Relatório
Microsoft de Progresso: Segurança - Bill Gates
O código malicioso de software existe há décadas. Porém, foi
somente nos últimos anos que a Internet, as conexões de alta
velocidade e milhões de novos aparelhos de computação convergiram
e criaram uma verdadeira rede global de computadores, na qual
um vírus ou praga virtual pode rodar o mundo inteiro em questão
de minutos.
Nesse meio tempo, os hackers criminosos ficaram mais sofisticados,
criando e distribuindo epidemias digitais como o Slammer,
Blaster, Sobig e Mydoom, que se disseminam quase que instantaneamente,
ameaçando o potencial que a tecnologia tem de fazer avançarem
a produtividade, o comércio e as comunicações no mundo dos
negócios.
Os tipos de ameaça também estão evoluindo. O Blaster, por
exemplo, "seqüestrava" os computadores individuais, transformando
os usuários em propagadores incógnitos e inocentes dos vírus.
Esses tipos de ataque - coordenados para causar efeitos multiplicados
e em cascata - mudaram o cenário das ameaças à segurança.
Eles impõem novas demandas aos profissionais de TI e aos clientes,
para que tomem medidas preventivas, e também ao mercado da
tecnologia, para que continue inovando e desenvolvendo novas
soluções.
Embora os desafios futuros sejam consideráveis, a Microsoft
e o setor de TI estão fazendo um progresso significativo no
que diz respeito à segurança. Este e-mail, que você está recebendo
como assinante de e-mails dos executivos da Microsoft, oferece
algumas idéias sobre os investimentos significativos que a
Microsoft vem fazendo em quatro áreas de segurança:
Além disso,
estamos comprometidos com investimentos significativos na
educação dos clientes e em parcerias que ajudam a tornar o
ambiente de computação mais seguro e confiável.
Dadas a natureza humana, a evolução dos modelos de ameaça
e a crescente interligação dos computadores, o número de explorações
da segurança nunca chegará ao zero. Porém, podemos enfraquecer
drasticamente o impacto dos criminosos cibernéticos e estamos
dedicando uma parte importante de nossos investimentos em
pesquisa e desenvolvimento aos avanços em segurança.
Isolamento e Capacidade Rápida de Recuperação
O objetivo central dos nossos esforços em segurança é impedir
que o código malicioso seja capaz de explorar uma vulnerabilidade,
pelo isolamento do código, fornecendo um controle mais eficaz
sobre os processos do computador e permitindo que os sistemas
se recuperem de forma mais rápida, para que possam identificar
e interromper comportamentos suspeitos ou inadequados em seus
registros.
Windows XP Service Pack 2: estamos trabalhando
em diversos avanços no isolamento e na capacidade de rápida
recuperação, que envolvem quatro modos específicos de ataques
ao nosso principal sistema operacional cliente. Eles estarão
disponíveis no final deste primeiro semestre.
Proteção
da Rede: o Windows Firewall será habilitado como padrão,
e as configurações globais e a administração central da
configuração do firewall também serão ativadas. Isso reduz
a "superfície dos ataques" de PCs e redes.
Navegação
Mais Segura na Web: para reduzir o impacto do código malicioso
e de sites na Web que possam danificar os computadores ou
trapacear os usuários, o Internet Explorer bloqueará automaticamente
os downloads não-solicitados de alguns sites e também bloqueará
pop-ups indesejáveis, a menos que o usuário clique no link
de download. Os administradores de TI também poderão controlar
essa capacidade para reforçar uma política consistente em
toda a empresa. Além disso, a configuração sem-fio será
aprimorada para uma navegação mais segura em redes residenciais
sem-fio.
Mensagens
Instantâneas e E-mails Mais Seguros: para reduzir o risco
de ataques, estamos elaborando melhorias no manuseio de
arquivos anexos no Outlook Express e nas mensagens instantâneas
do Windows Messenger, e oferecendo mais controle ao cliente
sobre os downloads de conteúdo externo no Outlook Express,
que podem permitir que o remetente identifique seu computador.
Proteção
da Memória: o software malicioso, desenvolvido para explorar
a sobrecarga do buffer, pode permitir que uma quantidade
muito grande de dados seja copiada para áreas da memória
do computador. Embora não exista uma técnica única que possa
eliminar completamente esse tipo de vulnerabilidade, a Microsoft
está empregando diversas tecnologias de segurança para mitigar
esses ataques. Em primeiro lugar, componentes centrais do
Windows foram recompilados com a versão mais recente de
nossa tecnologia de compilação para proteger de sobrecargas
das pilhas e do heap. A Microsoft também está trabalhando
com fabricantes de microprocessadores, incluindo a Intel
e a AMD, para ajudar o Windows a suportar a proteção contra
a execução de dados (também conhecida como NX, ou não executar)
reforçada pelo hardware. A NX usa a CPU para marcar todos
os locais da memória de um aplicativo como não-executáveis,
a menos que o local contenha um código explicitamente executável.
Dessa forma, quando um praga virtual ou um vírus insere
um código de programa em uma parte da memória marcada apenas
para dados, ele não pode ser executado.
Windows
Server 2003: em um ambiente no qual cada computador
pode ser considerado um participante de um "mundo hostil",
o nosso trabalho no Windows Server 2003 concentrou-se em ajudar
a reduzir, mitigar ou deter as ameaças. Planejamos apresentar
os avanços de segurança do Windows Server 2003 Service Pack
1 no segundo semestre de 2004; entre eles estarão as tecnologias
de segurança relevantes ao servidor, encontradas no Windows
XP SP2. Para aprimorar as capacidades de isolamento, o Windows
Firewall será ativado durante a configuração nas instalações
do novo servidor, para que o servidor fique mais protegido
de explorações em potencial baseadas na rede, durante a configuração.
O assistente de configuração de segurança também será incluído;
portanto, uma vez que as funções do servidor (como servidor
de arquivo, de aplicativos, etc.) sejam habilitadas, elas
podem ser bloqueadas com base no modelo específico de uso
de cada função em particular.
Internet Security e Acceleration Server 2004:
os avanços de segurança no Internet Security e no Acceleration
Server 2004 incluem uma inspeção muito mais profunda do conteúdo,
que permitirá que os clientes protejam melhor seus aplicativos
da Microsoft e fortifiquem as conexões remotas de VPNs. O
aprimoramento da interface de usuário e das ferramentas de
gestão facilitará para os clientes a implementação e a gestão
de políticas de segurança, reduzindo o potencial de configuração
incorreta - uma causa comum de falhas na rede.
Exchange Edge Services: essa nova tecnologia
cuida dos crescentes problemas de segurança associados ao
e-mail pela Internet. O Exchange Edge Services foi desenvolvido
para bloquear o envio e o recebimento de e-mails maliciosos
e lixo eletrônico, proteger o servidor de e-mail de ataques
e de vírus transportados por e-mail, e criptografar mensagens
para otimizar a segurança. Ele também foi desenvolvido para
fornecer uma base, a partir da qual os desenvolvedores terceiros
podem elaborar tecnologias como filtros de e-mails de nova
geração, produtos de criptografia de e-mail e soluções de
compatibilidade de e-mail.
Tecnologias de proteção ativa: é essencial,
na prevenção e na detenção de ataques, tornar os computadores
ainda mais capazes de uma recuperação rápida na presença de
pragas virtuais e vírus cada vez mais sofisticados. Para tanto,
a Microsoft está investindo no desenvolvimento de uma série
integrada de tecnologias de proteção, que incluem:
A proteção
dinâmica de sistemas, que ajusta de forma proativa as defesas
de cada computador, com base em alterações em seu "estado".
Por exemplo, a instalação de um novo software, as alterações
na configuração, a necessidade de uma atualização ou a conexão
com redes diferentes podem deixar o computador mais vulnerável.
A proteção dinâmica de sistemas detecta essas alterações
e ajusta adequadamente o nível de proteção. Atualmente,
os clientes se beneficiam com a Atualização Automática do
Windows, que identifica quando um computador precisa de
uma atualização de segurança. No futuro, a Microsoft vê
computadores que não apenas sejam capazes de identificar
as mudanças, mas respondam a elas de maneira proativa. Por
exemplo, um laptop, transportado de uma rede corporativa
para uma conexão residencial via modem a cabo ou DSL, pode
fazer com que o firewall integrado feche mais portas, para
uma proteção adicional.
O bloqueio
de comportamento, que limita a capacidade de um computador
infectado com um praga virtual ou vírus de causar danos
adicionais, intercepta o comportamento suspeito, determina
se ele está fora dos padrões e o interrompe em caso positivo.
Por exemplo, o praga virtual Blaster explorava uma vulnerabilidade
que fazia com que o Windows o copiasse para outros computadores.
O bloqueio de comportamento deteria esse ataque.
O firewall
direcionado a aplicativos e a prevenção contra invasões,
projetados para identificar o tráfego malicioso e bloqueá-lo.
Os firewalls adicionais podem ser atravessados por praga
virtuals e vírus incorporados em um tráfego de rede que
parece válido. Essa nova tecnologia permitirá uma inspeção
profunda do tráfego da rede e interromperá ou limitará a
distribuição desse conteúdo malicioso.
Ferramentas
para Spam: uma vez que vírus, praga virtuals e outros
códigos maliciosos freqüentemente se disseminam via spam,
a Microsoft está empreendendo um esforço anti-spam multifacetado.
Em novembro do ano passado, a Microsoft anunciou a tecnologia
SmartScreen, um filtro usado em nossos programas de e-mail
cliente e on-line. Ela fica progressivamente "inteligente",
à medida que os usuários de e-mail treinam o filtro para identificar
spams indesejáveis. No mês passado, a Microsoft revelou a
implementação-piloto do Caller-ID, uma tecnologia que autentica
a origem dos e-mails, funcionando da mesma forma que a identificação
de chamadas no telefone. Nesse meio tempo, para reforçar o
cumprimento, a empresa iniciou 66 ações legais no ano passado
contra remetentes de spam do mundo todo.
Inspeção do Cliente: no que diz respeito
às empresas, uma das maiores preocupações são os computadores
residenciais ou laptops remotos infectados por um vírus ou
praga virtual que estão conectados à rede corporativa. Estamos
trabalhando em tecnologias que vão inspecionar tais aparelhos
remotos e bloquearão o acesso à rede, se não passarem na inspeção
de saúde.
Serviços de Web: em 2002, o fornecimento
da WS-Security, uma especificação padronizada que aprimora
a integridade, a confidencialidade e a segurança dos serviços
da Web, ajudará as empresas a vincular seus sistemas interna
e externamente de uma forma mais segura, econômica e flexível,
permitindo a criptografia das mensagens e o suporte a assinaturas
digitais. Um relatório recente, publicado pelo Grupo Operacional
de Perfil do WS-I Security, destaca novas contramedidas para
combater os desafios e as ameaças na elaboração de serviços
interoperáveis da Web.
Atualização
Até agora, as atualizações de software têm sido a melhor maneira
de proteger os clientes das vulnerabilidades de segurança.
Embora a natureza evolutiva das ameaças exija uma resposta
mais ampla e multifacetada, a Microsoft continua oferecendo
desenvolvimentos significativos da qualidade de nossas atualizações
e processos associados, além de elaborar ferramentas mais
avançadas para ajudar os administradores de TI a otimizar
a segurança de sua infra-estrutura.
No final do ano passado, começamos a lançar mensalmente as
atualizações, para otimizar a previsibilidade e a capacidade
de gerenciamento e reduzir a carga dos administradores de
TI (mesmo assim, continuaremos lançando atualizações fora
desse ciclo para proteger os clientes em caso de uma ameaça
ativa). Também estamos aprimorando os processos de teste,
a fim de minimizar a inconsistência e os índices de recall
nas atualizações e, até o meio do ano, a maioria de nossas
atualizações terá capacidades totais de reversão.
O System Management Server 2003, lançado em novembro do ano
passado, é uma solução abrangente de distribuição e gestão
de atualizações e softwares, que permite sistematicamente
que as empresas implantem, de maneira rápida e fácil, as atualizações
mais recentes. Em janeiro, lançamos o Microsoft Baseline Security
Analyzer v1.2, uma ferramenta gratuita que oferece um método
moderno para identificar configurações incorretas mas comuns
de segurança.
O Windows Update Services, uma evolução do Software Update
Services 1.0 (SUS), é um passo importante da estratégia da
Microsoft para o gerenciamento de patches e atualizações.
Componente gratuito do Windows Server, o Windows Update Services
proporciona aos administradores de TI uma capacidade total
de atualização, varredura e instalação para os servidores
e computadores desktop do Windows. Os novos recursos incluem
a capacidade de fornecer aos clientes controle e automatização
adicionais, que reduzem a interrupção durante a atualização
dos sistemas e inclui uma funcionalidade expandida para atualizar
o SQL Server, o Exchange Server, o Office 2003 e o Office
XP, além do Windows. Atualmente, ele está na versão beta,
e seu lançamento está programado para o segundo semestre de
2004. Para os clientes, também estamos complementando o Windows
Update com um novo serviço, que os mantém automaticamente
atualizados em relação a uma série mais ampla de produtos
da Microsoft, além do Windows. Esse novo serviço, denominado
Microsoft Update, estará disponível ainda este ano.
Também estamos incorporando o recurso de verificar automaticamente
o estado de funcionalidades cruciais de segurança, como o
firewall, a atualização automática e o antivírus. O novo recurso
Centro de Segurança, no Painel de Controle do Windows XP,
informará o cliente se os recursos essenciais de segurança
estão ativados e atualizados ou não. Quando um problema é
identificado, o cliente receberá uma notificação e as ações
recomendadas para ajudá-lo a ficar mais seguro.
Autenticação e Controle de Acesso
As redes de computadores já não são mais sistemas fechados,
nos quais a mera presença de um usuário na rede pode servir
como prova de identidade. Em uma época em que milhões de aparelhos
de computação estão interligados, e fornecedores e parceiros
freqüentemente têm acesso à rede das empresas, existem muitas
oportunidades em potencial para que indivíduos não-autorizados
obtenham acesso a informações digitais, como e-mail, transações
de comércio eletrônico ou arquivos particulares. Nesse ambiente,
o controle (quem, o que e quando) e a autenticação de acesso
são aspectos essenciais para garantir a segurança de uma empresa.
Senhas: as senhas são os mecanismos mais
comuns de autenticação para os usuários que precisam acessar
os computadores e as redes. Elas também podem se mostrar um
elo fraco se o usuário escolher senhas comuns que sejam mais
fáceis de lembrar. A família Windows Server 2003 possui um
novo recurso que verifica a complexidade da senha da conta
do Administrador durante a instalação. Se a senha estiver
em branco ou não atender aos requisitos de complexidade, uma
caixa de diálogo alerta sobre os perigos de não usar uma senha
confiável. Também estamos expandindo nosso suporte a mecanismos
sólidos e de dois fatores para a autenticação, através de
parcerias com empresas como RSA Security, Inc. e VeriSign,
Inc.
Cartões Inteligentes: o Windows Server 2003
e o Windows XP também suportam os cartões inteligentes, que
são dispositivos do tamanho de um cartão de crédito que armazenam
com segurança certificados e chaves públicas e particulares,
senhas e outros tipos de informações pessoais. Efetuar o logon
na rede com um cartão inteligente é uma forma sólida de autenticação,
porque utiliza a identificação baseada na criptografia e uma
prova de posse da chave particular e armazenada no cartão
inteligente, para poder autenticar um usuário na rede; em
outras palavras, algo que você tem e algo que você sabe.
Infra-estrutura de Chave Pública (PKI): o
Windows Server 2003 inclui recursos que ajudam as empresas
a implementar uma infra-estrutura de chave pública, incluindo
os certificados e os serviços e modelos associados. Uma PKI
fornece os mecanismos necessários para suportar a publicação
e a gestão do ciclo de vida dos certificados digitais. Confiando
nas autoridades de publicação dos certificados digitais, outras
pessoas podem determinar independentemente a identidade dos
clientes, apresentando os certificados digitais para fins
de autenticação. O uso dessa tecnologia de autenticação pode
representar uma autenticação sólida e baseada na tecnologia
de criptografia de chaves públicas que é o padrão do mercado.
Cartão de Identificação Biométrico: Além
disso, o sistema de Cartão de Identificação Biométrico Resistente
à Violação representa uma solução inovadora, simples e econômica
para fornecer cartões de identificação com fotos, seguros
do ponto de vista criptográfico, que utilizam uma combinação
exclusiva entre as tecnologias de criptografia de chave pública,
de compactação e de código de barras.
IPsec: outro componente importante de uma
estratégia abrangente de proteção das informações detalhadas
sobre defesa, a IPsec elimina muitas ameaças porque autentica
os computadores ao mesmo tempo em que restringe a entrada
do tráfego de rede, com base em tal autenticação. Além disso,
ele permite que o tráfico de sinalização digital garanta a
integridade e que o tráfego de criptografia garanta a privacidade.
A implementação da IPsec da Microsoft - em uso na nossa própria
rede corporativa - é completamente compatível com os padrões
e vai interoperar com as demais implementações compatíveis
com a IPsec, incluindo aquelas que suportam as traduções de
endereços de rede.
Qualidade
Como já foi dito, a Microsoft está profundamente comprometida
com a excelência no uso de práticas, padrões e processos de
engenharia para a criação de nossos softwares. Empreendemos
uma rigorosa iniciativa de "excelência em engenharia" para
que nossos engenheiros entendam e usem práticas recomendadas
no projeto, desenvolvimento, teste e lançamento de softwares.
Os processos de desenvolvimento de segurança, que instituímos
antes do lançamento do Windows Server 2003 no ano passado,
são um ótimo exemplo de como esse esforço está rendendo resultados
que beneficiam os clientes. O número de boletins "críticos"
ou "importantes" de segurança publicados para o Windows Server
2003, comparados com os do Windows 2000 Server, caiu de 40
para 9 nos primeiros 320 dias em que cada produto saiu no
mercado. Da mesma forma, para o SQL Server 2000, foram publicados
3 boletins nos 15 meses após o lançamento do Service Pack
3, comparados com 13 boletins nos 15 meses anteriores. Para
o Exchange 2000 SP3, houve apenas um boletim nos 21 meses
após o lançamento, comparado com 7 boletins nos 21 meses anteriores.
Também tivemos um enorme sucesso em desenvolver novas ferramentas
internas que verificam automaticamente o código em busca de
erros comuns e testam o software mais profundamente antes
de seu lançamento. Por exemplo, usamos ferramentas de verificação
do código que buscam automaticamente algumas classes de bug
que levam a vulnerabilidades de segurança, travamento e "congelamento"
de programas. Temos o compromisso de disponibilizar esses
avanços de engenharia para outros desenvolvedores de softwares,
através de treinamento e ferramentas, incluindo o novo lançamento
do Visual Studio.
No Service Pack 1 para o Windows Server 2003, continuamos
com o nosso esforço em reduzir a área de superfície para ataques,
através da remoção de tecnologia antiga e inutilizada.
Educação do Cliente e Parcerias
As melhores tecnologias do mundo são ineficientes se as pessoas
não souberem usá-las ou não souberem que elas existem. Com
as centenas de milhões de computadores usados no mundo todo
e os níveis variados de conhecimento em relação à segurança,
este é um grande desafio; porém, a Microsoft está investindo
significativamente para ajudar os clientes a entender como
podem deixar seus ambientes mais seguros.
Até o final deste ano, nosso objetivo é atingir 500.000 clientes
empresariais no mundo todo com informações sobre como otimizar
seus sistemas e redes no que diz respeito à segurança. Estamos
formando parcerias com outros líderes do mercado, para ajudar
os clientes empresariais na atualização das soluções de gestão
e segurança. E também estamos fornecendo seminários e publicações
para desenvolvedores para ajudá-los a construir aplicativos
e serviços na Web mais seguros.
A partir de abril, a Microsoft vai presidir a primeira de
21 Conferências de Segurança em cidades de todos os Estados
Unidos, projetadas para oferecer treinamento técnico profundo
em segurança para profissionais de TI e Desenvolvedores. Esse
treinamento, oferecido gratuitamente, complementa uma variedade
de outras oportunidades que a Microsoft está fornecendo aos
clientes para ajudá-los a proteger seus computadores e redes,
incluindo Webcasts, aprendizagem em ritmo próprio e laboratórios
práticos. Também estamos fornecendo treinamento de segurança
para clientes do mundo todo, havendo mais informações disponíveis
nos escritórios regionais da Microsoft.
Também criamos um Centro de Orientação de Segurança para desenvolvedores
e profissionais de TI em www.microsoft.com/security/guidance,
onde os clientes podem encontrar orientação técnica profunda,
ferramentas, treinamento e atualizações para que possam planejar
e gerenciar com mais eficácia suas estratégias de segurança.
Essas informações gratuitas incluem listas de verificação
que ajudam a executar verificações e processos associados
à segurança, instruções passo a passo para uma ampla variedade
de tarefas de segurança e orientação específica para produtos
e tecnologias, que ajuda a proteger plataformas, redes, computadores
e dados.
Para os clientes, estamos criando uma campanha mundial de
educação junto aos fabricantes e revendedores de computadores,
provedores de serviço de Internet e outros parceiros, para
criar uma consciência mais ampla das práticas recomendadas
para a "higiene" do PC e da forma como facilitar a habilitação
das tecnologias de proteção. Isso envolve três aspectos: instalação
de software antivírus, uso de um firewall de Internet e uso
dos recursos de Atualização Automática do Windows, para fazer
o download automático das mais recentes atualizações de segurança
da Microsoft.
Unimos forças com empresas como Computer Associates, Network
Associates, Symantec, Trend Micro, F-Secure, ISS (BlackICE),
Tiny Software e Zone Labs para fornecer ofertas especiais
de softwares antivírus e firewall pessoal de terceiros.
Ajudamos a formar a Aliança de Informações sobre Vírus, que
inclui 10 fornecedores líderes de antivírus, para ajudar os
usuários da Internet a encontrar informações sobre as mais
recentes ameaças que afetam a tecnologia da Microsoft.
No mês passado, foi anunciada a GIAIS (Aliança de Infra-estrutura
Global para a Segurança na Internet), para promover uma colaboração
ainda mais forte entre a Microsoft e os Provedores de Serviços
de Internet, no que diz respeito aos problemas de segurança.
Os membros da GIAIS já cumpriram um papel essencial, trabalhando
junto com a Microsoft para identificar as assinaturas do vírus
MyDoom e desenvolver táticas de correção para garantir a segurança
do cliente.
Especialistas da Microsoft em segurança também estão participando
de iniciativas patrocinadas pelo Departamento de Segurança
e o Congresso dos EUA, com o objetivo de fortalecer a infra-estrutura
crítica da nação: as atividades variam desde processos recomendados
de engenharia no desenvolvimento de softwares e gestão de
correções eficazes, até a forma de criar o ecossistema comercial
necessário para suportar amplamente as práticas robustas de
segurança.
A Microsoft também está trabalhando globalmente com oficiais
da lei, para inibir a ação dos hackers em softwares. Em novembro
do ano passado, a Microsoft estabeleceu o Programa de Recompensa
contra Vírus, que oferece recompensas em dinheiro para informações
fornecidas ao FBI ou ao Serviço Secreto, que resultem na prisão
e no julgamento de pessoas responsáveis pelo lançamento de
vírus ou praga virtuals.
O Futuro
A segurança é um desafio tão grande e importante quanto qualquer
outro que o nosso mercado já tenha enfrentado. Não é um caso
de simplesmente consertar algumas vulnerabilidades e seguir
adiante. A redução do impacto de vírus e pragas virtuais,
para um nível aceitável, requer um pensamento fundamentalmente
novo sobre a qualidade do software, aprimoramentos contínuos
de ferramentas e processos, e investimentos constantes em
tecnologias de segurança novas e capazes de rápida recuperação,
projetadas para bloquear os códigos maliciosos ou destrutivos
de software antes que possam causar grandes problemas. Ela
também requer que os usuários de computador sejam proativos
na implantação e na gestão de produtos. Informações detalhadas
para ajudar os clientes a aumentar sua segurança podem ser
encontradas em www.microsoft.com/security.
A tecnologia percorreu um caminho incrivelmente longo nas
últimas duas décadas; ela é importante demais para que alguns
criminosos impeçam o resto da humanidade de desfrutar de seus
maravilhosos benefícios.
Bill Gates
|
