Фахівці дослідницького центру Digital Security провели аналіз безпеки компонентів пакету офісних програм Microsoft Office

Фахівці дослідницького центру Digital Security, що спеціалізується на аналізі захищеності ІТ-систем, провели аналіз безпеки компонентів пакету офісних програм Microsoft Office з метою підвищення компетентності внутрішніх служб безпеки компаній та звичайних користувачів. Пакет програм був обраний тому, що він де-факто є стандартом для офісного програмного забезпечення, і останнім часом все частіше його компоненти стають «діркою» у корпоративну інфраструктуру.

Були досліджені основні компоненти ПЗ «Microsoft Office», включаючи Microsoft Word, Microsoft Excel, Microsoft PowerPoint, Outlook та Microsoft Access. Проаналізувавши різні компоненти Microsoft Office, дослідники Digital Security виділили кілька векторів атак на це: «двійкові» вразливості; застарілий успадкований код; вбудовування COM-об'єктів (OLE, ActiveX) – перенесення вразливостей інших компонентів до програми «Microsoft Office»; логічні/архітектурні помилки; можливості соціальної інженерії (найчастіше використовуваний вектор).

У рамках проекту було проведено аналіз внутрішнього устрою ПЗ, архітектурних особливостей, технологій та їх недоліків. Дослідження велося за декількома напрямками, були розглянуті наступні ключові блоки Microsoft Office: закриті технології, COM-технології, розширення (включаючи додатки, маніфести установок розширень VSTO-basedAdd-ins і т.д.), централізоване конфігурування та адміністрування, визначення векторів атаки на програми/компоненти Microsoft Office.

Для продуктів Microsoft актуальна така проблема, як використання давно розроблених, найчастіше застарілих технологій та незмінного програмного коду. Закритість коду та форматів створює складності не тільки для дослідників безпеки, а й для виробника, внаслідок чого багато вразливостей виявляються та виправляються зі значними затримками.

У рамках дослідження з'ясувалося, що ПО MS Оffice містить ряд недоліків та помилок, які роблять його використання небезпечним.

За підсумками робіт був підготовлений цикл статей, в якому детально розповідається про ключові напрями дослідження. Перша частина носить назву «Закриті формати даних», у ній йдеться про формати даних, шифрування та отримання символів.