Skip to main content

Bewertungssystem für Security Bulletins des Microsoft Security Response Center (aktualisiert im Dezember 2011)

Vorrangige Aufgabe des Microsoft Security Response Center (MSRC) ist es, Kunden beim sicheren Betrieb ihrer Systeme und Netzwerke zu unterstützen. Ein Großteil dieser Aufgabe besteht in der Überprüfung von Berichten von Kunden, die auf eventuelle Schwachstellen in Microsoft-Produkten hinweisen. Treffen die Berichte zu, sorgt das MSRC für die Erstellung und Verbreitung der entsprechenden Security Bulletins und Patches, die die Schwachstellen beseitigen. Das MSRC veröffentlicht ein Security Bulletin für jede Schwachstelle, die eine größere Anzahl von Kunden betreffen könnte. Es spielt dabei keine Rolle, wie unwahrscheinlich oder begrenzt die Auswirkungen tatsächlich sind.

Es ist bekannt, dass sich Schwachstellen nicht auf alle Benutzer gleich auswirken. In diesem Dokument wird das Bewertungssystem für den Schweregrad von Security Bulletins vorgestellt. Dieses System, das wir im Dezember 2011 entsprechend dem Feedback unserer Kunden überarbeitet haben, soll unseren Kunden die Entscheidung über die Installation von Patches erleichtern. Es zeigt Ihnen, welche Patches Sie unter bestimmten Umständen installieren sollten, um Angriffe auf Ihre Umgebung zu verhindern. Zudem gibt es darüber Auskunft, wie zeitkritisch diese Installationen sind. Mit dem Bewertungssystem kommen wir dem Wunsch zahlreicher Kunden nach, die uns um diese Informationen gebeten haben, damit sie die Risiken für ihre Umgebung besser einschätzen können.

Die Erfahrung zeigt, dass Hacker bei Angriffen in den seltensten Fällen unbekannte Schwachstellen ausnutzen. Stattdessen erfolgen Angriffe meist über Sicherheitslücken, die bereits bekannt sind. In der Regel stehen für diese Lücken auch schon Patches zur Verfügung, die dann allerdings nicht installiert wurden. Aus diesem Grund geben wir zu jeder Bewertung des Schweregrads auch Prioritäten für die Bereitstellung an.

Das Bewertungssystem stellt eine Bewertung für jede Schwachstelle pro Komponente oder Plattform zur Verfügung. Diese Bewertung beschreibt dabei die schlimmsten potenziellen Auswirkungen, die bei der Ausnutzung der Schwachstelle auf einer bestimmten Komponente oder Plattform eintreten könnten. Die Bewertung des Schweregrads steht in keinem Zusammenhang mit der Wahrscheinlichkeit einer Ausnutzung.

Um diese Wahrscheinlichkeit zu bewerten, wurde der Microsoft Exploitability Index entwickelt. Dieser soll zusätzliche Informationen bieten, die es den Kunden erleichtern, Prioritäten bezüglich der Bereitstellung von Microsoft-Sicherheitsupdates zu setzen. Dieser Index gibt Kunden Anhaltspunkte dazu, wie wahrscheinlich es ist, dass innerhalb der ersten 30 Tage nach Veröffentlichung eines Microsoft-Sicherheitsupdates funktionierender Exploitcode für die mit dem Update zu behebenden Sicherheitsrisiken entwickelt wird.

Das Bewertungssystem umfasst vier unterschiedliche Bewertungen:

BewertungBeschreibung
Kritisch

Eine Schwachstelle, deren Ausnutzung ohne Eingreifen des Benutzers Codeausführung ermöglichen kann. Dies umfasst Szenarien wie sich selbst verbreitende Malware (z. B. Würmer) oder nicht zu vermeidende gebräuchliche Anwendungsszenarien, in denen Codeausführung ohne Warnungen oder Eingabeaufforderungen erfolgt. Dies könnte das Abrufen einer Webseite oder das Öffnen einer E-Mail bedeuten.

Microsoft empfiehlt, dass Kunden kritische Updates unverzüglich installieren.

Hoch

Eine Schwachstelle, deren Ausnutzung die Vertraulichkeit, Integrität oder Verfügbarkeit von Benutzerdaten oder anderen Ressourcen gefährden kann. Dies umfasst gebräuchliche Anwendungsszenarien, in denen der Kunde durch Warnungen oder Eingabeaufforderungen unabhängig von deren Herkunft, Qualität oder Nutzbarkeit geschädigt wird. Abfolgen von Nutzerhandlungen, die keine Eingabeaufforderungen oder Warnungen hervorrufen, sind ebenfalls abgedeckt.

Microsoft empfiehlt, dass Kunden Updates mit hohem Risiko so frühzeitig wie möglich installieren.

Mittel

Die Auswirkungen der Schwachstelle sind durch Faktoren wie Authentifizierungsanforderungen oder die Anwendbarkeit nur auf Nicht-Standardkonfigurationen erheblich eingeschränkt.

Microsoft empfiehlt, dass Kunden die Anwendung des Sicherheitsupdates in Erwägung zieht.

NiedrigDie Auswirkungen der Schwachstelle sind aufgrund von Eigenschaften der betroffenen Komponente umfassend eingeschränkt. Microsoft empfiehlt, dass Kunden erwägen, ob sie das Sicherheitsupdate auf die betroffenen Systeme anwenden.


In Fällen, in denen der Schweregrad einer Sicherheitsanfälligkeit von einer bestimmten Systemumgebung oder einem spezifischen Einsatz abhängt, wird dies ausdrücklich erwähnt.

Wir wenden dieses Bewertungssystem auf jedes Problem an, das in einem Security Bulletin behandelt wird. Bei kumulativen Patches für mehrere Sicherheitslücken nehmen wir die Bewertung entsprechend der gefährlichsten Schwachstelle vor, die durch den Patch behoben wird. Das Bewertungssystem soll eine weitestgehend objektive Einschätzung jeder veröffentlichten Schwachstelle zur Verfügung stellen. Wir ermuntern die Kunden jedoch dazu, ihre eigenen Umgebungen zu analysieren und auf dieser Grundlage zu entscheiden, welche Patches für den Schutz ihrer Systeme notwendig sind.


Microsoft führt eine Onlineumfrage durch, um Ihre Meinung zur -Website zu erfahren. Wenn Sie sich zur Teilnahme entscheiden, wird Ihnen die Onlineumfrage angezeigt, sobald Sie die -Website verlassen.

Möchten Sie teilnehmen?