Kaip „Microsoft“ daro apsaugą 2019 m

Šią savaitę savo „Ignite“ konferencijoje „Microsoft“ paskelbė apie įvairius saugos produktus, tačiau vienas iš jų išsiskyrė tvirtu įsitikinimu, kad jūsų vykdomos saugos operacijos yra tokios pat svarbios, kaip ir jūsų naudojamų produktų.

„Microsoft“ vyriausiasis informacijos saugumo pareigūnas Bretas Arsenaultas (viršuje) buvo ryžtingas, apibūdindamas pačios „Microsoft“ saugos aplinką ir jos požiūrį į savo ir klientų saugumo valdymą. Jis sakė, kad bendrovė per dieną išsprendžia milžinišką 20 milijardų saugumo įvykių.

„Vartotojai yra ir pirmoji, ir paskutinė mano gynybos linija“, - teigė „Arsenault“ ir pažymėjo, kad „Microsoft“ turi 125 000 darbuotojų ir 70 000 „ženkliukų“ partnerių. Jis pabrėžė didžiulį iššūkį valdyti tokią didelę ir įvairią aplinką, kuri apima 32 naudojamų operacinių sistemų versijas, 500 000 „Linux“ aplinkų, antrą pagal dydį „Macintosh“ įdiegtą bazę bet kurioje vietoje („Apple“ yra pirmoji) ir kitą „N + 1“. „Windows“ versija. Jis sakė, kad jo pagrindinis tikslas yra apsaugoti kompaniją, o ne naudoti „Microsoft“ produktus.

„Arsenault“ daug laiko praleido „galimybėms ir rizikai“ ir paaiškino, kaip visada įjungta prieiga, masyvūs duomenų rinkiniai, debesyje saugoma saugykla ir šiuolaikinė inžinerija sukuria daug galimybių ir reikšmingų saugumo iššūkių. Pavyzdžiui, duomenų suverenitetas yra pagrindinė problema, nes bendrovė turi 596 vietas, o „Arsenault“ turi atsižvelgti į duomenis, kurie gali peržengti sienas. Jis sakė, kad pinigai, gauti iš elektroninių nusikaltimų, viršijo tuos pinigus, kurie uždirbo nelegalioje narkotikų prekyboje. Jis taip pat nerimauja dėl tiekimo grandinės ir bet kokių įmonės galimybių ją apsaugoti.

Arsenault pažymėjo, kad perėjimas prie debesų kompiuterijos reiškia, kad nors tinklo saugumas išlieka svarbus, jo nepakanka, ir teigė, kad „tapatybė yra naujas perimetras“.

„Arsenault“ pasidalino savo vadovavimo principais, sakydamas, kad svarbu turėti supaprastintus tikslus. Jo trys pagrindiniai aspektai: vadovas turi sukurti aiškumą, generuoti energiją ir duoti sėkmę. Aiškumo dėlei jis sakė, kad svarbu „nuleisti inžinerinį pieštuką ir pasiimti vėžį“, kitaip tariant, kad viskas būtų paprasta galutiniams vartotojams. „Arsenault“ pabrėžė, kad svarbu nepainioti žinutės, kuri skirta inžinerijos populiacijai, su tuo, kas tinka bendrajai vartotojų bazei.

Tuo tikslu jis apibūdino savo strategiją kaip trijų kojų taburetę: tapatybės valdymą, duomenų ir telemetriją bei įrenginio būklę.

Kitaip tariant, „Arsenault“ teigė, kad norint prisijungti prie bet kurios iš paslaugų, reikia stiprios tapatybės, kurią patvirtina kelių veiksnių autentifikavimas. Jei turite puikų tapatumą, jis vis tiek turi įsitikinti, kad įrenginys, iš kurio jungiatės, yra saugus. Kasdien įvykstant 20 milijardų įvykių, jam reikia puikios duomenų telemetrijos, kad būtų galima sekti sistemas, jas tobulinti ir apsaugoti.

Pereinant nuo bendro prie detalesnio, Arsenault teigė, kad šiais metais nustatė penkis pagrindinius ramsčius ar principus kaip investicijų sritis - rizikos valdymą, tapatybės valdymą, įrenginių būklę, duomenų ir telemetriją bei informacijos apsaugą - ir šiuose ramsčiuose daugiausia dėmesio skiria 27 pagrindinėse tarnybose. Jis taip pat išvardijo 11 „epų“ - galbūt trumpalaikių 18–24 mėnesių trukmės projektų -, kurie bus baigti, žlugs arba taps pagrindinėmis būsimomis paslaugomis. Jis turi palyginti nedidelę devynių ar dešimties žmonių komandą, kuri žvelgia į naujas technologijas norėdama pamatyti, kas gali padėti įmonei patenkinti jos saugumo poreikius. Kai prieš 8 metus jis perėmė CISO vaidmenį, „Microsoft“ turėjo 80 saugumo pardavėjų, pridūrė „Arsenault“.

Viena pagrindinių iniciatyvų per pastaruosius kelerius metus buvo darbo krūvio perkėlimas į Azure. „Arsenault“ teigė, kad įmonė perkėlė 95 procentus savo darbo krūvio. Kalbant apie procesą, pirmiausia reikia apsvarstyti paraiškas ir nuspręsti, ar vis dar jų reikia; iš maždaug 2000 verslo sričių programų, „Arsenault“ teigė, kad „Microsoft“ nustatė, kad ji gali pašalinti 30 procentų. Kitas dalykas, kurį reikia padaryti, yra rasti programas, kurias būtų galima konvertuoti į programinės įrangos, kaip paslaugos, sprendimą; tai veikė apie 15 procentų „Microsoft“ programų. Tiems, kurie liko, kitas žingsnis buvo virtualizuoti visas programas ir imtis naujų ar paprastų programų ir perkelti jas į „Platform as-a-Service“ paslaugą, atliekant „pakėlimą ir perkėlimą“ į „Infrastruktūra, kaip paslauga“ pasiūlymą. dauguma kitų.

Į šį procesą debesyje pateko daugiau programų, nei jis būtų galvojęs (įskaitant „Microsoft“ SAP sistemą), ir jis pasiūlė, kad įmonės turėtų persikelti į „PaaS“ anksčiau, nei galėjo planuoti.

Tokių pastangų metu svarbu nejudėti, sako Arsenault, ir kurti energiją aplink projektą, nes projektai dažnai nustoja progresuoti įpusėjus. Žmonės dažnai pasitelks 5 procentus darbo krūvio, kuris nebus perkeltas į debesis, kaip pasiteisinimą, kad nedarytumėte kitų 95 procentų. Jis sakė, kad, norint perkelti, reikia sukurti skubos jausmą (pvz., Nustatyti datą). duomenų centro uždarymui).

Vienas dalykas, kurį sukūrė jo komanda, buvo „DevOps“ įrankių rinkinys, skirtas „Azure“, skirtas stebėti 250 įvairių programų valdiklius, kad būtų užtikrinta, jog viskas veikia. Arsenault teigė, kad jo grupė padarė tai prieinamą per atvirąjį kodą, ir mano, kad šie įmonės valdymo principai bus įdiegti Azure maždaug per 18 mėnesių.

„Arsenault“ dalį savo pokalbio skyrė administratorių, kurie paprastai turi daugiausiai prieigą prie sistemos, apsaugai. Jis kalbėjo apie nuolatinių administratorių skaičiaus mažinimą; naudoti atskirą tapatybės sistemą, kad jiems būtų suteikta mažiau privilegijų; ir priversti juos atlikti saugos užduotis tik „saugioje administratoriaus darbo vietoje“, kurią jis apibūdino kaip „ypač saugų įrenginį“ su specialiu atvaizdu, kuris dažnai išlygina ir atkuria mašiną, ir kuris yra sukurtas naudojant saugią tiekimo grandinę. Šios mašinos paleidžia tik svetainės kodą ir yra labai užrakintos, o baltieji sąrašai nustato, kur ir kur jie gali prisijungti. Norėdami prisijungti prie kitų paslaugų, administratoriai gali prisijungti prie virtualių mašinų.

„Arsenault“ taip pat kalbėjo apie slaptažodžių panaikinimo svarbą. Jis gana ilgą laiką naudojo įmonės programą „Authenticator“ ir sakė, kad svarbu neleisti „tobuliems būti gėrio priešais“. Pasak jo, tai iš tikrųjų susijęs su raginimų panaikinimu. Nors šios programos vartotojai nemato slaptažodžių, jie vis tiek yra po paviršiumi (nors po kelerių metų jie gali būti pakeisti pažymėjimais). Jis pasiūlė, kad įmonių saugumo profesionalai nustotų kalbėti apie MFA ir užuot pradėję kalbėti apie slaptažodžių panaikinimą, tikslas būtų tai pamatyti ne kaip papildomą sluoksnį, o kaip dalyką, palengvinantį prieigą vartotojams.

• „Microsoft“ nusprendžia netrukdyti „Firefox“ / „Chrome“ diegimų „Microsoft“ nusprendžia netrukdyti „Firefox“ / „Chrome“ diegimų
• „Microsoft“ vadovas stumia atvirų duomenų iniciatyvą, naują saugumą uždegdama „Microsoft“ vadovas stumia atvirų duomenų iniciatyvą, naują saugumą „Ignite“
• „Microsoft“ patarimai nauja AI, „Office“ sauga, „Microsoft 365“ „Microsoft“ patarimai nauja AI, „Office“ sauga, „Microsoft 365“

Kalbant apie Arsenault kalbą, iš tikrųjų išsiskyrė tai, kad dauguma jo idėjų - supaprastinti jūsų įrankius, perkelti prasmingą debesį, sutelkti dėmesį į tapatumą, kontroliuoti administracinę apskaitą, peržengti tradicinius slaptažodžius - nėra naujos ar net prieštaringos. Tačiau atrodo, kad didžiausias iššūkis yra tai, kad šie dalykai būtų įgyvendinami taip, kad netrukdytų likusiam jūsų IT pėdsakui, ir kurie yra priimtini ar net labiau tinkami galutiniams vartotojams. Pasaulyje, kuriame daugiau nei bet kada kyla grėsmė saugumui, labai svarbu toliau judėti į priekį.