Корпорация Microsoft представила масштабный пакет обновлений безопасности, в рамках которого устранено в общей сложности 1118 уязвимостей в различных программных продуктах и операционной системе Windows. Помимо рекордного числа закрытых брешей, компания внедрила принципиально новый подход к классификации угроз, разделяющий их на 15 специализированных групп риска для оптимизации работы ИТ-специалистов.
Суть нового подхода и группы риска
Традиционный процесс аудита безопасности требует от администраторов и аналитиков детального рассмотрения каждой отдельной уязвимости по идентификаторам CVE. Это включает оценку степени серьёзности, проверку затронутых компонентов, условий реализации атак и статуса эксплуатации. Чтобы избавиться от дублирующей рутинной работы при развёртывании гигантских пакетов патчей, разработчики объединили уязвимости в так называемые «группы риска» (risk cohorts). Они базируются не на общих первопричинах, а на схожих типах аналитических проверок, необходимых для оценки среды.
Распределение уязвимостей по категориям
Самая крупная группа риска в актуальном пакете затронула файловые системы, хранение данных и механизмы резервного копирования в Windows, насчитывая 136 уязвимостей, обрабатывающих потенциально небезопасные данные. Следом идут офисные приложения и почтовые клиенты (135 уязвимостей), а также компоненты графики, мультимедиа и обработки контента (131 уязвимость). Кроме того, масштабные исправления коснулись ядра системы (109 записей), служб установки и развёртывания (103 записи), а также сетевой инфраструктуры, периферии и криптографических подсистем.
Противоречивые данные
В то время как официальные данные последнего глобального релиза компании говорят о 1118 устраненных уязвимостях, в независимых источниках и отраслевых сводках за прошлые периоды фигурируют иные масштабы ежемесячных патчей. Например, профильные издания ранее фиксировали как меньшие пакеты на 173 уязвимости, так и рекордные релизы, достигавшие 1400 исправлений. Подобные расхождения связаны с динамикой сбора данных по разным программным экосистемам Microsoft и вариативностью методик подсчета CVE в ежемесячных циклах поддержки.
Экспертное значение и ограничения
Представленные группы риска носят исключительно аналитический характер: они не заменяют официальное руководство по безопасности (Security Update Guide), не меняют приоритетов развёртывания исправлений и не отменяют необходимость проверки активной эксплуатации эксплойтов. Тем не менее, новый системный подход позволяет ИТ-департаментам существенно сократить время на предварительный аудит инфраструктуры, обеспечивая комплексное понимание киберугроз на всех этапах инсталляции патчей.
