微軟安全更新新措施：資安廠可先得到相關資料

微軟周二（8/5）在黑帽大會上宣布，10月起將執行兩項新的資安計畫，一是主動保護計畫，讓資安業者在微軟例行性更新日前就能取得修補細節；二是在安全更新時新增攻擊指數，以讓客戶評估漏洞修補的優先順序。

由於微軟每月例行性的安全更新，也讓攻擊程式有時間週期可循，有時候甚至在發表後的幾個小時內就出現攻擊程式，也因此微軟將提供主動保護計畫（Microsoft Active Protections Program，MAPP），讓安全軟體業者可在更新程式出爐前就取得漏洞的詳細資訊，以讓業者可儘快並有效地保護旗下客戶。

此舉可望協助安全業者對抗漏洞攻擊。InfoWorld引述資安業者TippingPoint表示，即使是在微軟更新的前一天才取得相關資訊，都會有很大的幫助，可以提前撰寫及測試該公司的過濾軟體。

微軟預計於10月開始執行MAPP計畫，凡是有大量客戶的資安業者皆可申請參與該計畫，但攻擊工具製造商則不在此列。

此外，微軟也將在更新時提供新的弱點攻擊指數（Exploitability Index），根據微軟的更新評估該漏洞可遭攻擊的可能性。

微軟的弱點攻擊指數將包含三種等級，分別是很可能遭攻擊（Consistent Exploit Code Likely），代表漏洞一旦被攻擊就能導致嚴重的後果；有可能遭攻擊（Inconsistent Exploit Code Likely），代表該漏洞較不容易被攻擊或是不會造成太嚴重的後果；以及不太可能遭攻擊（Functioning Exploit Code Unlikely），表示該漏洞很難被攻擊，不一定要馬上進行修補。

微軟安全回應中心總監Andrew Cushman表示，上述計畫協助解決線上威脅，以及提供更實用的準則讓使用者評估並管理風險，在開採程式與執行保護的競賽中，微軟承諾站在安全產業的一方。

微軟安全技術暨通訊總經理George Stathakopoulos指出，安全威脅愈來愈複雜，全球安全社群必須集結各自的資源以共同提供全球網路用戶最大的安全保障，沒有一個企業可以獨自抵擋網路攻擊，因此要透過產業、合作伙伴、客戶及公共組織的力量共同建置更安全的環境。（編譯/陳曉莉）