Teste de Fuzzing no Office

Artigo original publicado em 2 de maio de 2011, segunda-feira

Nós fizemos algumas alterações na forma como desenvolver e testar o nosso software de produtividade que resultou no Office 2010 tornando-se a versão mais segura do Microsoft Office. Além de projetar o Office com possíveis ameaças em mente, revisar o código de programação para encontrar falhas de segurança e realizar testes de penetração, o Teste de Fuzzing é outro processo utilizado na Microsoft para criar um software mais seguro. Algumas das outras melhorias de segurança serão abordadas em uma postagem futura.

Tem havido muita discussão sobre o teste de fuzzing entre os profissionais de segurança ultimamente, incluindo uma postagem recente da equipe CERT (Computer Emergency Response Team) sobre uma comparação de segurança: Microsoft Office versus Oracle OpenOffice, e um artigo escrito por Dan Kaminsky sobre marcação de fuzzing: rumo às métricas de segurança rigorosas para obter qualidade de software?.

Hoje, gostaríamos de realçar como abordamos o teste de fuzzing e o fuzzing de arquivo na equipe do Office.

 Fuzzing de arquivo 101

Fuzzing de arquivo é o processo de modificação dos formatos de arquivo pela alimentação de dados aleatórios ou "fuzz" em um aplicativo e depois o monitoramento de como o aplicativo responde aos dados. Este procedimento de teste é realizado tanto por empresas que estão criando software quanto por invasores que estão desenvolvendo malware. As empresas que estão criando software usam a técnica de encontrar bugs ou problemas dentro de seu aplicativo de software e, em seguida, ajudam a garantir que o aplicativo é tão seguro e estável quanto possível antes de o disponibilizarem ao público. Por outro lado, os invasores que estão desenvolvendo malware usam ataques de fuzzing de arquivo ou formato de arquivo para tentar encontrar e explorar a vulnerabilidade dentro do aplicativo. Uma vez que a vulnerabilidade é encontrada, o invasor pode criar um ataque de formato de arquivo direcionado para experimentar e explorar a vulnerabilidade no aplicativo de software.

Os ataques de formato de arquivo exploram a integridade de um arquivo, e ocorrem quando alguém modifica a estrutura de um arquivo com a intenção de adicionar código malicioso. O código malicioso fornecido pelo invasor é executado como o arquivo com fuzzing. Como resultado, um invasor pode obter acesso a um computador para o qual ele não tinha acesso antes. Este acesso não autorizado pode permitir que um invasor leia as informações confidenciais da unidade de disco rígido do computador ou instale malware, como worm ou um programa de log chave.

Teste e prevenção de fuzzing

A equipe do Office usou o teste de fuzzing de arquivo distribuído automatizado para identificar bugs e possíveis vulnerabilidades no aplicativo durante o desenvolvimento do Office 2010. Além disso, continuamos o teste em todo o ciclo de vida do suporte. Como parte de nossos esforços com relação ao teste, milhões de arquivos do Office, representando o espectro inteiro de mais de 300 formatos de arquivo diferentes em todo o pacote do Office, foram submetidos a fuzzing dez milhões de vezes cada semana de diversas maneiras para experimentar e identificar novas vulnerabilidades em todos os formatos de arquivo que o Microsoft Office abre.

Outras atenuações que ajudam contra os ataques de fuzzing de arquivo podem ser usadas no Microsoft Office 2010, como Modo de Exibição Protegido, configurações de bloqueio de arquivo, DEP (Prevenção de Execução de Dados), ASLR (Address Space Layout Randomization) e Validação de Arquivo.

Recentemente, nós também incorporamos esta tecnologia de validação de arquivo em uma atualização no Office 2003 e Office 2007. Isso ajuda a proteger os usuários que ainda não estão usando o Office 2010 contra ataques de fuzzing de arquivo. É altamente recomendável que todos os clientes implantem essas atualizações. Para obter mais informações, consulte o artigo do TechNet sobre validação de arquivo do Office para Office 2003 e Office 2007.

Esta é uma postagem de blog traduzida. Consulte o artigo original em Fuzz Testing in Office