Kako microsoft zagotavlja varnost v letu 2019

Microsoft je na svoji konferenci Ignite ta teden napovedal različne varnostne izdelke, toda ena od stvari je bila njihovo trdno prepričanje, da je način, kako vodite varnostne operacije, enako pomemben kot izdelki, ki jih vodite.

Vodja Microsoftovega direktorja za varnost informacij Bret Arsenault (na vrhu) je bil odločen, ko je opisal Microsoftovo lastno varnostno okolje in njegov pristop k upravljanju varnosti zase in za svoje stranke. Povedal je, da podjetje na dan reši ogromno 20 milijard varnostnih dogodkov.

"Uporabniki so moja prva črta in moja zadnja obrambna linija, " je dejal Arsenault in ugotovil, da ima Microsoft 125.000 zaposlenih in 70.000 partnerjev z "znački". Poudaril je velikanski izziv upravljanja tako velikega in raznolikega okolja, ki vključuje 32 različic svojih operacijskih sistemov, ki so v uporabi, 500.000 okolij Linux, drugo največjo Macintosh nameščeno bazo kjer koli (Apple je prvi) in naslednjo različico "N + 1" različica sistema Windows. Dejal je, da je njegov primarni cilj zaščita podjetja, ne pa uporaba Microsoftovih izdelkov.

Arsenault je porabil veliko časa za "priložnost in tveganje" in razložil, kako stalni dostop, obsežni nabori podatkov, shranjevanje v oblaku in sodoben inženiring ustvarjajo številne priložnosti in pomembne varnostne izzive. Na primer, suverenost podatkov je glavno vprašanje, saj ima podjetje 596 lokacij, Arsenault pa mora upoštevati podatke, ki lahko presežejo meje. Dejal je, da je denar, ki izvira iz kibernetske kriminalitete, presegel denar, pridobljen v nezakoniti trgovini z mamili. Skrbi ga tudi dobavna veriga in zmožnost vsakega podjetja, da jo zaščiti.

Arsenault je opozoril, da prehod na računalništvo v oblaku pomeni, da je varnost omrežja še naprej pomembna, vendar ne zadostuje, in dejal, da je "identiteta nov obod".

Arsenault je delil svoja načela vodenja, češ da je pomembno imeti poenostavljene cilje. Njegove tri glavne točke: vodja mora ustvariti jasnost, ustvariti energijo in doseči uspeh. Jasno je dejal, da je pomembno, da "odložite inženirski svinčnik in poberete bojico" - z drugimi besedami, da bodo stvari preproste za končne uporabnike. Arsenault je poudaril, da je pomembno, da sporočila, ki deluje za inženirsko populacijo, ne zamenjujemo s tistim, ki deluje za splošno uporabniško bazo.

V ta namen je svojo strategijo opisal kot trinožni stolček: upravljanje identitete, podatki in telemetrija ter zdravje naprav.

Z drugimi besedami, Arsenault je dejal, da za povezavo s katero koli storitvijo potrebujete močno identiteto, ki jo preverja večfaktorna avtentikacija. Če imate veliko identiteto, mora še vedno zagotoviti, da je naprava, s katero se povezujete, varna. Z 20 milijardami dogodkov na dan potrebuje veliko podatkovno telemetrijo za sledenje sistemom, njihovo izboljšanje in zaščito.

Arsenault je od generala prešel k bolj natančnemu, zato je letos opredelil pet glavnih stebrov ali načel kot področja naložb - upravljanje tveganj, upravljanje identitete, zdravje naprav, podatki in telemetrija ter zaščita informacij - in znotraj teh stebrov se osredotoča. o 27 osnovnih storitvah. Navedel je tudi 11 "epov" - v bistvu kratkoročnih projektov, ki trajajo 18-24 mesecev -, ki bodo končani, ne bodo uspešni ali bodo postali bodoče osnovne storitve. Ima relativno majhno ekipo z devetimi ali desetimi ljudmi, ki si ogledajo nastajajočo tehnologijo, da bi videli, kaj lahko podjetju pomaga pri njegovih varnostnih potrebah. Microsoft je imel 80 varnostnih prodajalcev, ko je pred 8 leti prevzel vlogo CISO, je še dodal Arsenault.

Ena ključnih pobud v zadnjih nekaj letih je preusmeritev delovnih obremenitev na Azure. Arsenault je dejal, da je podjetje premaknilo 95 odstotkov svojega obsega dela. Z vidika postopka je treba najprej preučiti vloge in se odločiti, ali jih še potrebujejo; od približno 2000 aplikacij za poslovno uporabo, je Arsenault dejal, da Microsoft lahko odkrije 30 odstotkov. Naslednja stvar je poiskati aplikacije, ki bi jih lahko pretvorili v rešitev Software-as-a-Service; to je delovalo za približno 15 odstotkov Microsoftovih aplikacij. Za tiste, ki so ostali, je bil naslednji korak virtualizacija vseh aplikacij in sprejemanje novih ali preprostih aplikacij in njihovo premikanje na platformo kot storitev, s tem pa "dvig in preusmeritev" na ponudbo infrastrukture kot storitev večina drugih.

V tem procesu se je več aplikacij premaknilo v oblak, kot bi si mislil (vključno z Microsoftovim sistemom SAP), in predlagal je, naj se podjetja preselijo v PaaS prej, kot bi morda načrtovali.

Med takšnimi napori je pomembno nadaljevati, je dejal Arsenault in še naprej ustvarjati energijo okoli projekta, saj projekti pogosto nehajo napredovati na polovici poti. Ljudje bodo pogosto uporabljali 5 odstotkov obremenitev, ki se ne bodo premaknili v oblak kot izgovor, da ne naredite ostalih 95 odstotkov, in dejal je, da morate ustvariti občutek nujnosti, da se premik zgodi (na primer določitev datuma za zapiranje podatkovnega centra).

Njegova stvar je ustvarila DevOps Toolkit za Azure, zasnovan za spremljanje 250 kontrol v različnih aplikacijah, da bi zagotovili, da vse deluje. Arsenault je dejal, da je njegova skupina to omogočila prek odprtokodnih virov in verjame, da bodo ta načela za upravljanje podjetij v Azure vgrajena v približno 18 mesecih.

Arsenault je del svojega pogovora osredotočil na zagotavljanje skrbnikov, ki imajo običajno največ dostopa do sistema. Govoril je o zmanjšanju števila stalnih uprav; z uporabo ločenega sistema identitete, da bi jim zagotovili manj privilegijev; omogoči jim, da izvajajo varnostna opravila samo na "varni skrbniški delovni postaji", ki jo je označil za "super varno napravo" s posebno sliko, ki stroj pogosto splošči in obnovi, in ki je ustvarjena s pomočjo varne dobavne verige. Ti stroji imajo samo kodo spletnega mesta in so zelo zaklenjeni, s seznami dovoljenih za določitev, kaj in kje se lahko povežejo. Za povezave z drugimi storitvami se lahko skrbniki povežejo z virtualnimi stroji.

Arsenault je govoril tudi o pomembnosti odstranjevanja gesel. Že nekaj časa uporablja aplikacijo Authenticator podjetja in je dejal, da je pomembno, da "ne dovolite popolnemu biti sovražnik dobrega". Dejansko gre za odpravo pozivanja, je dejal, in čeprav uporabniki te aplikacije ne vidijo gesla, so še vedno tam pod površino (čeprav bodo čez nekaj let morda namesto s certifikati). Predlagal je, naj varnostniki v podjetjih nehajo govoriti o zunanjem ministrstvu in namesto tega začnejo govoriti o odpravi gesel, cilj pa je, da to ne vidijo kot dodatno plast, ampak kot nekaj, kar uporabnikom olajša dostop.

• Microsoft se odloči, da ne bo prekinil namestitve Firefox / Chrome, Microsoft se odloči, da ne bo motil namestitve Firefox / Chrome
• Generalni direktor Microsofta potisne pobudo za odprte podatke, nova varnost pri Igniteu Generalni direktor podjetja Microsoft potisne pobudo za odprte podatke, nova varnost pri podjetju Ignite
• Microsoft Nasveti New AI, Varnost za Office, Microsoft 365 Microsoft Tips New AI, Varnost za Office, Microsoft 365

V pogovoru z Arsenaultom se mi je resnično izkazalo, da večina njegovih idej - poenostavitev orodij, premikanje tistega, kar je smiselno v oblak, osredotočanje na identiteto, nadzor upravnega računovodstva, preseganje tradicionalnih gesel - niso nove ali celo sporne. Namesto tega se zdi, da je največji izziv dejansko uresničiti te stvari na način, ki ne ovira preostalega vašega IT odtisa in ki je sprejemljiv (ali celo zaželen) za vaše končne uporabnike. V svetu z več grožnjami varnosti kot kdaj koli prej je ključnega pomena nadaljevati.