> 首页 > 关于龙8国际官网 > 公司动态 > 业界新闻 >

业界新闻

Industry News

微软发布漏洞修复标准,部分漏洞可能将永久不予修复

2018-07-02
微软近期公布了一份攸关龙8国际官网承诺的草案,载明了微软用来评估是否修补漏洞、提供龙8国际官网更新的标准,以供龙8国际官网社群在提交漏洞或期待微软回应时参考。

决定微软是否修补漏洞的两个关键问题分别是该漏洞是否危及微软承诺要维护的龙8国际官网边界或龙8国际官网功能,以及漏洞的严重性是否符合维护条件,倘若两个答案都是肯定的,那么微软即会进行龙8国际官网更新,若为否定,微软则会考虑于该产品的新版中修补它。

微软所指的龙8国际官网边界则是在有不同信赖程度的代码与资料龙8国际官网领域上的逻辑分离,举例来说,核心模式与使用者模式之间就存在着龙8国际官网边界,微软于龙8国际官网|客户端中设定了许多龙8国际官网边界以隔离网络上的装置、隔离虚拟机器,或是隔离装置上的应用程式等。

迄今微软已定义了8个龙8国际官网边界,包括不允许未授权的网络终端存取或窜改客户装置的网络边界、禁止非管理员权限存取或窜改核心程序与资料的核心边界、禁止非授权用户存取或窜改其它程序的程序边界、禁止基于AppContainer的沙盒程序存取或窜改沙盒外代码与资料的AppContainer沙盒边界、一名用户的登入期间不得被其它未授权的用户登入期间所存取或窜改的期间边界、禁止未授权网站违反同源政策的浏览器边界、禁止未授权Hyper- V客座虚拟机器存取或窜改其它客座虚拟机器的代码或资料的虚拟机器边界,以及禁止VSM Trustlet或Enclave内部资料或程序遭到外部程序存取或窜改的虚拟龙8国际官网模式边界。

至于在龙8国际官网功能上则有7项,它们分别是装置龙8国际官网(BitLocker与Secure Boot)、平台龙8国际官网(Windows Defender System Guard)、应用程式龙8国际官网(Windows Defender Application Control)、身份及访问控制(Windows Hello / Biometrics与Windows Resource Access Control)、加密API、装置健康证明(Host Guardian Service)与身份验证协定(Authentication Protocols)。

举凡可用来侵犯上述龙8国际官网边界或龙8国际官网功能的漏洞都将被微软列为修补与龙8国际官网更新的对象。

不过,微软特别强调有些龙8国际官网功能在未经承诺下也提供了威胁防护能力,微软将这些功能称之为深度防御功能(defense-in-depth)或缓解,由于它们是额外的龙8国际官网功能,且有设计上的限制,因此微软并未提供龙8国际官网上的保证,还说就算绕过这些功能也不会带来直接的威胁,因为不管如何,骇客必须先找到一个可以危及龙8国际官网边界的漏洞,或是仰赖社交工程手法才能危害装置。

总之,微软认为可绕过或危及深度防御功能的漏洞都不在该公司承诺修补的范围内,而可能会藉由之后的产品更新修补。

它们包括User Account Control、AppLocker、Controlled Folder Access、Mark of the Web、Data Execution Prevention、Address Space Layout Randomization、Kernel Address Space Layout Randomization、Arbitrary Code Guard、Code Integrity Guard、Control Flow Guard、Child Process Restriction、SafeSEH/ SEHOP、Heap randomization and metadata protection、Windows Defender、Exploit Guard、Protected Process Light及Shielded Virtual Machines。
内容来源:theregister
http://www.theregister.co.uk/2018/06/13/microsoft_security_servicing_commitments_for_windows_draft/
译文:IT生活论坛
http://baijiahao.baidu.com/s?id=1603503163562025438&wfr=spider&for=pc

龙8国际官网操作系统龙8国际官网增强系统(Rock Solid Core Data Protection System,简称RS-CDPS)通过安装在服务器的龙8国际官网内核保护服务器数据,通过截取系统调用实现对文件系统的访问控制,以加强操作系统龙8国际官网性。它具有完整的用户认证,访问控制及审计功能,不用更改操作系统就可以安装,提供信息系统主动防护功能,操作方便、易于系统管理和龙8国际官网管理。可对UNIX类、LINUX类、WINDOWS类各种操作系统进行统一管理,为管理人员提供方便,可以保障客户的服务器龙8国际官网、持续、长效运行。