Black Hat 2009 : Microsoft propose de nouvelles solutions de sécurité

La Black Hat 2009 fut l’occasion pour Microsoft de faire le point sur les travaux réalisés dans le domaine de la sécurité. Nous sommes revenus sur ces annonces avec Andrew Cushman, directeur Security Response and Outreach, Microsoft Security Response Center (MSRC), Trustworthy Computing Group, Microsoft (ouf!).

« Lors de la BlackHat 2008, nous avions lancé les programmes Microsoft Active Protections Program (MAPP), Microsoft Exploitability Index et Microsoft Vulnerability Research (MSVR), avec pour objectif d’aider les acteurs de l’industrie des logiciels à mieux travailler ensemble. Cette année, le rapport » Building a Safer, More Trusted Internet through Information Sharing « fait un point complet sur ces programmes, » précise Andrew Cushman.

Le programme MAPP a permis de fédérer une cinquantaine d’acteurs autour du domaine de la sécurité. Des méthodes de travail communes permettent à ces compagnies de mieux collaborer, et donc de travailler plus efficacement à la résolution des failles de sécurité. L’apport de Microsoft consiste à appuyer la définition de processus unifiés. “The Devil is in the details”, commente – non sans malice – Andrew Cushman.

Une réponse globale à la problématique des mises à jour

L’entreprise dévoile également un guide de sécurité dédié spécifiquement aux opérations de mise à jour de ses produits. Ce dernier sera une excellente introduction au projet Quant, une initiative qui vise à définir précisément un modèle de coût pour la gestion des correctifs logiciels. Ce projet initié et parrainé par Microsoft est mené par une société indépendante, Securosis. Collaboration et ouverture sont les maitres mots de ce dispositif.

« Aujourd’hui, la plupart des attaques touchent les logiciels et non plus le système d’exploitation. Nous devons donc traiter les problèmes de la sécurité et des mises à jour de façon globale. Nos clients doivent évoluer, tout comme Microsoft, déclare Andrew Cushman. Dans ce domaine, il est difficile pour les utilisateurs de trouver les informations dont ils ont besoin. Le projet Quant permet de s’attaquer à cette tâche de façon pragmatique : guide,framework, description des processus, fourniture d’un ensemble des bonnes pratiques… Il s’adresse aux utilisateurs finaux, mais pourra aussi intéresser les ISV. »