Pragmatische Exploit-Abwehr

Secure Product Lifecycle bei Adobe

Brad Arkin ist Chief Security Officer bei Adobe und verantwortlich für einen erfolgreichen Strategiewechsel bei der Softwaresicherheit.

Arkins Strategie sieht vor, ein Gold Master Image mit einer perfekten Version des Code nicht drei Jahre bereitzuhalten, sondern nur noch acht Stunden. Diese "Realpolitik" der schnellen Aktualisierung hat nach seinen Worten beigetragen, die Zahl der Sicherheitsvorfälle auf nahezu null zu verringern.

Dabei sollte man nicht übersehen, dass es Arkin geschafft hat, einen abteilungsübergreifenden, durchgehenden Secure Product Lifecycle (SPLC) nach dem Vorbild von Microsofts Secure Development Lifecycle (SDL) zu etablieren. Die SPLC-Details lassen sich bei Adobe nachlesen. Bemerkenswertes Detail: Auch beim Programmieren kann ein Entwickler jetzt einen Schwarzen Gürtel erringen.

Microsofts Prevalence-Strategie

Microsofts Sicherheitsstrategie beruhte bis 2011 auf drei Komponenten, in die zu gleichen Teilen investiert wurde:

• 1. Erforschung von Malware-Familien,

• 2. Vorhersage von auftretenden Malware-Vertretern und

• 3. Muster von Malware auf Kundenanfrage prüfen und auswerten.

Bildergalerie

Bildergalerie mit 6 Bildern

Um die vorhergesagten Malware-Vertreter zu bekämpfen, stellten die Redmonder ihren Kunden kostenlose Antiviren-Software zur Verfügung, darunter Security Essentials, Defender (in Windows 8) und das Malicious Software Removal Tool MSRT (Werkzeug zum Entfernen bösartiger Software). Außerdem gibt es System Center Endpoint Protection und Windows Intune als Abwehrmittel. Zu allen Tools liefert der Hersteller seinen registrierten Kunden kostenfreie Updates, von den Patches ganz zu schweigen, die Schwachstellen beheben.

Im Jahr 2012 änderte das Microsoft Malware Protection Center seine Strategie. Wie Holly Stewart, Senior Program Manager des MMPC, sagte, "möchten wir unseren Kunden höheren Wert liefern". Statt zu versuchen, jede Bedrohung vorherzusehen, geht ihre Abteilung nun ebenso pragmatisch vor, wie dies Brad Arkin von Adobe tut: Es reicht, die "prevalence" an Malware zu bekämpfen, also jene Malware-Familien, die für den überwiegenden (prävalenten) Teil an Malware-Aufkommen verantwortlich sind. Dies erinnert an Reputations-basierte Schutzverfahren, bei dem ähnlich verfahren wird (etwa bei Symantec und Trend Micro).

(ID:42263929)