微軟提供Windows軟體安全免費評估工具

微軟提供Attack Surface Analyzer 1.0免費工具，可讓企業及軟體開發商評估新的應用是否有損Windows作業系統的安全性。

這項工具是由微軟信賴運算安全小組所開發，該小組的Monty LaRue與Jimmie Lee指出，和一般根據已知漏洞或特徵程式碼來分析的安全工具不同，Attack Surface Analyzer主要在辨識應用程式安裝到Windows上後出現的安全漏洞，包括新增或變更的檔案、註冊金鑰、服務、Microsoft ActiveX control、傳輸埠及其他可能影響攻擊面的參數，並提出警示。

根據微軟說明，新的工具作用原理是讓使用者先將系統安全相關資訊製作快照。等到系統安裝新軟體或變更，就產生另一份快照，Attack Surface Analyzer 1.0就會比較其間差異，並以HTML報告回報變更之處。工具的詳細「快照」區域包括軟體面、網路面，和使用者三個面相；包括執行的流程、可執行記憶體頁(Executable Memory Page)、核心物件、Windows本身、模組；網路傳輸埠；具名管道(Named Pipe)、RPC端點；帳號、群組、群組會員等。而「安全問題」頁籤會標示出可能的問題，像是有問題的存取控制碼等。而「攻擊面」頁籤則提供系統哪裏被變更，以及如何影響系統攻擊面。

Attack Surface Analyzer具有32及64位元版本，支援Windows Vista以上的版本，包括Windows 8和Windows Server 2012。另一方面，它需要.NET Framework 4比較分析掃瞄結果，不過使用者也可透過指令行介面進行掃瞄，另可下載新工具。

Attack Surface Analyzer曾在去年發佈過beta版，但微軟表示，1.0和beta版並不相容，使用者必須重新執行基準（baseline）及應用安裝後掃瞄。（編譯/林妍溱）