微软首次详细介绍了它如何对Windows安全漏洞进行分类
分类:本网原创 热度:

商圣科技12月08日消息:
Microsoft安全响应中心发布了两个文档,详细说明了其工作人员用于确定安全漏洞优先级和分类的内部过程。
微软今天向安全研究界开放,发布了两份文件,详细说明了公司如何分类和处理安全漏洞。
 
这些文件在一年中由微软安全响应中心(MSRC)整合在一起,微软安全响应中心是一个接收和处理微软安全相关错误报告的部门。
 
这两份文件的草稿已于6月份发布,以供研究界和更广泛的安全行业反馈。今天发布了包含大量新信息的最终版本。
 
此外:特斯拉修改产品政策以适应“诚信”安全研究
 
这些文档中的第一个是名为“ Microsoft的Windows安全服务标准 ”的网页。此页面包含有关哪些类型的Windows功能通常通过紧急补丁周二安全更新提供服务的信息,以及哪些错误留给Windows主开发团队修复并推出部分两年一度的Windows操作系统更新。
 
该文档将所有内容分为三类:安全边界,安全功能和纵深防御安全功能。
 
安全边界是Microsoft认为明显违反数据访问策略的内容。例如,一个错误报告描述了获取内核模式和数据访问权限的非管理员用户模式进程如何被视为“安全边界”违规,在这种情况下是“内核边界”。Microsoft列出了九个安全边界 - 网络,内核,进程,AppContainer沙箱,用户,会话,Web浏览器,虚拟机和虚拟安全模式边界。
 
 
安全功能是应用程序中的错误报告和其他操作系统功能构建,以加强这些安全边界,例如BitLocker,Windows Defender,安全启动等中的错误报告。
 
前两个的Bug报告几乎一直被认为是安全漏洞,微软团队将通过每月Patch Tuesday安全更新中包含的即时补丁来尝试修复这些漏洞。
 
后一类 - 深度防御安全功能 - 是安全功能,微软并不认为这些安全功能与前两个类别具有相同的健壮性,而只是提供“额外安全性”的功能。
 
深度防御安全功能包括用户帐户控制(UAC)功能,AppLocker,地址空间布局随机化(ASLR),控制流保护(CFG)等。
 
深度防御功能中的错误报告通常不会通过Patch Tuesday提供服务,但如果需要,请记下并在稍后的服务中提供服务。
 
我们不会在本文中重现整个文档,但我们建议您在此处阅读和阅读每个类别并查看示例。
 
Microsoft今天发布的第二个文档是一个PDF文件,描述了Microsoft如何为bug报告分配严重性排名。该文档详细说明了哪些错误被认为是严重的,什么是重要的,什么错误获得中等排名,哪些被评为低风险。
 
例如,允许未经授权访问文件系统以在磁盘上写入数据的错误被认为是严重的,而仅重新启动应用程序的拒绝服务错误将始终被视为低风险。
 
在研究人员提交错误报告后,微软在过去几年中多次批评未修复某些漏洞。
 
这些文档的目的是为安全研究人员,媒体,系统管理员和普通用户澄清事情。就像任何公司一样,MSRC的资源有限,本文档将信息安全社区纳入微软工作人员用于审判和优先考虑安全漏洞的程序中。
 
微软今天表示:“我们希望这是一份随着时间的推移而发展的活文件,我们期待继续就此话题与社区进行对话。”


转载请注明: http://www.ygpy.net/bwyc/2018/0911/5803.html
上一篇:业界如何期望在量子世界中获取信息
猜你喜欢
热门排行
精彩图文