Бюллетень cert cyber Security Bulletin уязвимости с января по декабрь 2005:  5198



Скачать 75.59 Kb.
Pdf просмотр
Дата30.11.2016
Размер75.59 Kb.
Просмотров158
Скачиваний0
ТипБюллетень

Стратегия
Microsoft
в области безопасности информационных систем
Алексей Галков
Microsoft Russia

2
Уязвимости в 2005

Бюллетень
CERT Cyber Security Bulletin - уязвимости с января по декабрь 2005:

5198 - общее число уязвимостей в продуктах

812
– в продуктах, работающих на
Windows

219 -
общее число уязвимостей в продуктах
Microsoft
(это всего 4% от всех уязвимостей)

Из них 45 уязвимостей в
Internet Explorer

а также
593
уязвимости в
Adobe, IBM, Novell, Symantec
и других

2328 - в продуктах, работающих на
Unix/Linux

358
-
уязвимостей только в ядре
Linux

а также
1970
уязвимостей в
Apple, HP, IBM, Oracle, Red Hat, Sun
и других

2058
– в продуктах, работающих на смешанных платформах

144
уязвимости в
Firefox

а также
1914
уязвимостей в
Apache, Cisco, HP, IBM, Oracle, Sun
и других

ВЫВОД: продуктов без уязвимостей НЕТ
http://www.us-cert.gov/cas/bulletins/SB2005.html

3
Угрозы стали
более опасны
Фрагментарность
технологий
безопасности
Сложность
использования,
развертывания
и управления
Более изощренные атаки
Мотивированные получением прибыли
Более частые
Атаки двигаются в направлении приложений
Очень много продуктов, которые не взаимодействуют
Различные консоли управления для каждого продукта
Невзаимодействующие продукты не позволяют проводить обобщенный анализ событий
Сложность выбора продукта и управления им
Недостатки интеграции ведут к запутанности управления
Цена установки и запутанность управления противодействуют всеобъемлющему развертыванию во всей сети предприятия
Вызовы

4
Интегрированное управление
End-to-End
решения
Простота улучшает безопасность
Пути решения
Комплексность
Интегрированность
Простота

5
Позиция
Microsoft
по вопросам безопасности

Для реализации более безопасной и более совершенной с точки зрения коммуникаций среды по использованию цифровых технологий необходимо

Развитие доверенной экосистемы

Среда формирования доверия и взаимной ответственности между отдельными людьми, бизнесом и информационными системами
[Microsoft
Identity Metasystem]

Инжиниринг технологий безопасности

Повышение качества инжиниринга технологий безопасности на всех стадиях разработки
[Microsoft - Security Development Lifecycle]

Упрощение систем безопасности

Интеграция системы безопасности с платформой
[
Windows Security Center в
Windows XP SP2 и Windows Vista
]

Создание фундаментально безопасных платформ со встроенными

технологиями изоляции процессов для снижения уровня воздействия вредоносного ПО

технологиями доверенной многофакторной аутентификации

средствами интеграции Политик контроля доступа и Политик безопасности

унифицированными аудитами приложений

Безопасность в
Windows Vista
– пример такого подхода

6
Service Pack 2
Более
260 миллионов копий распространено
В
15 раз меньше вероятность нежелательного
ПО
На порядок меньше обновлений
Malicious Software
Removal Tool

2 млрд запусков
; 200
млн в месяц

Фокус на самом распространенном вредоносном
ПО

Драматическое уменьшение числа атак

Самое скачиваемое ПО
Microsoft

Защищает 25 миллионов пользователей

Отличные отзывы экспертов
SpyNet
As of February 2006

Мастер обеспечения безопасности

Больше «
secure by design
», «
secure by default
»

Более
4.7 миллиона копий загружено
Service Pack 2
Прогресс в безопасности
(внизу приведены бесплатные средства)

7
Что сделано

Инвестиции в разработку систем безопасности
:

значительный % от общего объема
R&D
, равного
$6
млрд
в 2005 финансовом году

Выпуск продуктов с повышенным уровнем безопасности

Windows Server 2003 R2

SQL Server 2005

BizTalk Server 2006

ISA Server 2006
– только что выпущен

Antigen
– многоядерные антивирусы

Office 2007

Exchange Server 2007

Windows Vista
Планомерная реализация стратегии создания
Защищенных информационных систем
(Trustworthy Computing)

8 20 13 74
Бюллетени безопасности баз данных
Источник
: веб сайт компании
, http://www.osvdb.org, http://www.secunia.com (Includes both SQL Server and MDAC)
2002
2003
2004
2005
SQL
Server
Oracle DB
11 2
1
Высокая безопасность
14
Microsoft SQL Server 2005
Vendor:
Microsoft
Product Affected By:
0
8
сентября 2006 = 9 месяцев после выхода!
http://secunia.com/product/6782

9
Что сделано
- 2

Обучение

пользователей: кампания «Защити свой компьютер» www.microsoft.com/protect

профессионалов: бесплатные тренинги и семинары

Предсказуемость обновлений: ежемесячно

Распространение опыта
Microsoft по обеспечению безопасности своей корпоративной сети

Бесплатные средства:

для удаления вирусов
Malicious Software Removal Tool (MSRT)

против шпионских программ
Windows Defender

для оценки уровня защищенности сети
Risk Self Assessment

Подтверждение качества:

Отсутствие вирусных эпидемий

Сертификация продуктов: международная и в соответствии с российским законодательством

10
Международная сертификация

Сертификация на соответствие требованиям
Общих Критериев (
Common Criteria)

В
2005 сертифицированы на уровень
EAL4+:

Windows Server 2003 SP1

Standard

Enterprise

Datacenter

Windows Server 2003 Certificate Server

Windows XP

Professional

Embedded

Exchange Server 2003

ISA Server 2004
http://www.microsoft.com/rus/news/issues/2005/12/EAL4_CommonCriteria.mspx

11
Сертификация в России

Сертификация в ФСТЭК
(бывшая Гостехкомиссия России)

Сертифицированы
:

Windows XP Professional
русская версия

Windows Server 2003 (Standard
и
Enterprise)
русские версии

SQL Server 2000 (Standard
и
Enterprise)
английские версии

Office 2003 Professional
русская версия

Особенность: постоянно сертифицируются и ВСЕ последующие патчи

Организовано и сертифицировано производство ВСЕХ этих сертифицированных продуктов на «Предприятии по поставкам
продукции Управления делами Президента РФ»

Сертификация в ФСБ

Получены положительные заключения о результатах сертификации

Windows XP Professional

Windows Server 2003
СЕРТИФИЦИРОВАНА
ПЛАТФОРМА
для построения информационных систем

12
Планы по сертификации

В соответствии с планами будут сертифицированы

Windows Server 2003 R2

SQL Server 2005

ISA Server 2006

Windows Vista

Share Point Portal Services

Server

BizTalk Server

Exchange Server

а также другие продукты

13
Новое поколение защиты информации

Наступает эпоха стандартизированной интегрированной программно
- аппаратной защиты информации

Международным консорциумом
Trusted Computing Groups
(
http://www.trustedcomputinggroup.org
)
разработаны стандарты чипов
Trusted Platform Modules (TPM)

чип
TPM
предназначается для хранения паролей, криптографических ключей и цифровых сертификатов

TPM используется для контроля начальной загрузки компьютера

Выпущены первые компьютеры с чипом
TPM
на материнской плате

Планируется массовое производство компьютеров с
TPM в ближайшее время всеми производителями

TPM
поддерживается на уровне операционной системы –
Windows
Vista

Программируемость
TPM
позволяет обсуждать вопрос о включении российских криптографических алгоритмов в набор стандартных алгоритмов
TPM

14
Доказательство качества

www.Microsoft.com

13 млн. чел в день

10 тыс. запросов в секунду

300 тыс. параллельных соединений

100+ тыс. атак в день

WindowsUpdate

200 млн. скачиваний в день

12 тыс.запросов в секунду

1 млн. параллельных соединений

80+ Gbit в секунду –
пиковые нагрузки
Year To Date
Rank
Site
Avail %
1
Microsoft.com
99.82
2
WindowsUpdate
99.81
3
Google
99.71 4
IBM
99.70 5
AOL
99.69 6
Dell
98.63 7
MSN
87.39 8
Oracle
84.08
Web Site Availability Benchmarking
измерено
Keynote Systems, Inc.
Microsoft.com
в течение 3
- х лет подряд

самый устойчивый сайт

15
Некоторые выводы

Рост изощренности атак

Нацеленность атак на конкретных пользователей

Опровергнут миф о том, что
Microsoft самая небезопасная платформа

Начало явной интеграции ИБ от разных производителей в одних продуктах

Необходима дальнейшая координация производителей для консолидации управления ИБ

Пример интеграции
Microsoft и
Cisco

Наступает эпоха программно
- аппаратной ИБ

Первые
Trusted Platform Modules (TPM)

Скоро ВСЕ новые компьютеры будут производиться с ТРМ модулями

16
© 2004 Microsoft Corporation. All rights reserved.
This presentation is for informational purposes only. MICROSOFT MAKES
NO WARRANTIES, EXPRESS OR IMPLIED, IN THIS SUMMARY.
СПАСИБО!


Поделитесь с Вашими друзьями:


База данных защищена авторским правом ©nethash.ru 2017
обратиться к администрации

войти | регистрация
    Главная страница


загрузить материал