Microsoft deelt eerder informatie met IT-beveiligers

In de nieuwe regeling, MAPP for Security Vendors, maakt Microsoft een tweedeling. Een selecte groep leveranciers van beveiligingsproducten die al langer bij MAPP zijn aangesloten krijgen voortaan 3 werkdagen van te voren gedetailleerde informatie over zwakke plekken waarvoor Microsoft security updates in petto heeft.

Een minder bevoorrechte categorie van ‘partners op instapniveau’ krijgt dezelfde informatie pas 1 werkdag voordat Microsoft de patches uitbrengt. Dat zei Mike Reavy, senior director bij het Microsoft Security Response Center (MSRC), tegen de Amerikaanse nieuwssite Computerworld.

Meer tijd om digitale handtekeningen te schrijven

Het voordeel van het vroegtijdig ontvangen van informatie over kwetsbaarheden is dat de leveranciers van beveiligingsproducten tijd hebben om digitale handtekeningen te schrijven waarmee ze hun klanten kunnen beschermen.

Leveranciers van IT-beveiligingsproducten vertelden Microsoft dat ze nog betere bescherming kunnen bieden die meer uiteenlopende scenario’s bestrijkt als ze wat meer tijd hebben. Het zou ook de kans op ‘valse positieven’ verkleinen.

Kleine groep krijgt nog eerder informatie in ruil voor medewerking

Microsoft gaat nog verder door een kleine groep IT-beveiligers desgevraagd al enkele weken vooraf extra gegevens over nieuwe dreigingen te geven. Ze kunnen daarmee aanvallen signaleren die gebruik maken van de nog niet gepatchte kwetsbaarheden. In ruil moeten deze partnerbedrijven de detectiesoftware testen en foutenrapporten terugsturen. Microsoft hoopt dat zij met dit onderdeel van de regeling, MAPP Validation, problemen ontdekken die het zelf over het hoofd heeft gezien.

Brede groep organisaties gewaarschuwd voor dreigingen

Een geheel nieuw onderdeel, MAPP for Responders, biedt een veel bredere groep betrokkenen informatie over dreigingen. Het betreft onder meer URL’s van kwaadaardige websites, hashcodes van malware, gegevens over incidenten en richtlijnen voor detectie van aanvallen. De partijen die deze informatie kunnen krijgen zijn onder meer grote bedrijven, Computer Emergency Response Teams (CERT’s) van nationale overheden en particuliere organisaties.

Reavy erkende tegen Computerworld dat het inlichten van zo’n grote groep betrokkenen het risico oplevert dat de informatie uitlekt en kwaadwillenden er hun voordeel mee doen. Volgens hem gaat het om een ‘beheersbaar risico’ en krijgen de betrokkenen geen informatie over de kwetsbaarheden zelf maar alleen over de dreigingen in het algemeen.