MWC 2018
2018
Computex
IFA 2018
Microsoft в рамках октябрьской серии обновлений безопасности раскрыла информацию о 1118 устранённых уязвимостях, которые распределяются по 15 группам риска. Компания также представила новый подход, призванный помочь специалистам по безопасности в анализе масштабных пакетов обновлений.
Источник изображения: Sunrise King / unsplash.com
В «группах риска» (risk cohorts) объединяются уязвимости, требующие анализа одних и тех же аспектов систем, пользовательской среды и подверженности угрозам. Microsoft сопоставила с ними конкретные идентификаторы CVE. Цель нововведения — сократить объём дублирующей работы, но не отказываться от анализа каждой конкретной уязвимости. Аналитики могут больше не отвечать на одни и те же вопросы в процессе развёртывания, а один раз оценить общую область и использовать данные для анализа группы уязвимостей.
В традиционном варианте анализ уязвимости начинается с каждого CVE по отдельности. Аналитики рассматривают степень серьёзности, затронутые уязвимостью продукты, условия для осуществления атаки и статус эксплуатации уязвимости, после чего принимается решение, насколько оперативно организация должна реагировать на угрозу — это необходимо, но большие пакеты обновлений могут вынуждать специалистов многократно проводить одни и те же проверки.
Для некоторых уязвимостей аналитики выясняют, могут ли недоверенные файлы взаимодействовать с определённым компонентом Windows; в других случаях уязвимость зависит от того, может ли пользователь с ограниченными правами выполнять код локально; если уязвимость присутствует на стороне сервера, требуется проверка наличия и доступности определённой роли системы. Группы риска объединяют уязвимости на основе таких общих вопросов — у уязвимостей может не быть общей первопричины, у них может быть разная оценка угрозы. Важен тип анализа, который необходим для понимания уровня риска в конкретной среде.
Источник изображения: BoliviaInteligente / unsplash.com
Группы риска не являются официальными категориями уязвимостей, инструкции по установке исправлений остаются прежними, приоритет устранения уязвимостей они не задают, не предлагают замену проверок на предмет активной эксплуатации, необходимости взаимодействия с пользователем, схем реализации атаки или соблюдения рекомендаций по конкретным продуктам.
Самая крупная из групп охватывает файловые системы, хранение данных и механизмы резервного копирования в Windows — в неё вошли 136 уязвимостей. Совместный анализ в этой группе направлен на компоненты системы и механизмы резервного копирования, обрабатывающие потенциально небезопасные данные, образы дисков, медиаданные и рабочие нагрузки. С офисными документами и почтовыми клиентами связаны 135 уязвимостей; с отвечающими за графику, мультимедиа и обработку контента компонентами Windows — 131 уязвимость.
109 записей связаны с компонентами ядра Windows, 103 — со службами установки, развёртывания и обновления. Здесь в обоих случаях важно, может ли выполняемый с ограниченными правами код взаимодействовать с привилегированными компонентами Windows. По 76 записей CVE пришлись на долю устройств, периферии и подсистемы печати, а также на инфраструктуру DNS, DHCP и сетевой адресации. 65 записей — системы удалённого доступа и развёртывания RCP; криптография и аутентификация — 61 запись, сетевой стек Windows — 53. Далее следуют виртуализация и изоляция (45), сетевой обмен файлами (39), средства обеспечения безопасности (38), веб-службы и службы обмена сообщениями (27), инфраструктура каталогов и сертификации (24).
Новый подход помогает увязать сведения об уязвимостях с реальными условиями развёртывания. Полученные при анализе ответы могут послужить основой для проведения различных проверок, но по каждому конкретному обновлению решение принимается отдельно. Даже в одной группе две уязвимости могут различаться по условиям атаки, версиям и статусу эксплуатации. Актуальным источником информации остаётся руководство по обновлениям безопасности (Security Update Guide) от Microsoft — анализ дополняет эти данные, но не заменяет их. Новый подход помогает упорядочить большой объём работы и сохранить понимание конкретных угроз на всех этапах.
Источник:
