Microsoft geeft aanvalsverwachting beveiligingslekken bij patchrondes

Microsoft geeft voortaan specifieke informatie over de kans dat kwetsbaarheden waarvoor patches worden uitgebracht, worden uitgebuit. Verder gaat Microsoft makers van beveilingssoftware sneller informeren over te patchen beveilingslekken.

Het nieuwe 'Exploitability Index'-ratingsysteem voor beveiligingsrisico's, dat Microsoft heeft geïntroduceerd met de nieuwste patchronde, kent de gradaties 1 tot en met 3. Bij beveiligingslekken van de eerste categorie is de kans groot dat hackers succesvol een kwetsbaarheid kunnen uitbuiten en dit keer op keer kunnen reproduceren. Bij lekken van de tweede categorie kan er aanvalscode geschreven worden, maar werkt deze alleen in een bepaald aantal gevallen of configuraties. De derde rating wordt gegeven aan kwetsbaarheden waarvoor het niet waarschijnlijk is dat er exploit-code voor gemaakt kan worden of dat eventuele code effect zal hebben.

Het nieuwe ratingssysteem, aangekondigd op de Black Hat USA 2008-hackconferentie, is bedoeld als aanvulling op het bestaande systeem van beveiligingsbulletins, die de bugs omschrijven en de ernst ervan aangeven.

Voor de maand oktober heeft Microsoft twintig kwetsbaarheden geïdentificeerd. Acht daarvan vallen in de eerste categorie van het nieuwe, aanvullende beveiligingsratingssysteem, waaronder twee voor Internet Explorer en een voor Excel, terwijl er zeven van de tweede categorie zijn.

Microsoft wil ook beginnen met het vroegtijdig informeren van onder meer makers van beveiligingssoftware en een select aantal andere bedrijven over de te patchen beveiligingslekken. Ook dit Mapp-initiatief werd op Black Hat USA 2008 aangekondigd.

Reacties (9)

[jvdmeer]

Wat ik nog niet zie is of dit naast of in plaats van de huidige classificering komt:
Critical, Highly Recommended, enz...

[Rob Coops]

Ik denk dat het er naast komt, er zijn redelijk wat processen ook binnen microsoft zelf die hier op gebaseerd zijn, bijvoorbeeld als je een ongeldige licentie hebt mag je alleen de critical patches downloaden en de rest niet.
Maar ook veel bedrijven maaken hier gebruik van om bijvoorbeeld een standaard build te testen met de nieuwe patches en deze in orde van belangrijkheid te testen, en uit te rollen. Eerst de critical patches testen en zo snel als ze door de test gekomen zijn uit rollen en dan de highly recomended, enz...

Ook, wel leuk dat ze weer wat closer met de beveiligings bedrijven gaan samen werken om hopelijk sneller problemen op te kunnen lossen aan beide kanten. De beveiligings bedrijven zijn vaak erg goed in het verwijderen en tegen houden van rommel maar uiteindelijk is het nog beter als MS er voor zorgt dat die rommel helemaal niet op je systeem kan komen, door bijvoorbeeld een lek dat de beveiligings bedrijven gebruikt zien worden zo snel mogenlijk te patchen.

[Cloud]

Naast lijkt me. Wat jij bedoelt is zeker de classificering voor de update binnen Windows Update? Die zal niet veranderen hoor. Die classificering is er namelijk voor alle updates van WU.

Dit gaat over de kans dat een security exploit te gebruiken is en dus alleen over security updates. Alle security updates zullen denk ik een Critical-classificering houden binnen WU.

[Reactie gewijzigd door Cloud op 23 juli 2024 03:53]

[Pathogen]

Dat kan wel enigzins geruststellend werken richting de consument. Trouwens kan het ook handig zijn om mensen over te halen te blijven patchen

[Pixeltje]

Microsoft wil ook beginnen met het vroegtijdig informeren van onder meer makers van beveiligingssoftware en een select aantal andere bedrijven over de te patchen beveiligingslekken.

Goed inititatief. Op deze manier laten ze zien dat ze niet te beroerd zijn om samen te werken. Het lijkt me beter dat Microsoft tijdig doorgeeft waar ze mee bezig zijn, zodat De Kaspersky's, Symantec's en en weet ik veel wie zich daaraan kunnen conformeren. Van tevoren bekijken of er een conflict ontstaat met hun software, of misschien zelfs microsoft ondersteunen bij de ontwikkeling van patches etc.

Bring it on!

[Verwijderd]

Ms doet dit omdat ze tijdje geleden zware kritiek hebben gekregen van de 3rd party beveiligingsfirma's. Ze klaagden namelijk dat hun veel te laat werd gemeld wat er fout was.

[Verwijderd]

ik zie het nut van deze ratings niet echt. security patches moet je toch wel installeren, of ze nou een beetje of erg belangrijk zijn. het lijkt me eerder nuttige info voor scriptkiddo's die zo gelijk weten welke bugs het makkelijkst exploitable zijn.

[MLM]

waarom denk je dat ze het op Black Hat presenteren

Meestal geven ze de informatie over een vulnerability pas aan het grote publiek tegelijk met de patch. Als scriptkiddo moet je dan toch best snel zijn wil je voor de Windows Update je virus hebben verspreid.

Ze geven nu aan dat beveiligingssoftwaremakers (scrabble!) eerder bij deze informatie kunnen, zodat ze misschien zelfs voor Windows Update sommige ernstige vulnerabilities kunnen patchen, of in elk geval detecteren wanneer een programma probeert er gebruik van te maken.