Patch-Day: Exploitability Index für Microsoft ein Erfolg

Microsoft gibt seit neuestem anlässlich der Veröffentlichung neuer Updates am allmonatlichen Patch-Day auch immer eine Prognose darüber ab, wie groß die Wahrscheinlichkeit einer Ausnutzung der zu schließenden Lücken ist. Zum Patch-Day im November 2008 wurde der so genannte Exploitability Index zum zweiten Mal veröffentlicht. Der Termin liegt nun bereits fast zwei Wochen zurück, so dass Microsoft ein erstes Fazit ziehen konnte. Man habe sich wacker geschlagen, so Mike Reavey, Group Manager im Microsoft Security Research Response Center (MSRC).

Für Reavey waren die Prognosen auch dennoch ein Erfolg, obwohl sie nur in weniger als 50 Prozent der Fälle zutrafen. Für die im November publizierten Lücken hatte Microsoft prognostiziert, dass es in neun Fällen funktionierenden Schadcode geben würde - letztlich waren es aber nur vier.

Für vier weitere Schwachstellen hatte der Softwarekonzern vorhergesagt, dass es keinen funktionierenden Code zur Ausnutzung geben würde, was bisher auch zutrifft. Die Prognosen waren also nur in 8 von 20 Fällen korrekt. Für Reavey und seine Mitstreiter vom MSRC ist dies dennoch ein Erfolg.

Es sei vor allem wichtig, dass Microsoft die Lücken nicht zu niedrig einstuft, da die Kunden sonst nicht die entsprechenden Vorbereitungen treffen könnten, so Reavey.