Gartner critica el programa de recompensas de Microsoft

[.Yok3R.]

Gartner critica el programa de recompensas de Microsoft

(02/12/2003 05:23): La consultora Gartner estima que los ataques cibernéticos no deben ser tratados a costa de los esfuerzos de los proveedores de software por asegurar la seguridad de sus productos.

MADRID: El noviembre pasado, Microsoft ofreció recompensas de 250.000 dólares por cualquier información conducente al arresto de las personas responsables de dos ataques recientes de código malicioso contra el sistema operativo Windows: el gusano MSBlast y el virus Sobig.

En un análisis, Gartner escribe que “Los ataques de código malicioso son actos criminales y deberían ser tratados como tales, pero no a costa de los esfuerzos de los suministradores de software de asegurar la seguridad de sus productos. Los cuerpos de seguridad deberían sin duda aumentar sus esfuerzos para investigar, identificar y perseguir a las personas responsables de los ataques a servidores y PCs de empresa. Sin embargo, los suministradores deberían concentrarse en hacer que su software fuera más resistente a los ataques en vez de desviar recursos financieros y de gestión a poner en prácticas medidas como las recompensas en metálico”.

“Incluso para un suministrador del tamaño de Microsoft (que sin duda puede permitirse las dos cosas, recompensas y desarrollo de seguridad) el tiempo de gestión y la atención son recursos limitados”, observa Gartner, agregando que “Los suministradores que no consigan resolver de forma adecuada la seguridad de sus productos pueden encontrarse con que la ley les hace responsables de los ataques bajo el bien establecido “principio del peligro atrayente”. Un peligro atrayente es cualquier condición inherentemente peligrosa, por ejemplo, una piscina sin protección en una vecindad llena de niños, de la que puede esperarse que tiente a los menores a hacerse daño. La responsabilidad por peligro atrayente ha sido aplicada en juicios que implicaban a menores de hasta 16 años, una edad común para los creadores de virus y gusanos. Internet es como una gran “vecindad en la red” y el software vulnerable conectado a Internet puede ser considerado como un peligro atrayente y hacer que la responsabilidad legal recaiga sobre los suministradores de tal software. Las empresas que instalan software al que no pueden aplicar los parches de seguridad con la rapidez suficiente para mantenerse seguros también podría ser responsables ante la ley”.

A la luz del análisis anterior, Gartner concluye que “Centrarse en arrestar a los atacantes después del ataque puede terminar siendo más caro para las empresas que una buena política de prevención de intrusiones. Para que los programas de recompensas tengan éxito, las empresas necesitarán invertir en capacidades forenses para apoyar las investigaciones de las fuerzas de seguridad y para preservar la evidencia de forma que se cumplan los rigurosos requerimientos legales. Las empresas deberían continuar centrándose en la prevención de intrusiones y deberían enfatizar la seguridad del software en todas las licitaciones de ofertas y decisiones de actualización”.

www.microsoft.com

[gondar_f]

Estoy casi de acuerdo con Gartner, si microsoft fabricase productos de mejor calidad abria menos virus, ataques DoS, etc, el responsable final es Microsoft por no fabricar productos con unas caracteristicas minimas de funcionalidad, con el agravante de que fuerza a los potenciales clientes a ser clientes debido a su monopolio de facto. Desde luego que por ejemplo yo tengo que tener cierto cuidado con la seguridad, y suelo tenerlo, por lo menos en el trabajo (pa eso me pagan), pero aun asi es casi imposible mantenerse a salvo, debido en gran medida a microsoft, no ya de que su software tenga fallos (todos tienen fallos), pero si en la cantidad y en la forma de eliminarlos, por ejemplo muchas veces que instalas un parche, resulta que solucionas un problema (si es que lo soluciona), pero te genera otro, que en muchos casos puede llegar a ser peor (ejemplo el parche para Universal Push an Play del WinMe, en el que instalar el parche provocaba que el sistema fuese vulnerable a ataques DoS, y por encima el sistema quedaba deteriorado, en estabilidad, de forma critica), en ese caso el responsable es microsoft, ya que tiene que vender productos de cierta calidad y garantia, no olvidemos que en españa es obligatorio un minimo de 6 meses de garantia, pero microsoft no cumple esto, por ejemplo en la misma semana de la salida del Office 2003 resulta que ya tubo que sacar parches para fallos de seguridad criticos, lo que indica que el software no estaba bien diseñado e implementado, ni se hicieron las oportunas pruebas de funcionamiento. Por cierto no recomiendo comprar el Office 2003, es una verdadera "MIERDA" y por encima cara.
Un Saludo