MS，所有在线服务奖励对象包含ใน内…ช่องโหว่รางวัลขยายขอบเขตอย่างมาก

ไมโครซอฟท์(MSFT)ประกาศขยายขอบเขตโครงการรางวัลช่องโหว่ในวงกว้าง ตั้งแต่บัดนี้เป็นต้นไป ช่องโหว่ด้านความปลอดภัยในบริการออนไลน์ทั้งหมดของตนจะถูกรวมอยู่ในกลุ่มรางวัลโดยอัตโนมัติ ปัญหาในซอฟต์แวร์โอเพนซอร์สและซอฟต์แวร์ของบุคคลที่สามก็จะได้รับการประเมินโดยไม่มีข้อยกเว้น

การเปลี่ยนแปลงครั้งนี้มีจุดสำคัญคือการนำแนวทาง “การรวมค่าเริ่มต้น” เข้ามา ตามนโยบายนี้ บริการออนไลน์ใหม่ของไมโครซอฟท์จะกลายเป็นกลุ่มเป้าหมายของรางวัลช่องโหว่ทันทีที่เปิดตัว และบริการจำนวนหลายล้านรายการเดิมก็สามารถใช้งานได้โดยไม่ต้องผ่านกระบวนการอนุมัติเพิ่มเติม เนื่องจากไม่จำเป็นต้องกำหนดขอบเขตของผลิตภัณฑ์เป็นรายรายการ นักวิจัยด้านความปลอดภัยสามารถลดเวลาที่ใช้ในการตัดสินใจว่าช่องโหว่ใดมีผลกระทบได้อย่างมาก

ศูนย์ตอบสนองด้านความปลอดภัยของไมโครซอฟท์(MSRC)รองประธานฝ่ายวิศวกรรม ทอม แกลลิเกอร์ เน้นย้ำว่าการขยายขอบเขตในครั้งนี้ไม่ใช่แค่การเปลี่ยนแปลงในกระบวนการบริหาร แต่เป็นการปฏิรูปเชิงโครงสร้าง เขากล่าวว่า “ตอนนี้บริการทั้งหมดจะถูกรวมอยู่ในขอบเขตโดยอัตโนมัติ ทำให้นักวิจัยสามารถมุ่งเน้นไปที่ช่องโหว่ที่ส่งผลต่อผู้ใช้จริง และรายงานได้รวดเร็วขึ้น” นอกจากนี้ ไมโครซอฟท์ยังวางแผนที่จะทำงานร่วมกับนักวิจัยอย่างกระตือรือร้นมากขึ้นในการแก้ไขหรือให้การสนับสนุนด้านการบำรุงรักษาในปัญหาที่เกิดจากซอฟต์แวร์ของบุคคลที่สามหรือโอเพนซอร์ส

เป็นเวลานานที่โครงการรางวัลช่องโหว่ได้รับคำวิจารณ์จากการที่ขอบเขตไม่ชัดเจนหรือมีการจำกัดมากเกินไป ซึ่งทำให้นักวิจัยสับสนและจำกัดกิจกรรมการศึกษา ในเรื่องนี้ บริษัทความปลอดภัย Outpost24 หัวหน้าแผนกผลิตภัณฑ์ปัญญาประดิษฐ์ มาร์ติน ยาทลิอุส กล่าวว่า “มาตรการนี้ครอบคลุมหน้าต่างช่องโหว่ขององค์กรทั้งหมด เป็นความก้าวหน้าที่สำคัญ” เขายินดีและเตือนว่า “ผู้โจมตีไม่สนใจแหล่งที่มาของโค้ด ไม่ว่าจะเป็นเฟรมเวิร์กอย่าง React-to-Shell หรือผลิตภัณฑ์ของไมโครซอฟท์เอง ถ้าสามารถโจมตีได้ ก็จะพยายาม”

อุตสาหกรรมคาดการณ์ว่าการเคลื่อนไหวนี้ในระยะเริ่มต้นอาจทำให้จำนวนเงินรางวัลของไมโครซอฟท์เพิ่มขึ้น แต่การวิเคราะห์ชี้ให้เห็นว่า เมื่อระดับความปลอดภัยโดยรวมเพิ่มขึ้นในระยะยาว จะเป็นการลงทุนที่คุ้มค่าอย่างสูง ด้วยการครอบคลุมช่องโหว่ที่ส่งผลโดยตรงต่อผู้ใช้และลูกค้าองค์กร ไมโครซอฟท์มุ่งหวังที่จะเสริมสร้างความน่าเชื่อถือโดยรวมของระบบนิเวศด้านความปลอดภัยบนคลาวด์ของตน