Microsoft в рамках октябрьских обновлений безопасности раскрыла данные о 1118 устранённых уязвимостях и представила новый подход к анализу крупных пакетов патчей — «группы риска» (risk cohorts). Все уязвимости распределены по 15 группам.
В группу объединяются CVE, для анализа которых нужно изучать одни и те же аспекты систем, пользовательской среды и подверженности угрозам. Цель — сократить дублирующую работу, но не отказываться от анализа каждой уязвимости.
Обычно аналитик оценивает каждую CVE отдельно: серьёзность, затронутые продукты, условия атаки и статус эксплуатации. При больших пакетах обновлений одни и те же проверки приходится повторять многократно.
Теперь можно один раз оценить общую область и использовать результат для всей группы. Например, аналитики выясняют:
могут ли недоверенные файлы взаимодействовать с определённым компонентом Windows;
может ли пользователь с ограниченными правами выполнять код локально;
есть ли и доступна ли нужная роль на сервере.
Группы не являются официальными категориями уязвимостей. У входящих в них CVE может не быть общей первопричины и одинаковой оценки угрозы. Две уязвимости из одной группы могут отличаться по условиям атаки, версиям и статусу эксплуатации.
Группы не задают приоритет устранения, не меняют инструкции по установке исправлений и не заменяют проверки активной эксплуатации, необходимости участия пользователя, схем атаки и рекомендаций по продуктам. Актуальный источник данных — Security Update Guide, анализ его лишь дополняет.
Распределение уязвимостей по группам:
файловые системы, хранение данных и резервное копирование — 136;
офисные документы и почтовые клиенты — 135;
графика, мультимедиа и обработка контента — 131;
компоненты ядра Windows — 109;
службы установки, развёртывания и обновления — 103;
устройства, периферия и печать — 76;
DNS, DHCP и сетевая адресация — 76;
удалённый доступ и развёртывание RCP — 65;
криптография и аутентификация — 61;
сетевой стек Windows — 53;
виртуализация и изоляция — 45;
сетевой обмен файлами — 39;
средства обеспечения безопасности — 38;
веб-службы и службы обмена сообщениями — 27;
инфраструктура каталогов и сертификации — 24.
В группах ядра и служб установки ключевой вопрос — может ли код с ограниченными правами взаимодействовать с привилегированными компонентами Windows.