Alteramos a forma de classificar atualizações de segurança relacionadas aos comunicados e boletins de segurança da Microsoft. Esta alteração irá ajudar os administradores de empresa a identificarem claramente atualizações com implicações de segurança.
Esta mudança permite o seguinte:
-
Podemos classificar com mais precisão as atualizações do boletim de segurança que não têm uma classificação "Severidade MSRC" atribuída. Por exemplo=, MS13-038: Atualização de segurança do Internet Explorer 9: 14 de maio de 2013 não tem uma classificação de severidade atribuída. De hoje em diante, a classificação "Severidade MSRC" será classificada como "Não atribuído".
-
Podemos classificar corretamente as atualizações do comunicado de segurança não relacionadas a uma vulnerabilidade em um código da Microsoft, mas não têm implicações de segurança.
Para estes tipos de problemas de segurança, os clientes podem esperar ver o conjunto de classificação "Severidade MSRC" definido para "Não atribuído". Além disso, os clientes devem ter atenção de que não iremos alterar a classificação dos boletins e comunicados lançados antes de maio de 2013.
Anteriormente, o conteúdo relacionado à segurança lançado em conjunto com um comunicado de segurança foi classificado como atualização de não-segurança, geralmente usando a classificação da atualização "Crítica". De hoje em diante, tal conteúdo será classificado com uma "Atualização de segurança" com a classificação "Severidade MSRC" como "Não atribuído". Isso pode ser uma fonte de confusão para administradores de empresa que conhecem o comunicado de segurança, mas não vê uma atualização de segurança em seus consoles de servidor do Microsoft Windows Server Update Services (WSUS). Esta alteração permitirá os administradores de empresa a identificar atualizações mais rapidamente que afetam a segurança e associar efetivamente o conteúdo de segurança que relaciona os comunicados de segurança.
Os Boletins de Segurança da Microsoft também podem ser classificados desta forma. Por exemplo, durante a investigação de uma vulnerabilidade de segurança, podemos descobrir um cenário onde a exploração da vulnerabilidade é confirmada para afetar uma versão de um produto, mas não pode ser explorado em outro produto que usa código semelhante. Neste cenário, provavelmente iremos abordar os produtos de forma proativa e total. Por causa de tais problema (isto é, problemas onde lançamos uma atualização como uma defesa na medida de profundidade), também podemos classificar os pacotes usando a classificação "Severidade MSRC" de "Não Atribuído".
