「Trustworthy Computing」提唱から10年--Windowsセキュリティのこれまでを辿る - (page 2)

　このときまで、セキュリティはすべて文字通り後知恵だった。Trustworthy Computingの取り組みの結果として、Microsoftはソフトウェアの開発方法を大きく変更した。このセキュリティ開発ライフサイクルは、過去10年間で大きな成果を上げ、広く評価されており、真似もされている。

　その間、悪者たちとその生産物も変わってきた。21世紀のはじめ頃は、目立った攻撃は大惨事を引き起こすように計算されており、世界中の注目を集めていた。その後10年間で、マルウェア作者は自分たちの仕事を収益化する技術を得たのに加え、隠密行動の利点を学んだ。

　Microsoftは、安全なコードを書くためのより規律のあるプロセスを作り、アップデートのためのインフラを改善し、社外のセキュリティ専門家およびサードパーティー開発会社と緊密に連携して、自社の製品の動作を改善した。長い時間をかけて、Microsoftは自前のアンチウイルスソフトとネットワーク侵入防御ソフトウェアを作った。2001年の反トラスト行政訴訟和解後の監視期間は正式に終了しており、このソフトウェアはとうとうWindowsそのものに組み込まれることになった。

　もちろん、過去にはMicrosoftのセキュリティに対する対応が完璧とは言えないときもあった。例えばWindows XPでは、効果的なファイアウォールを導入しておきながら、デフォルトではこの機能を無効のままにしておくことを選んだ。しかし、これは「XP Service Pack 2」で修正されている。過去4年間でもっとも猛威をふるった攻撃ベクターは、「AutoRun」と呼ばれる機能で、これによってすべてのUSBメモリがConfickerワームを運ぶ媒介となった。AutoRunは「Windows 7」ではデフォルトで無効にされたが、Windows XPと「Vista 」のユーザーは、この危険な攻撃ベクターをブロックする緊急のアップデートが提供された2011年まで待たねばならなかった。

　新しいバージョンのWindowsを使う方が、2002年に使われていたWindows XPの最初のバージョンを使うよりもはるかに安全であることは言うまでもない。同時に、今では攻撃者もより洗練され、金銭的な利益に力を注ぐようになっている。