La politique de Microsoft en matière de sécurité informatique a souvent été pointée du doigt avec notamment une publication programmée chaque deuxième mardi du mois. Il est ainsi devenu assez fréquent que le Patch Tuesday de Microsoft soit suivi d'un mercredi où les pirates informatiques s'en donnent à coeur joie pour tenter, après reverse engineering, d'exploiter les vulnérabilités révélées avant que les utilisateurs n'appliquent les correctifs salvateurs.


Partage de l'information en amont
Afin d'éviter que les pirates aient toujours un petit temps d'avance, la firme de Redmond a décidé sous l'égide de l'initiative Microsoft Active Protections Program, de fournir en avant-première à ses partenaires les billes nécessaires à l'élaboration d'une protection rapide. Les fournisseurs de solutions de sécurité auront ainsi accès à de plus amples détails techniques sur les mises à jour à venir dans le cadre du Patch Tuesday, pour les aider à alimenter les bases de signatures des antivirus et systèmes de prévention d'intrusion.

En plus de MAPP, Microsoft va également mettre en place un nouvel index d'exploitabilité, ou une manière de mieux informer ses clients sur la réelle dangerosité d'une vulnérabilité se traduisant par son risque à être exploitée. Il s'agira de mieux aiguiller le client quant à son tri parmi les mises à jour proposées. Quel patch doit être appliqué immédiatement, et quel autre peut attendre  ? Trois nouveaux indices pour identifier une vulnérabilité dont l'exploitation peut engendrer de graves problèmes, une vulnérabilité dont l'exploitation est difficile ou donnant peu de résultats, une vulnérabilité dont l'exploitation est très difficile et ne nécessite pas l'application immédiate d'un correctif.

Selon Microsoft, près de 30 % des trous de sécurité comblés chaque année voient la conception d'un code exploit dédié. Reste que ces exploits ont tendance à se répandre de plus en plus vite, une donnée que prend en compte Microsoft avec ces deux initiatives dont le coup d'envoi sera donné au mois d'octobre. Microsoft qui a fait ces annonces dans le cadre de la conférence Black Hat USA 2008 en appelle par ailleurs à " combiner les forces de toute l'industrie, des partenaires, des clients et des organismes publics afin de bâtir un environnement plus sécurisé pour tous ".