マイクロソフトは本日、ラスベガスで開催されたセキュリティカンファレンス「Black Hat」において、新たなセキュリティ対策とツールを発表しました。他のテクノロジーベンダーやセキュリティベンダーとのパートナーシップに重点を置くことで、脅威や脆弱性をより迅速に特定することが可能となり、効果的なセキュリティ対策はチームワークであるとマイクロソフトが理解していることを実証しています。
数ヶ月前にWindowsの脆弱性が時期尚早に公開されたことで、脆弱性開示の倫理性に関する新たな議論が巻き起こりました。マイクロソフトは、脆弱性とセキュリティ研究の文化を「責任ある開示」から「協調的な脆弱性開示」へと転換したいと考えています。
Microsoftのアプローチでは、セキュリティ研究者とソフトウェアベンダーが協力してソリューションを開発します。できれば、脆弱性が攻撃者に発見され、積極的に悪用される前に、ソリューションを開発できることを期待します。脆弱性の詳細は、攻撃が活発化した場合にのみ一般に公開されるべきであり、その場合でも、情報開示は責任ある方法で調整されるべきです。
マイクロソフトは、脆弱性開示の重点を移行するだけでなく、MAPP（Microsoft Active Protections Program）を通じて、顧客、ソフトウェア開発者、セキュリティベンダー間のパートナーシップとチームワークを促進しています。MAPPは、関係者全員に事前に情報を提供することで、セキュリティを強化し、パッチリリース後の攻撃機会を最小限に抑えます。
マイクロソフトは、AdobeもMAPPに参加することを発表しました。マイクロソフトのMicrosoft Security Response Centerディレクターであるマイク・リービー氏はプレスリリースで次のように述べています。「MAPPが顧客保護の向上に明確な効果をもたらしていることを目の当たりにしており、そのメリットをAdobeユーザーにも提供できることを大変嬉しく思います。セキュリティ研究者からベンダー、そしてお客様に至るまで、業界全体がオンライン犯罪からコンピューティングエコシステム全体を守るという共通の責任を認識するよう、引き続き働きかけていきます。」
今年初めにGoogleをはじめとする中国企業を標的とした「オペレーション・オーロラ」攻撃を受けて、被害を受けた企業とセキュリティベンダーが連携したことは、こうした取り組みが脅威の特定と対応においていかに効果的であるかを如実に示しました。もちろん、この連携は事後に行われたため、まるで逃げ出した馬の後に納屋の扉を閉めるようなものでした。
新たな脅威に対しては、各関係者がパズルのピースを1つか2つしか持っていません。単独で対処するのは、手元にある数ピースだけに基づいて、1,000ピースのパズルの最終形を推測するようなものです。ITセキュリティ管理者が情報を共有し、セキュリティベンダーが連携することで、パズルのピースが組み合わさり、関係者全員がより短時間で全体像を明確に把握できるようになります。
マイクロソフトは、レガシーWindowsプラットフォームやサードパーティ製アプリケーションを含む、新たな脅威からの保護を強化するため、EMET（Enhanced Mitigation Experience Toolkit）と呼ばれる新しいツールを導入します。8月に提供開始予定のEMETについて、マイクロソフトは次のように述べています。「EMETは、サードパーティ製アプリケーションと基幹業務アプリケーションの両方を含む、古いマイクロソフトのプラットフォームとアプリケーションに、最新のセキュリティ軽減策を提供する無料ツールです。このツールは、特に未修正の脆弱性を狙った標的型攻撃のブロックに役立ちます。」
Microsoft が発表した取り組みとツールは、ソフトウェア開発者とセキュリティ ベンダー間のチームワークとパートナーシップを促進し、すべてのセキュリティの向上につながるはずです。
