Επιχειρήσεις

Η Microsoft σύντομα θα κυκλοφορήσει τα εργαλεία και τις μεθόδους που έχει χρησιμοποιήσει τα τελευταία χρόνια για να μειώσει τον αριθμό των προβλημάτων ασφάλειας στο λογισμικό της.

Η Microsoft άρχισε να λαμβάνει σοβαρά υπόψη την ασφάλεια γύρω στο 2001. Η κωδικοποίηση των προβλημάτων στο λογισμικό της άνοιξε την πόρτα σε ένα έντονο νέο κύμα κακόβουλων σκουληκιών ή σε προγράμματα αυτοκαταστροφής που κατέστρεψαν διακομιστές ηλεκτρονικού ταχυδρομείου, δημιούργησαν botnets και έκλεψαν κωδικούς πρόσβασης χρηστών, προκαλώντας δαπανηρές ζημιές στις επιχειρήσεις.

Σε απάντηση, ο Bill Gates ξεκίνησε την πρωτοβουλία Trustworthy Computing στις αρχές του 2002.Δύο χρόνια αργότερα η εταιρεία είχε επεξεργαστεί αυτό που ονομάζει τον SDL (Lifecycle Development Lifecycle Development Lifecycle Development Lifecycle), ή τις διαδικασίες της για να εξασφαλίσει ότι γράφει κώδικα κοντά στο αλεξίσφαιρο.

Η χρήση του SDL έχει μειώσει τον αριθμό των vulnerabal security στο Windows Vista και στο SQL Server, ένα από τα προγράμματα βάσης δεδομένων του, σε σύγκριση με παλαιότερες εκδόσεις του λογισμικού, δήλωσε ο Steve Lipner, διευθυντής στρατηγικής μηχανικής ασφαλείας για την Trustworthy Computing Group της Microsoft.

Επέκταση του SDL σε ISV οι ανεξάρτητοι προμηθευτές λογισμικού) και άλλοι προγραμματιστές για επιχειρήσεις, όπως οι τράπεζες, ενισχύουν την εμπιστοσύνη στη Microsoft και το λογισμικό που έχει σχεδιαστεί για τα Windows, δήλωσε η Lipner.

"Εάν κάποιος χρησιμοποιεί μια εφαρμογή τρίτου στην πλατφόρμα της Microsoft, πελάτης ", δήλωσε ο Lipner. "Θέλουμε η εμπειρία τους στον υπολογισμό να είναι ασφαλής και ασφαλής."

Δύο από τα εργαλεία είναι δωρεάν. Το Μοντέλο Βελτιστοποίησης SDL είναι ένα ερωτηματολόγιο και μια λίστα ελέγχου που αξιολογεί τις πρακτικές ανάπτυξης ενός οργανισμού. Εξετάζει το πώς μια εταιρεία ανταποκρίνεται σε νέες προειδοποιήσεις και επιθεωρήσεις ασφαλείας και σε θέματα όπως η κατάρτιση και η προσομοίωση απειλών.

Η Microsoft θα προσφέρει το μοντέλο βελτιστοποίησης SDL για λήψη στην ιστοσελίδα της SDL τον Νοέμβριο. θα είναι μια μεγάλη πηγή για τους ανθρώπους που θέλουν να μπουν στο SDL και πρέπει να καταλάβουν πώς ξεκινούν ", δήλωσε ο Lipner.

Το άλλο freebie είναι μια εφαρμογή που ονομάζεται SDL Threat Modeling Tool 3.0, οι αρχιτέκτονες που δεν είναι έμπειροι στην ασφάλεια για να εντοπίσουν πιθανά ζητήματα ασφάλειας στο λογισμικό που σχεδιάζουν.

< ανώτερος υπεύθυνος προγράμματος για την ομάδα κύκλου ζωής ανάπτυξης

Η εφαρμογή επιτρέπει στους αρχιτέκτονες λογισμικού να διαγράφουν πτυχές όπως οι ροές δεδομένων. Η Microsoft έχει κωδικοποιήσει τους κανόνες του προγράμματος που θα ακολουθούσαν οι μηχανικοί ασφαλείας κατά την εργασία με το λογισμικό. Οι χρήστες του εργαλείου μοντελοποίησης απειλών λαμβάνουν άμεση ανατροφοδότηση, είπε ο Shostack. Η Microsoft θα θέσει το εργαλείο στο κέντρο λήψης του Microsoft Developer Network τον Νοέμβριο.

Το τελευταίο στοιχείο είναι η δημιουργία μιας ομάδας εταιρειών που μπορεί να συμβουλεύει άλλες εταιρείες στο SDL. Το Δίκτυο SDL Pro είναι μια ομάδα εννέα παρόχων υπηρεσιών ασφάλειας, συμβούλων και εταιρειών κατάρτισης.

Το δίκτυο μπορεί να συμβουλεύει τους ISVs και τις επιχειρήσεις σχετικά με τους τρόπους δοκιμής του δικού τους λογισμικού για προβλήματα κωδικοποίησης. Το δίκτυο SDL Pro θα ξεκινήσει πιλοτική φάση το Νοέμβριο, δήλωσε ο Lipner. Αυτές οι εταιρείες θα πληρώνονται είτε μέσω κλασικής αμοιβής συμβούλων είτε μέσω λογαριασμού από μια υπηρεσία συνδρομής, δήλωσε ο Lipner

. "Πιστεύουμε ότι πρόκειται να αποδειχθούν εξαιρετικοί πόροι για οργανισμούς εκτός της Microsoft που επιθυμούν να προχωρήσουν με το SDL, Δήλωσε ο Lipner.

Το μεγαλύτερο μέρος του λογισμικού τρίτων κατασκευαστών Windows δεν έχει γραφτεί χρησιμοποιώντας τις πλέον σύγχρονες πρακτικές ασφαλείας, όπως δήλωσε ο Jan Muenther, [cq] CTO με το μέλος του δικτύου SDL Pro Network. "Ενώ η ίδια η Microsoft έχει καταβάλει πολλές προσπάθειες για να εξασφαλίσει τον δικό της κώδικα, μερικές φορές ο κώδικας που λαμβάνουν από τρίτους δεν ταιριάζει με το ίδιο επίπεδο ποιότητας", δήλωσε.

Ο Muenther πιστεύει ότι αυτά τα νέα προγράμματα SDL δεν θα μπορούσαν μόνο ενισχύει την ποιότητα του κώδικα των συνεργατών της Microsoft, αλλά θα μπορούσε επίσης να επιστήσει την προσοχή στις πρακτικές ασφαλείας της Microsoft επίσης. "Θέλουν να διαδώσουν τη λέξη λίγο," είπε.

Ο Robert McMillan στο Σαν Φρανσίσκο συνέβαλε σε αυτή την ιστορία.