CS50 Lecture by Steve Ballmer
Ευπάθειες είναι αδυναμίες στο λογισμικό που επιτρέπουν σε έναν εισβολέα να υπονομεύσει την ακεραιότητα, τη διαθεσιμότητα ή την εμπιστευτικότητα αυτού του λογισμικού. Η Microsoft χρησιμοποιεί μια διαδικασία για τη διερεύνηση και την απελευθέρωση ενημερώσεων ασφαλείας που αντιμετωπίζουν τις ευπάθειες του λογισμικού που παράγει.
Η Microsoft κυκλοφόρησε ένα έγγραφο σχετικά με τη Διαχείριση Λογισμικού ευπάθειας , το οποίο σας ενημερώνει για το πώς η Microsoft χρησιμοποιεί μια προσέγγιση πολλαπλών παραμέτρων για να βοηθήσει
Αυτή η προσέγγιση περιλαμβάνει τρία βασικά στοιχεία:
- Υψηλής ποιότητας ενημερώσεις ασφαλείας - χρησιμοποιώντας παγκόσμιες τεχνικές πρακτικής για την παραγωγή ενημερώσεων ασφαλείας υψηλής ποιότητας που μπορούν να αναπτυχθούν με βεβαιότητα σε πάνω από ένα δισεκατομμύριο διαφορετικά συστήματα στο PC eco -Συστήματα και βοηθούν τους πελάτες να ελαχιστοποιήσουν τις διαταραχές στις επιχειρήσεις τους,
- Άμυνας με βάση την κοινότητα - Οι συνεργάτες της Microsoft με πολλά άλλα μέρη, όταν διερευνούν πιθανές ευπάθειες στο λογισμικό της Microsoft. Η Microsoft επιδιώκει να μετριάσει την εκμετάλλευση των τρωτών σημείων μέσω της συνεργασίας της βιομηχανίας και μέσω εταίρων, δημόσιων οργανισμών, πελατών και ερευνητών στον τομέα της ασφάλειας. Αυτή η προσέγγιση συμβάλλει στην ελαχιστοποίηση πιθανών διαταραχών στις επιχειρήσεις των πελατών της Microsoft,
- Πλήρης διαδικασία απόκρισης ασφάλειας - χρησιμοποιώντας μια ολοκληρωμένη διαδικασία απόκρισης ασφάλειας που βοηθά τη Microsoft να διαχειριστεί αποτελεσματικά περιστατικά ασφάλειας παρέχοντας παράλληλα την προβλεψιμότητα και τη διαφάνεια που χρειάζονται οι πελάτες για να ελαχιστοποιήσουν τις διαταραχές επιχειρήσεις.
Είναι αδύνατο να αποτραπεί εντελώς η εισαγωγή τρωτών σημείων κατά την ανάπτυξη μεγάλων έργων λογισμικού. Όσο οι άνθρωποι γράφουν κώδικα λογισμικού, κανένα λογισμικό δεν είναι τέλειο και θα γίνουν λάθη που οδηγούν σε ατέλειες στο λογισμικό. Ορισμένες ατέλειες («σφάλματα») απλά εμποδίζουν το λογισμικό να λειτουργεί όπως ακριβώς προορίζεται, αλλά άλλα σφάλματα μπορεί να παρουσιάζουν ευπάθειες. Όχι όλες οι ευπάθειες είναι ίσες. ορισμένα τρωτά σημεία δεν θα είναι εκμεταλλεύσιμα, επειδή οι συγκεκριμένοι μετριασμοί εμποδίζουν τους επιτιθέμενους να τα χρησιμοποιήσουν. Παρ `όλα αυτά, κάποιο ποσοστό των τρωτών σημείων που υπάρχουν σε ένα συγκεκριμένο λογισμικό παρουσιάζει τη δυνατότητα να είναι εκμεταλλεύσιμος.
Λήψη: Διαχείριση ευπάθειας λογισμικού
Ο Αύγουστος θα είναι ένας μεγάλος μήνας για τις ενημερωμένες εκδόσεις ασφαλείας της Microsoft, καθώς η εταιρεία δήλωσε ότι σχεδιάζει να κυκλοφορήσει 12 ενημερώσεις, επτά από τις οποίες είναι κρίσιμες, την Τρίτη Patch την επόμενη εβδομάδα. Explorer, Access, Windows Media Player και Microsoft Office. Οι ενημερώσεις για το Office, οι οποίες κράτησαν την Microsoft πολυάσχολη με τις τελευταίες ενημερώσεις ασφαλείας, περιλαμβάνουν μεμονωμένες ενημερώσεις κώδικα για το PowerPoint και το Excel.
Η Microsoft θα απελευθερώσει επίσης πέντε σημαντικά ενημερωμένα τεμάχια, τέσσερα από τα οποία επηρεάζουν τα Windows και ένα από τα οποία επηρεάζει το Office. Δύο από τις ενημερώσεις κώδικα των Windows επηρεάζουν επίσης και άλλο λογισμικό - το ένα αφορά το Outlook Express και το Windows Mail και το άλλο επηρεάζει το Windows Messenger.
Η Microsoft δημοσίευσε ενημερώσεις κώδικα για την επίλυση 19 κρίσιμων τρωτών σημείων στο λογισμικό της την Τρίτη, συμπεριλαμβανομένων πέντε ελαττωμάτων στο πρόγραμμα περιήγησης Internet Explorer που οι ειδικοί ασφαλείας συμβουλεύουν τους διαχειριστές IT να ενημερώσουν άμεσα. οι ενημερώσεις που κυκλοφόρησαν για τον Αύγουστο είναι ο μεγαλύτερος γύρος ενημερωμένων ενημερώσεων Patch της Τρίτης που κυκλοφόρησε από τον περασμένο Φεβρουάριο και θα πρέπει να δώσει στους διαχειριστές πληροφορικής την ευκ
Έξι από τα Patches που μπορεί να βρεθούν στην ιστοσελίδα της Microsoft, κρίνονται κρίσιμες, ενώ πέντε αξιολογούνται ως σημαντικές.
Η Microsoft κυκλοφόρησε επίσης ένα εξω- patch για την ευπάθεια συντόμευσης των Windows - μόνο μια εβδομάδα πριν από τις προγραμματισμένες ενημερώσεις Patch Tuesday. Η γρήγορη ανάκαμψη της Adobe από την ανακάλυψη ευπάθειας στην ενημερωμένη έκδοση κώδικα είναι αξιέπαινη αλλά η άνοδος των εκμεταλλεύσεων μηδενικών ημερών που αναγκάζουν τόσο την Adobe όσο και τη Microsoft να παρέχουν συχνά ενημερώσεις εκτός του κανονικού κύκλου απελευθέρωσης του patch απειλεί να αποβάλει τα οφέλη από ένα τακτικά προγ
Το θέμα που αντιμετωπίζει η Adobe είναι ένα θέμα ευπάθειας στο Adobe Reader το οποίο παρουσιάστηκε στο Black Hat από τον ερευνητή ασφαλείας Charlie Miller. Ο Miller έχει κάνει ένα όνομα για τον εαυτό του κερδίζοντας επανειλημμένα τον διαγωνισμό Pwn2Own στη διάσκεψη ασφάλειας CanSec West.