微软开始预览云端版模糊测试服务Project Springfield
Microsoft
微软本周在Microsoft Ignite会议上发表了Springfield专案（Project Springfield）的首个预览版，这是一个基于Azure的云端模糊测试服务，可协助开发人员搜捕软件中的安全漏洞。
微软研究人员指出，若可在产品上线前找到并修补严重的漏洞，将可节省大量的修补成本，以操作系统或生产力产品为例，相关的修补成本可能高达100万美元。
Springfield专案科学长Patrice Godefroid则说，愈能自己找到更多的漏洞，就愈能在软件上线前完成修补。微软自2000年起便开始利用Springfield专案的核心元件SAGE来测试各种产品，包括Windows 7在内，虽然也有其他人负责检查Windows 7的漏洞，但SAGE的模糊测试总计找出了1/3的漏洞。
模糊测试只是为数众多的安全测量工具之一，负责Springfield专案的微软研究人员David Molnar指出，模糊测试适用于经常合并各种不可太靠的输入内容时，包括文件、图片、影片或各种资讯，主要寻找任何可替骇客开启攻击大门的安全漏洞。
Springfield专案寻找漏洞的流程很简单：先上传二进制档，再执行多个不同的模糊测试，找出有价值的漏洞，最后修补漏洞 。如同抛出各种随机及意外的输入内容到软件中，以检视这些不可预见的行为是否会导致软件当掉。
此外，该专案运用了人工智能技术，询问一系列的”what if”问题，每次执行时都会搜集资料并加以淬炼，有机会找出其他模糊工具可能错过的漏洞。
其实模糊工具并非新意，此次微软除了加入人工智能技术之外，也将该工具搬上Azure云端平台，相较于在服务器端进行测试，Springfield专案将可带来20倍的测试规模。目前该专案只支援Windows程式，预计很快就会支援Linux， 同时鼓励使用者报名参与预览测试。
