Paglabas ng Microsoft Mga Tool sa Panloob na Seguridad, Mga Paraan

Ang Microsoft ay lalong madaling panahon ay naglalabas ng mga tool at mga pamamaraan na ginamit nito sa nakalipas na ilang taon upang bawasan ang bilang ng mga problema sa seguridad sa software nito.

Microsoft ay nagsimulang kumuha ng seguridad sineseryoso sa paligid 2001. Mga problema sa pag-coding sa software nito ay binuksan ang pinto sa isang matinding bagong alon ng mga malisyosong worm, o mga programang nagpapakalat sa sarili na nag-crash sa mga server ng e-mail, lumikha ng mga botnet at nakaagaw ng mga password ng gumagamit, na nagdudulot ng malaking pinsala sa mga negosyo.

Bilang tugon, inilunsad ni Bill Gates ang Initytoridad sa Pagsaklaw ng Pagkakatiwalaan noong unang bahagi ng 2002 Dalawang taon na ang lumipas ang kumpanya ay pino ang tinatawag na Security Development Lifecycle (SDL), o ang mga proseso nito upang matiyak na ito ay nagsusulat ng malapit-hindi maiprotektahang code.

Ang paggamit ng SDL ay nagbawas ng bilang ng seguridad na sekswal Ang mga ito sa Windows Vista operating system at SQL Server, isa sa mga programang database nito, kumpara sa mas lumang bersyon ng software, sinabi Steve Lipner, senior director ng seguridad diskarte sa engineering para sa Microsoft's Trustworthy Computing Group.

Pagpapalawak ng SDL sa ISV (ang mga independiyenteng software vendor) at iba pang mga developer para sa mga negosyo, tulad ng mga bangko, nagpapalakas ng pagtitiwala sa Microsoft at software na dinisenyo para sa Windows, sinabi ni Lipner.

"Kung ang isang tao ay gumagamit ng isang third-party na aplikasyon sa Microsoft platform, customer, "sabi ni Lipner. "Gusto naming ang kanilang karanasan sa computing ay maging ligtas at secure."

Dalawang ng mga tool ay libre. Ang Modelo ng Optimization ng SDL ay isang questionnaire at checklist na sinusuri ang mga kasanayan sa pag-unlad ng seguridad ng samahan.

Microsoft ay nag-aalok ng SDL Optimization Model para i-download sa kanyang SDL Web page sa Nobyembre.

"Sa tingin namin iyan ay magiging isang mahusay na mapagkukunan para sa mga taong nais makarating sa SDL at kailangang malaman kung paano sila magsimula, "sabi ni Lipner.

Ang iba pang freebie ay isang application na tinatawag na SDL Threat Modeling Tool 3.0, na tutulong sa software

"Kung ikaw ay isang developer, na nagsasabi sa iyo ng mga bagay tulad ng 'Mag-isip ng isang magsasalakay' ay hindi nakatutulong," sabi ni Adam Shostack, senior program manager para sa Security Development Lifecycle Team.

Ang application ay nagbibigay-daan sa mga arkitekto ng software na mga aspeto ng diagram tulad ng daloy ng data. Naka-encode ang Microsoft sa mga tuntunin ng programa na sasagutin ng mga inhinyero ng seguridad kapag nagtatrabaho sa software. Ang mga gumagamit ng Threat Modeling Tool ay nakakakuha ng instant feedback, sabi ni Shostack. Ilalagay ng Microsoft ang tool sa kanyang download center ng Microsoft Developer Network sa Nobyembre.

Ang huling bahagi ay ang pagbubuo ng isang pangkat ng mga kumpanya na maaaring payuhan ang iba pang mga kumpanya sa SDL. Ang SDL Pro Network ay isang grupo ng siyam na seguridad sa mga nagbibigay ng serbisyo, konsulta at mga kompanya ng pagsasanay.

Maaaring ipaalam ng network ang mga ISV at negosyo sa mga paraan upang masubukan ang kanilang sariling binuo na software para sa mga problema sa coding. Magsisimula ang SDL Pro Network ng pilot phase sa Nobyembre, sinabi ni Lipner. Ang mga kumpanya ay mababayaran sa pamamagitan ng alinman sa isang klasikong pagkonsulta sa bayarin o bill sa pamamagitan ng isang serbisyo ng subscription, Sinabi ni Lipner.

"Naniniwala kami na sila ay patunayan na maging isang mahusay na mapagkukunan para sa mga organisasyon sa labas ng Microsoft na nais na sumulong sa SDL "Sinabi ni Lipner.

Ang karamihan sa mga third-party na software ng Windows ay hindi isinulat gamit ang state-of-the-art na kasanayan sa seguridad na sinabi ni Jan Muenther, [cq] CTO sa mga miyembro ng SDL Pro Network n.runs. "Habang ang Microsoft mismo ay naglalagay ng maraming pagsisikap sa pagkuha ng kanilang sariling code, kung minsan ang code na makuha nila mula sa mga third party ay hindi tumutugma sa parehong antas ng kalidad," sinabi niya.

Muenther ay naniniwala na ang mga bagong programa ng SDL ay hindi tanging ang kalidad ng mga kasosyo ng Microsoft 'code, ngunit maaari rin itong gumuhit ng pansin sa sariling kasanayan sa seguridad ng Microsoft. "Gusto nilang kumalat ang salita nang kaunti," sabi niya.

Si Robert McMillan sa San Francisco ay nag-ambag sa kuwentong ito.