24.03.2009, 16:04
Podczas konferencji CanSecWest w Vancouver Microsoft udostępnił na zasadach Open Source narzędzie ułatwiające wykrywanie luk w oprogramowaniu.
Program nosi nazwę !exploitable Crash Analyzer i jest dodatkiem do Windbg. Nazwa bierze się od poleceń Windbg, które zaczynają się od wykrzyknika. Ma ułatwić programistom wyszukiwaniu dziur w pisanych przez nich programach zanim zostaną one wypuszczone.
Tworzy automatyczne analizy podatności na wystąpienie błędu oraz szacuje ryzyko dla bezpieczeństwa. Dla poszczególnych błędów tworzone są hashe i określany jest poziom możliwości stworzenia exploita: Exploitable, Probably Exploitable, Probably Not Exploitable, Unknown.
Szacowanie ryzyka "exploitowalności" danego błędu jest bardzo ważne. Zazwyczaj w oprogramowaniu jest sporo błędów ale tylko mała część z nich stanowi zagrożenie dla bezpieczeństwa. Nie ma więc sensu analizować każdego potencjalnego błędu gdyż znacznie opóźniłoby to datę wypuszczenia aplikacji na rynek. Z drugiej strony przeoczenie groźnej luki może mieć poważne konsekwencje i narazić producenta na straty. Z tego też powodu narzędzia takiej jak udostępnione przez Microsoft są bardzo pomocne w procesie tworzenia oprogramowania.
Źródło: [urln]http://dobreprogramy.pl[/urln]
Program nosi nazwę !exploitable Crash Analyzer i jest dodatkiem do Windbg. Nazwa bierze się od poleceń Windbg, które zaczynają się od wykrzyknika. Ma ułatwić programistom wyszukiwaniu dziur w pisanych przez nich programach zanim zostaną one wypuszczone.
Tworzy automatyczne analizy podatności na wystąpienie błędu oraz szacuje ryzyko dla bezpieczeństwa. Dla poszczególnych błędów tworzone są hashe i określany jest poziom możliwości stworzenia exploita: Exploitable, Probably Exploitable, Probably Not Exploitable, Unknown.
Szacowanie ryzyka "exploitowalności" danego błędu jest bardzo ważne. Zazwyczaj w oprogramowaniu jest sporo błędów ale tylko mała część z nich stanowi zagrożenie dla bezpieczeństwa. Nie ma więc sensu analizować każdego potencjalnego błędu gdyż znacznie opóźniłoby to datę wypuszczenia aplikacji na rynek. Z drugiej strony przeoczenie groźnej luki może mieć poważne konsekwencje i narazić producenta na straty. Z tego też powodu narzędzia takiej jak udostępnione przez Microsoft są bardzo pomocne w procesie tworzenia oprogramowania.
Źródło: [urln]http://dobreprogramy.pl[/urln]
