發(fā)布了一個新的工具，幫助開發(fā)人員分析新開發(fā)的應(yīng)用是否會改變網(wǎng)絡(luò)犯罪分子攻擊目標(biāo)漏洞以及訪問Windows的方式。
該工具被稱為攻擊表面分析儀(Attack Surface Analyzer)，新SDL驗證工具的測試版已經(jīng)對廣大公眾提供。該工具會在一個應(yīng)用程序安裝前后獲取Windows系統(tǒng)狀態(tài)的。
這種新工具是弗吉尼亞州Arlington舉行的黑帽大會(Black Hat D.C. Conference)上發(fā)布的品之一，會上微軟強調(diào)了其安全軟件發(fā)展計劃。
微軟已經(jīng)發(fā)布了工具和詳細(xì)概述工具內(nèi)部流程的文檔，作為其可信賴計算(Trustworthy Computing)計劃的一部分幫助公司簡歷更安全的軟件開發(fā)流程。
微軟表示，這款新工具可以更多的被其他IT專業(yè)人士使用。IT審計人員可以使用攻擊表面分析儀(Attack Surface Analyzer)評估一個新安裝的應(yīng)用程序帶來的風(fēng)險，事故反應(yīng)者使用它可以在系統(tǒng)調(diào)查期間獲得對安全狀況更好的了解。
該工具可以幫助微軟從客戶那里收集反饋和現(xiàn)實世界中使用的數(shù)據(jù)， 微軟SDL團(tuán)隊主要安全項目經(jīng)理David Ladd說道。
“在發(fā)布前，微軟已經(jīng)要求應(yīng)用進(jìn)行攻擊表面驗證很多年了，但是咋一看，評估一個應(yīng)用或軟件的攻擊表面還挺嚇人的。”Ladd在其一篇關(guān)于攻擊表面分析儀(Attack Surface Analyzer)的博客中這樣寫道。
這種新工具適用于，Windows Vista，Windows Server 2008和Windows Server 2008 R2。
此外，微軟還發(fā)布了SDL威脅建模工具的新版本。Ladd說3.1.6版本考慮到了早起版本和結(jié)構(gòu)分析，并積極緩解現(xiàn)有和新增應(yīng)用中的潛在安全與隱私問題。該工具目前處于測試階段，支持微軟Visio 2010圖表設(shè)計。最終版本將于2011年秋季推出。去年，微軟在SDL陣容中增加了Agile開發(fā)方法。
微軟同時還在更新其現(xiàn)有的BinScope二分制分析儀(BinScope Binary Analyzer)，該工具檢查在二進(jìn)制編碼時常常被攻擊者利用的代碼漏洞。該工具的1.2版本，整合了Visual Studio 2008和2010，并與 Team Foundation Server 2008和Microsoft Team Foundation Server 2010一起工作，將結(jié)果輸出到項目表中。
微軟啟動SDL咨詢服務(wù)
除了發(fā)布新工具，微軟還表示將開始提供咨詢服務(wù)以幫助提高他們的安全開發(fā)生命周期過程。這些服務(wù)將于2月開始提供。
“這是一個端到端的咨詢解決，充分利用了公司開發(fā)的實踐與安全經(jīng)驗，”Ladd在一份聲明中說道。“我們的目標(biāo)是幫助企業(yè)提高軟件安全性，降低客戶的風(fēng)險，并降低總開發(fā)成本?！?/P>
作為咨詢服務(wù)的一部分，微軟將提供對軟件開發(fā)生命周期的各方面的培訓(xùn)和指導(dǎo)文件。該服務(wù)的價格將根據(jù)微軟的顧問參與程度而定，Ladd說道。