Microsoft informiert Regierungen künftig vorab über anstehende Patches

Microsoft hat ein Pilotprogramm gestartet, um Regierungen und Betreiber von kritischen Infrastrukturen über anstehende Sicherheitsupdates zu informieren. Sie sollen künftig schon vor dem üblichen Patchday, dem jeweils zweiten Dienstag eines Monats, Zugang zu technischen Details von Sicherheitslücken erhalten.

Steve Adegbite, Senior Security Program Manager des Microsoft Security Response Center (MSRC), stellte auf der Sicherheitskonferenz AusCERT 2010 im australischen Queensland die „Defensive Information Sharing Program“ (DISP) genannte Initiative vor. Sie soll nationalen Computer Emergency Response Teams (CERT) sowie Behörden und Organisationen so schnell wie möglich Informationen zu Schwachstellen zur Verfügung stellen. Außerdem sei ein monatlicher „Exploit-Index“ geplant, der es ermögliche, Prioritäten für die Installation von Updates festzulegen.

Bisher teilt Microsoft vorab einige, aber nicht alle Details zu Schwachstellen Sicherheitsanbietern wie Kaspersky, McAfee oder Symantec mit. Genaue Informationen werden normalerweise nicht vorab veröffentlicht, um zu verhindern, dass sie von Cyberkriminellen für die Entwicklung von Exploits missbraucht werden.

Laut Adegbite liefert DISP Details zu betroffenen Anwendungen sowie technische Hintergrundinformationen zu Patches und Teilen des Quellcodes, die zeigen, wo eine Anfälligkeit existiert. „Wir haben festgestellt, dass wir über viele derartige Informationen verfügen“, so Adegbite. „Und bei uns gibt es eine Menge kluger Leute, die jeden Monat Sicherheitslücken untersuchen und voraussagen können, welche voraussichtlich als erstes angegriffen werden.“

Die von Microsoft zur Verfügung gestellten Daten können auch innerhalb von Regierungsbehörden weitergegeben werden. Das sei eine der Schlüsselfunktionen von DISP, so Adegbite. Dadurch erhielten auch Personen, die in verschiedenen Abteilungen an demselben Problem arbeiteten, Zugang zu den Informationen.