MSが脆弱性情報を開示する新プログラムメーカーとユーザーを支援

セキュリティソフトメーカーとユーザー支援のために「Microsoft Active Protections Program」と「Exploitability Index」を導入する。

» 2008年08月06日 08時31分 公開
[ITmedia]

 米Microsoftは8月5日、月例セキュリティ更新プログラム公開に伴うユーザーやセキュリティソフトメーカーの対応を支援するため、新しい情報開示プログラムを発表した。

 新プログラムの「Microsoft Active Protections Program」(MAPP)は、セキュリティソフトメーカーが対象で、Microsoftが月例パッチで対処予定の脆弱性について、事前にメーカー側へ情報を提供する。これにより、メーカーによる迅速かつ効率的なユーザー保護を支援する。

 月例セキュリティ情報の公開に際しては、新たに「Exploitability Index」を導入する。これは、修正パッチで対処したそれぞれの脆弱性について、悪用コードが開発される可能性がどれくらい高いかを示す指標となる。

 MicrosoftのMSRC Ecosystem Strategy Teamブログによると、同社が毎月第2火曜日(日本時間で第2水曜日)に月例更新プログラムを公開するごとに、そのコードがリバースエンジニアリングされて、悪用コードが出回るのが常となっている。

 Microsoftが年間に修正する脆弱性のうち、悪用コードがリリースされるのは約30%。脆弱性の中には悪用が難しいものと比較的簡単なもの、攻撃側から見て関心の高いものとそうでないものがあり、顧客からはどの脆弱性で悪用コードが公開されているのか、という問い合わせが相次いで寄せられるという。

 Exploitability Indexはこうした現状に対応し、月例情報でインデックスを提供。セキュリティアップデート適用の優先順位を決める指標として役立ててもらうのが狙いだとしている。

過去のセキュリティニュース一覧はこちら

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ