Microsoft: „Unsere Sicherheitsprogramme haben sich rentiert“

Ein Jahr nach dem Start von drei Forschungsprogrammen zum Thema Sicherheit hat Microsoft eine positive Bilanz gezogen: Immer öfter erscheine der Patch vor einem Exploit, also Code, der die Lücke ausnutzt. Mit 50 Sicherheitsmitteilungen zwischen Oktober 2008 und Juni 2009 seien 138 Lücken geschlossen worden. Nur für 17 davon habe bei Erscheinen des Patches ein Exploit vorgelegen, aber bei 67 sei ein Exploit wahrscheinlich.

Die Daten nannte Microsoft am Montag im Vorfeld der Sicherheitskonferenz Black Hat. Sie beginnt heute in Las Vegas. Der Fortschrittsbericht bezieht sich auf im August 2008 vom Microsoft Security Response Center vorgestellte Programme.

Im Rahmen des Microsoft Active Protections Program (MAPP) stellt Microsoft 45 Partnern Informationen zu Verwundbarkeiten seiner Software jeweils vor der Veröffentlichung im Rahmen des monatlichen „Patch Tuesday“ vor. Laut einem dieser Partner, Sourcefire, hat sich die für die Entwicklung eines Schutzes benötigte Zeit durch MAPP von acht auf zwei Stunden reduziert. Exploits für 95 Prozent der monatlich veröffentlichten Lücken könne man vom Start weg erkennen und unterbinden.

Ein anderes der Programme ist Microsoft Vulnerability Research (MSVR). Im Rahmen dieses Projekts suchen Microsoft-Forscher nach Schwächen in der Windows-Software anderer Anbieter. Zwischen Juni 2008 und Juni 2009 fanden sie Lücken in Programmen von 32 Firmen. Davon waren laut Microsoft 86 Prozent kritisch. 13 Prozent sind bereits behoben, weitere 5 Prozent in Arbeit. Unlängst waren das MSVR-Team und Forscher Billy Rios als Entdecker von Lücken im Apple-Browser Safari genannt worden.

Fast zeitgleich mit dem Bericht ist ein „Microsoft Office Visualization Tool“ erschienen, das binäre Office-Dateien grafisch darstellt. Damit können Programmierer leichter erkennen, welche Schwachstellen ein Dokument aufweist beziehungsweise an welcher Stelle Malware eingebettet sein könnte.

Vergangenen Freitag hatte Microsoft ein außerplanmäßiges Update für eine kritische Lücke im Internet Explorer und eine mittlere Verwundbarkeit von Visual Studio ankündigen müssen. Sie sollen heute erscheinen. Ein vor zwei Wochen veröffentlichtes ActiveX-Loch in Office ist dagegen noch nicht gestopft. Es ermöglicht Angreifern, über ein vorgebliches Dokument die Kontrolle über einen PC zu übernehmen. Innerhalb von weniger als zwei Monaten musste Microsoft damit drei Zero-Day-Lücken veröffentlichen, für die also zum Zeitpunkt der Entdeckung ein Exploit vorlag.