Microsoft publie des outils de sécurité interne, méthodes

Microsoft publiera bientôt les outils et méthodes qu'il a utilisés ces dernières années pour réduire le nombre de problèmes de sécurité dans son logiciel.

Microsoft a commencé à prendre la sécurité au sérieux vers 2001. Les problèmes de codage de son logiciel ont ouvert la porte à une nouvelle vague intense de vers malveillants, ou programmes auto-propageant qui ont planté des serveurs de messagerie, créé des réseaux de zombies et volé des mots de passe, causant des dommages coûteux aux entreprises

En réponse, Bill Gates a lancé l'initiative Trustworthy Computing Deux ans plus tard, la société avait affiné ce qu'elle appelle le SDL (Security Development Lifecycle), ou ses processus, pour s'assurer d'écrire un code quasi-infaillible.

L'utilisation du SDL a réduit le nombre de vulnérabilités de sécurité a déclaré Steve Lipner, directeur principal de la stratégie d'ingénierie de sécurité pour Microsoft Trustworthy Computing Group.

Extension du SDL à ISV (Lipner a déclaré: «Si quelqu'un utilise une application tierce sur la plate-forme Microsoft, ils sont toujours un Microsoft, et d'autres développeurs pour les entreprises, comme les banques, renforcent la confiance envers Microsoft et les logiciels conçus pour Windows. client ", a déclaré Lipner. "Nous voulons que leur expérience informatique soit sûre et sécurisée."

Deux des outils sont gratuits. Le modèle d'optimisation SDL est un questionnaire et une liste de contrôle qui évalue les pratiques de développement de sécurité d'une organisation. Il examine la façon dont une entreprise réagit aux nouvelles alertes et correctifs de sécurité, ainsi qu'à des problèmes de formation et de modélisation des menaces. Microsoft proposera le SDL Optimization Model à télécharger sur sa page Web SDL en novembre.

Lipner a déclaré:

L'autre gratuité est une application appelée SDL Threat Modeling Tool 3.0, qui aidera les logiciels.

L'application permet aux architectes logiciels de schématiser des aspects tels que les flux de données. Microsoft a encodé dans les règles du programme que les ingénieurs de sécurité suivraient en travaillant avec le logiciel. Les utilisateurs de l'outil de modélisation des menaces obtiennent des commentaires instantanés, a déclaré Shostack. Microsoft mettra l'outil sur son centre de téléchargement Microsoft Developer Network en novembre.

Le dernier composant est la formation d'un groupe de sociétés pouvant conseiller d'autres entreprises sur le SDL. Le réseau SDL Pro est un groupe de neuf fournisseurs de services de sécurité, de sociétés de conseil et de formation

Le réseau peut conseiller les éditeurs de logiciels et les entreprises sur les moyens de tester leurs propres logiciels développés en interne pour les problèmes de codage. Le réseau SDL Pro commencera une phase pilote en novembre, a indiqué M. Lipner. Ces entreprises seront payées soit par un honoraire de consultation classique, soit par un service d'abonnement, a dit Lipner.

"Nous pensons qu'elles vont s'avérer être une excellente ressource pour les organisations extérieures à Microsoft qui veulent aller de l'avant avec le SDL », A déclaré Lipner.

La plupart des logiciels Windows tiers ne sont pas écrits en utilisant des pratiques de sécurité de pointe, a déclaré Jan Muenther, [cq] CTO avec n.runs membre du réseau SDL Pro. "Alors que Microsoft a lui-même déployé beaucoup d'efforts pour sécuriser son propre code, parfois le code qu'il reçoit de tierces parties ne correspond pas au même niveau de qualité", at-il dit.

Muenther pense que ces nouveaux programmes SDL seulement renforcer la qualité du code des partenaires de Microsoft, mais il pourrait aussi attirer l'attention sur les propres pratiques de sécurité de Microsoft. "Ils veulent faire passer le mot un peu", at-il dit.

Robert McMillan à San Francisco a contribué à cette histoire.