微软首次披露视窗安全漏洞分类细节

至顶网安全频道 09月12日 编译：近日，微软面向安全研究社区发布了两个文档，详细说明了微软如何对安全漏洞进行分类及处理。微软安全响应中心（MSRC）在一年里将这些文件整合在一起。MSRC是微软旗下接收和处理微软安全相关错误报告的部门。

两份文档的草稿此前曾于六月发布过，目的是搜集安全研究界和各安全行业的反馈。今天发布的的最终版本包含了大量新信息。

第一个文档是个名为“微软视窗安全服务标准”的网页（https://aka.ms/windowscriteria）。该页面提供的信息包括通常通过紧急“周二补丁”安全更新提供的视窗功能的补丁类型以及将留待视窗主开发团队修复并在两年一度的视窗操作系统更新里推出的补丁。

文档的内容分为三类：安全边界、安全功能和深度防御安全功能。

安全边界是那些微软认为明显违反数据访问策略的内容。例如，一个错误报告描述了非管理员用户模式进程如何获取内核模式和数据访问权限，该错误将被视为“安全边界”违规，在此情况下属“内核边界”。微软列出了九个安全边界：网络、内核、进程、AppContainer沙箱、用户、会话、网络浏览器、虚拟机和虚拟安全模式边界。

安全功能是应用程序和其他在操作系统里加强安全边界功能的错误报告，例如BitLocker、Windows Defender、安全启动等等的错误报告。

前两个错误报告几乎都是被界定为安全漏洞，微软团队将通过每月的“周二补丁”安全更新的即时补丁尝试修复这些漏洞。

后一类安全功能是深度防御安全功能，这些安全功能是微软认为鲁棒性和前两个类别不在一个层次上，只是提供“额外安全性”的功能。

深度防御安全功能包括用户帐户控制（UAC）功能、AppLocker、地址空间布局随机化（ASLR）、控制流保护（CFG）等。

深度防御功能里的错误报告通常不会通过周二补丁提供补丁服务，而是会被记录下来，稍后在有需要时以后提供补丁。

我们不会将整个文档过一遍，但我们建议读者阅读文档里列出的各个类别及查看示例。

微软今天发布的第二份文件是个PDF文档（https://aka.ms/windowsbugbar），该文档描述了微软如何将错误报告按严重性分级排名。该文档详细说明了哪些错误被列为严重、哪些被列为重要、哪些被列为中等以及哪些被列为低风险。

例如，未经授权访问文件系统而可在磁盘上写入数据的错误被列为严重错误，而仅仅重启应用程序的拒绝服务错误就会被列为低风险错误。

微软在过去几年里多次被批评未能在研究人员提交错误报告后及时修复某些漏洞。

这些文档的目的是向安全研究人员、媒体、系统管理员和普通用户澄清整个事情。MSRC的资源也像别的公司一样是有限的，该文档令信息安全社区可以一窥微软工作人员在审视和优先考虑安全漏洞时用到的流程。

微软表示，“我们希望这份文档会成为随着时间的推移而不断发展的‘活’文件，我们期待持续就此话题与安全社区进行对话。”