De Volta
Trabalho, muitas viagens e depois férias. Nos últimos 45 dias estive trabalhando em projetos no Chile, Costa Rica e Hungria, para em seguida tirar duas semanas de férias onde fizemos um trekking até o topo do monte Roraima (foto acima), situado na Venezuela. Com isso esse blog teve uma pausa não-programada, mas agora retoma as atividades no seu ritmo normal.
Para recuperar um pouco o tempo, estas foram algumas notícias dignas de nota no mundo da segurança em tecnologia Microsoft:
¦ Saiu o novo Microsoft Security Intelligence Report, com dados sobre o estado da segurança da Internet coletados no primeiro semestre desse ano. Desta vez além do documento principal a Microsoft fornece um documento separado com um "resumo executivo", contendo somente as principais conclusões.
O relatório atual basicamente confirma as tendências de cada vez termos mais vulnerabilidade de alta criticidade, e estas vulnerabilidades estarem na camada de aplicação (vs vulnerabilidade no sistema operacional). Ainda assim, cada vez mais computadores são infectados com malware devido a truques de engenharia social, e não devido a vulnerabilidades de software.
Isso acrescenta uma dimensão interessante no processo de desenvolvimento de um software seguro. O processo tem que não só prevenir vulnerabilidades "tradicionais" como estouros de buffer e XSS, mas também identificar e corrigir situações que possam ser exploradas por um ataque de engenharia social contra o usuário. Hora de encomendar esse livro.
¦ Falando em processo de desenvolvimento seguro, saiu também a MSDN Magazine desse mês (leia aqui em português) com a sua tradicional edição especial de segurança. Várias matérias interessantes: Michael Howard faz um resumo das lições aprendidas em cinco anos de processo de desenvolvimento seguro. Dan Griffin mostra (com código exemplo) como fazer testes de fuzzing usando o Visual Studio Team System, e na seqüência um Scott Lambert e outros mostram como saber se um crash pode ser explorado ou não por um atacante.
Eu destacaria no entanto o artigo sobre como fazer revisões de código de segurança, escrito por Neill Clift e pelos poloneses que antes de trabalhar na Microsoft formavam o grupo de hackers LSD (os descobridores da vulnerabilidade que deu origem ao Blaster). O artigo mostra como fazer a atividade essencial de priorizar o código a ser revisto, a logística envolvida na atividade, os tipos de vulnerabilidade que podem ser identificadas, e como tratar os resultados.
¦ A Microsoft divulgou o primeiro release candidate do Windows Server 2008, que pode ser obtido em formato de DVD ISO ou de máquina virtual nessa página. Esta versão contém todos os recursos que estarão no produto final, e ainda o primeiro release público do Windows Virtualization, incluindo o hypervisor Viridian.
Várias pessoas ainda me enviaram comentários e e-mails perguntando onde obter o beta do Windows Vista Service Pack 1. Segundo o gerente de programa do Windows no Brasil ele está disponível somente para um grupo fechado de pessoas, então se você não faz parte deste grupo lamento não poder ajudar.
¦ Para terminar, uma boa notícia para quem usa ou pretende usar a engine antivirus da Microsoft. Em março desse ano a Microsoft falhou em obter a certificação VB100 da Virus Bulletin, a certificação de referência para produtos antimalware, e se saiu depois muito mal em uma comparação entre diversos antivirus. Essa certamente não é uma performance aceitável e a Microsoft prometeu investir o que fosse necessário para melhorar essa performance.
Seis meses depois, uma nova comparação feita pela AV Test mostrou uma grande mudança em relação os resultados anteriores. Com 96.42% de detecção o OneCare e Forefront Client Security estão dentro dos melhores resultados do mercado, e em outro teste foi recuperada a certificação VB100. E agora especificamente no mês de Outubro, a empresa PrevX ainda detectou uma melhoria brutal na detecção da engine da Microsoft comparado com os principais concorrentes no mercado. Um excelente trabalho do time de antimalware.
