Microsoft a modifié la méthode de classification des mises à jour de sécurité dans ses avis et bulltetins de sécurité. Cette modification aidera les administrateurs d'entreprise à identifier clairement les mises à jour ayant des implications en termes de sécurité.
Cette modification présente les avantages suivants :
-
Nous pouvons classer plus précisément les mises à jour des bulletins sécurité qui n'ont pas d'indice de « gravité MSRC ». Par exemple, l'articleMS13-038 : Mise à jour de sécurité pour Internet Explorer 9 : 14.05.13 n'est associé à aucun indice de gravité. À l'avenir, la classification de « Gravité MSRC » sera définie comme « Non affectée ».
-
Nous pouvons classer plus précisément les mises à jour d'avis de sécurité non relatives à une vulnérabilité au niveau du code Microsoft, mais qui ont des implications en termes de sécurité.
Pour ces types de problèmes de sécurité, les clients peuvent s'attendre à ce que l'indice de « gravité MSRC » soit « Non assigné ». Par ailleurs, les clients doivent savoir que nous ne modifierons pas la classification des bulletins et avis publiés avant mai 2013.
Jusqu'ici, tout contenu relatif à la sécurité qui était publié en même temps qu'un avis de sécurité n'était pas classé comme mise à jour de sécurité et portait l'indice « Critique ». À l'avenir, ce type de contenu sera marqué comme « Mise à jour de sécurité » dont la « Gravité MSRC » est « Non affectée ». Cela peut être source de confusion pour les administrateurs d'entreprise, qui ont connaissance de l'avis de sécurité mais qui ne voient aucune mise à jour de sécurité dans leur console Microsoft Windows Server Update Services (WSUS). Cette modification leur permettra d'identifier plus rapidement les mise à jour de sécurité et d'associer de manière plus efficace le contenu securité relatif aux différents avis de sécurité.
Les bulletins de sécurité Microsoft peuvent également être classés de la manière qui suit. Par exemple, lors de l'investigation relative à une faille de sécurité, on peut se trouver en présence d'un scénario où l'exploitation de cette faille affecte une version d'un produit, mais pas celle d'un autre produit utilisant un code similaire. Dans pareil cas, nous agissons de manière proactive et résolvons le problème pour ces deux produits. Lorsque nous procédons ainsi, c'est-à-dire lorsque nous publions une mise à jour préventive, nous classons les packages à l'aide de l'indice de « gravité MSRC Severity » « Non assigné ».
