Microsoft обяви старта на Secure Future Initiative

Microsoft разкриха през седмицата Secure Future Initiative – широкомащабна вътрешна инициатива, целяща повишаване на сигурността на продуктите на компанията чрез вътрешни програми и действия. Една от първите от споменатите инициативи се явява план за по-ефективно търсене и намиране на слабости в кода и продуктите на компанията, както и отстраняването на такива, ако те бъдат засечени в хода на пускането на дадения продукт на пазара. Сред другите действия, които Microsoft смята да предприеме е засилване на проверката при опит за вписване на клиенти и потребители на компанията в дадена услуга или продукт. Secure Future Initiative идва в отговор на два сериозни инцидента, свързани с мрежата на Microsoft, които доведоха до сериозна критика от страна на публични личности и американските политици. Става въпрос за инцидента, при който свързана с китайското правителство кибершпионска организация използва слабости в дизайна на Exchange Online, за да компрометира пощенските кутии на представители на американското правителство, както и случай, при който компанията е поставила в риск конфиденциални данни, оставяйки без защита 38 терабайта информация в недобре конфигурирано GitHub хранилище, предава SiliconAngle.

Първата програма, по която Microsoft ще започне работа ще е намаляване на появата на уязвимости в своите продукти. Това ще включва например стимулиране на разработчиците им да използват програмни езици, в които се обръща внимание над сигурността на паметта, като Java, C# и Python. Кодът, написан на тези езици, по правило е по-малко податлив на определени типове грешки, които може да се използват от хакери, за да откраднат информация.

Компанията планира да разшири защитата на продуктите си и по други начини. Като например стратегия, която да накара техните разработчици да използват повече CodeQL – инструмент с открит код, създаден от GitHub, който автоматично сканира кода за наличието на уязвимости. Предвижда се също така и процесите по търсене на уязвимости в сигурността на вътрешните системи, използвани от компанията. Що се отнася до вече пропуснатите във вече публикуваните продукти уязвимости, то Microsoft ще започнат да използват специална методология с името dSDL. Тя разчита на CI/CD практиките – техники, помагащи за публикуването на софтуерни актуализации до няколко пъти дневно чрез автоматизиране на сегашните процеси по налагане на обновления, които изискват време и повече човешка намеса.

От клиентска страна, инициативата предвижда да започне да задава по подразбиране по-защитени настройки, както и да включи използването на библиотеките за идентификация на самоличността, като например Microsoft Authentication Library – набор от софтуерни инструменти, чиято функция е да направи по-трудно за хакерите да се вписват в клиентските акаунти чрез крадени или подправени записи.