「Apacheに新たな脆弱性発見」記事へのコメント

TimeOut ディレクティブ

[Anonymous Coward]

初心者サーバ管理者で申し訳ないんですが、具体的には TimeOut をデフォルトの 300 秒よりも多めにしたらいいのでしょうか？それとも少なめにするのがいいのでしょうか？

教えてエライ人！

とりあえず泥縄で

[Anonymous Coward]

DoS攻撃なので、攻撃されるまで放置しておくのも手です。
いちおう対処しておきたいのなら、広範に影響が出る恐れのあるタイムアウトの変更よりも、当該の攻撃への対処コードをヤッツケで書いて入れましょう。

オープンソースなんだし、unix使いなら、自分で対処コードを書けるでしょう。
書けないのなら、オープンソースなんか使うのやめてWindowsでIISでも使うべきです。

誰もがコードを読み書きできることで、脆弱性が発見されやすく、それに対処しやすいのがポイントです。
自分で対処できないのであれば、脆弱性が発見されやすいだけで、いいことがありませんよ。

Re:

[Anonymous Coward]

今回はたまたま Apache 系列で発見されたけど、IIS で発見されたときはどうするの？
IIS ならば即座にパッチが提供されるという保証はどこにも無いよ。そのときには Apache に乗り換えるのを薦めるんだろうか。

実運用を考えるならば、Web サーバのみならず WAF(Web Application Firewall) で対応することも考えられるね。構成の一部分（例えばWebサーバだけ）を見て判断するのは早計でしょ。

Re:とりあえず泥縄で

[Anonymous Coward]

自分でパッチせずにパッチが与えられるのを口を開けて待つのは同じ。
IISなら、IISを選んだことを批判されることはあっても、
自分でソースを読んでパッチを当てられないことを批判されることはない。

なお今のIISは、使い方さえ間違わなければ、Apacheよりも問題は少ないと思う。

Re:

[Anonymous Coward]

> なお今のIISは、使い方さえ間違わなければ、Apacheよりも問題は少ないと思う。

先刻も0dayの攻撃があったばかりだと思いますが。