ابزار جدید مایکروسافت نقص‌های داده‌ای در برنامه‌ها را شناسایی می‌کند

ابزار فوق قادر است فرآیند تحلیل را درست از مکانی که خرابی به وجود آمده آغاز کرده و در ادامه علت بروز مشکل را شناسایی کند. VulnScan قادر است پنج نوع از خرابی‌های حافظه که عبارتند از خواندن یا نوشتن خارج از محدوده، به‌کارگیری پس از آزادسازی، اغتشاش نوع، به‌کارگیری حافظه بدون مقداردهی اولیه و ارجاع اشاره‌گر خالی یا ثابت را تشخیص دهد.

ماتوس کرزیویکی از بخش امنیتی مایکروسافت در خصوص این ابزار گفته است: «ابزار فوق ضمن آن‌که مشکل سرریز بافر را شناسایی می‌کند قادر است مشکل مربوط به دسترسی خارج از محدوده اصلی که دلیل آن به‌کارگیری یک مقداردهی اولیه شمارنده اشتباه در یک حلقه است را تشخیص دهد.» این ابزار با یا بدون آن‌که ویژگی PageHeap فعال شده باشد قادر است مشکلات استفاده پس از آزادسازی حافظه را نیز تشخیص دهد.

مایکروسافت خود از این ابزار در قالب چهارچوب خودکاری موسوم به Sonar استفاده می‌کند. چهارچوبی که به‌طور خودکار فایل‌های اثبات مفهومی که از خارج مایکروسافت برای این شرکت گزارش شده‌اند را مورد پردازش قرار می‌دهد. مایکروسافت در نظر دارد از ابزار فوق در پروژه شناسایی ریسک‌های امنیتی که  Springfield نام دارد استفاده کند. پروژه‌ای که به منظور تحلیل‌های توسعه یافته به منظور شناسایی آسیب‌پذیری‌ها و همچنین حذف خرابی‌های مکرر به کار گرفته خواهد شد.

آقای کرزیوکی در ارتباط با ابزار فوق گفته است: «ما ابزار VulnScan را در یک بازه زمانی 10 ماهه در ارتباط با مشکلات مربوط به خرابی حافظه در مرورگر مایکروسافت اج، اینترنت اکسپلورر و همچنین بسته آفیس مورد آزمایش قرار دادیم. این ابزار با ضریب موفقیت 85 درصد توانست مشکلات را شناسایی کند. به عبارت دقیق‌تر عملکرد این ابزار برابر با 500 ساعت کار مهندسان بخش امنیت مایکروسافت بود.» شیوه کار ابزار فوق به این شکل است که تمامی مقادیر مربوط به یک دستورالعمل را به شکل مستمر مورد بررسی قرار می‌دهد. همچنین ردیفی از ثبات‌ها و آدرس‌های حافظه را که با مکان‌های خاص در جداول زمانی در ارتباط هستند را مورد استفاده قرار داده و برای هر آسیب‌پذیری تحلیل جداگانه‌ای را ارائه می‌کند. این تکنیک باعث می‌شود تا نقص‌های داده‌ای یک برنامه به ساده‌ترین شکل ممکن شناسایی شود. برای اطلاعات بیشتر در این خصوص به آدرس VulnScan – Automated Triage and Root Cause Analysis of Memory Corruption Issues مراجعه کنید.