Alterámos o modo de classificação das actualizações de segurança associadas com os avisos de segurança e boletins da Microsoft. Esta alteração irá ajudar os administradores empresariais a identificar de modo claro actualizações que possuam implicações de segurança.
Esta alteração permite o seguinte:
-
Podemos classificar de modo mais preciso actualizações de boletins de segurança que não tenham atribuída uma classificação de "Gravidade MSRC". Por exemplo, MS13-038: Actualização de segurança para o Internet Explorer 9: 14 de Maio de 2013 não possui uma classificação de gravidade atribuída. No futuro, a classificação de "Gravidade MSRC" será classificada como "Não atribuída".
-
Podemos classificar correctamente actualizações de avisos de segurança que não estejam associadas com uma vulnerabilidade no código Microsoft mas possuam implicações de segurança.
Para estes tipos de problemas de segurança, os clientes podem esperar ver a classificação da "Gravidade MSRC" como "Não atribuída." Para além disso, os clientes devem ficar cientes de que não iremos alterar a classificação de boletins e avisos que foram lançados antes de Maio de 2013.
Anteriormente, os conteúdos associados com a segurança que foram publicados em conjunto com um aviso de segurança foram classificados como actualizações não relacionadas com segurança, geralmente utilizando a classificação de actualização "Crítica". No futuro, tal conteúdo será classificado como "Actualização de segurança" com a classificação de "Gravidade MSRC" de "Não atribuída". Isto pode ser confuso para administradores de empresas que saibam da existência do aviso de segurança mas não vejam uma actualização de segurança nas suas consolas de servidor de Microsoft Windows Server Update Services (WSUS). Esta alteração irá permitir aos administradores das empresas identificar com maior rapidez actualizações que afectem a segurança e associar com maior eficiência conteúdos de segurança associados a avisos de segurança.
Os boletins de segurança da Microsoft poderão também ser classificados deste modo. Por exemplo, ao investigar uma vulnerabilidade de segurança poderemos deparar-nos com um cenário no qual se confirme que a exploração da vulnerabilidade afecta uma versão de um produto mas não pode ser explorada em outro produto que utilize um código similar. Neste cenário, é provável que sejamos proactivos e abordemos ambos os produtos de modo abrangente. Relativamente a esse tipo de problemas (isto é, problemas nos quais lancemos uma actualização enquanto medida de defesa aprofundada), poderemos também classificar os pacotes utilizando a classificação de "Gravidade MSRC" de "Não atribuída".
