩系統都相當安全。有 Linux 專家就管 Linux，Windows 專家就管 Windows。」（Thompson）

結論：單純比較漏洞數與風險日無法斷定孰優孰劣，管理員專業度與綜合防禦體系（防火牆、IDS、補丁管理）才是決定性因素。