Jak microsoft zajišťuje zabezpečení v roce 2019

Společnost Microsoft tento týden na své konferenci Ignite oznámila řadu bezpečnostních produktů, ale jedna z věcí, která vynikla, bylo jejich pevné přesvědčení, že způsob, jakým provozujete bezpečnostní operace, je stejně důležitý jako produkty, které provozujete.

Hlavní ředitel informační bezpečnosti společnosti Bret Arsenault (nahoře) byl důrazný, když popsal vlastní bezpečnostní prostředí společnosti Microsoft a přístup k řízení bezpečnosti pro sebe a své zákazníky. Řekl, že společnost řeší obrovské 20 miliard bezpečnostních událostí denně.

„Uživatelé jsou moje první linie i moje poslední linie obrany, “ řekl Arsenault a poznamenal, že Microsoft má 125 000 zaměstnanců plus 70 000 „badged“ partnerů. Zdůraznil obrovskou výzvu správy tak velkého a rozmanitého prostředí, které zahrnuje 32 verzí používaných operačních systémů, 500 000 Linuxových prostředí, druhou největší nainstalovanou základnu Macintosh kdekoli (Apple je první) a další „N + 1“ verze Windows. Řekl, že jeho primárním cílem je chránit společnost, nikoli používat produkty společnosti Microsoft.

Arsenault strávil spoustu času „příležitostí a rizik“ a vysvětlil, jak neustálý přístup, masivní soubory dat, cloudové úložiště a moderní inženýrství vytvářejí mnoho příležitostí a významné bezpečnostní výzvy. Například datová suverenita je hlavním problémem, protože společnost má 596 míst a Arsenault musí brát v úvahu data, která mohou překročit hranice. Řekl, že peníze získané z počítačové kriminality překonaly peníze získané v nelegálním obchodu s drogami. Obává se také dodavatelského řetězce a schopnosti jakékoli společnosti jej chránit.

Arsenault poznamenal, že přechod na cloud computing znamená, že zatímco zabezpečení sítě zůstává důležité, nestačí a uvedl, že „identita je nový obvod.“

Arsenault sdílel své vlastní zásady vedení a řekl, že je důležité mít zjednodušené cíle. Jeho tři hlavní body: vůdce musí vytvářet jasnost, generovat energii a přinášet úspěch. Z důvodu srozumitelnosti uvedl, že je důležité „odložit tužku pro inženýrství a vyzvednout pastelku“ - jinými slovy, aby věci zjednodušily koncovým uživatelům. Arsenault zdůraznil, že je důležité nezaměňovat zprávu, která pracuje pro strojírenskou populaci, s tím, co funguje pro obecnou uživatelskou základnu.

Za tímto účelem popsal svou strategii jako stolici se třemi nohami: správu identity, data a telemetrii a zdraví zařízení.

Jinými slovy, Arsenault řekl, pro připojení k jakékoli ze služeb potřebujete silnou identitu, totožnost ověřenou pomocí vícefaktorové autentizace. Pokud máte skvělou identitu, musí se ujistit, že zařízení, ze kterého se připojujete, je zabezpečené. S 20 miliardami událostí denně potřebuje velkou datovou telemetrii, aby mohl sledovat systémy, zlepšovat je a chránit je.

Arsenault přešel z obecného na granulárnější a prohlásil, že letos identifikoval pět hlavních pilířů nebo principů jako oblasti investic - řízení rizik, správa identity, zdraví zařízení, data a telemetrii a ochrana informací - av rámci těchto pilířů se zaměřuje na 27 základních službách. Rovněž uvedl 11 „eposů“ - nezbytně krátkodobých projektů trvajících 18–24 měsíců -, které budou dokončeny, nezdaří nebo se stanou budoucími základními službami. Má relativně malý tým devíti nebo deseti lidí, kteří se dívají na vznikající technologii, aby zjistili, co může společnosti pomoci s jejími bezpečnostními potřebami. Když před 8 lety převzal roli CISO, měl Microsoft 80 dodavatelů zabezpečení, dodal Arsenault.

Jednou z klíčových iniciativ v posledních několika letech bylo přesunutí pracovní zátěže do Azure. Arsenault uvedl, že společnost posunula 95 procent svého pracovního vytížení. Pokud jde o proces, první věcí, kterou musíte udělat, je zvážit žádosti a rozhodnout, zda je stále potřebují; z asi 2 000 podnikových aplikací, Arsenault uvedl, že Microsoft zjistil, že by mohl jednoduše odstranit 30 procent. Další věc, kterou musíte udělat, je najít aplikace, které by mohly být převedeny na řešení Software-as-a-Service; to fungovalo pro asi 15 procent aplikací společnosti Microsoft. Pro ty, kteří zůstali, byl dalším krokem virtualizace všech aplikací a přijetí nových nebo jednoduchých aplikací a jejich přesunutí do Platform-as-a-Service, a to „zvednout a přejít“ na nabídku Infrastruktura-a-Service pro většina ostatních.

V tomto procesu se do cloudu přesunulo více aplikací, než by si myslel (včetně systému SAP společnosti Microsoft), a navrhl, aby společnosti přešly na PaaS dříve, než by plánovaly.

Je důležité neustále se pohybovat během takového úsilí, řekl Arsenault, a neustále vytvářet energii kolem projektu, protože projekty často přestávají postupovat zhruba v polovině. Lidé budou často používat 5 procent pracovní zátěže, která se nepřesune do cloudu, jako výmluva, že neudělá dalších 95 procent, a řekl, že je třeba vytvořit pocit naléhavosti, aby se tento krok uskutečnil (například nastavení data pro uzavření datového centra).

Jednu věc, kterou jeho tým vytvořil, byl DevOps Toolkit pro Azure navržený tak, aby monitoroval 250 ovládacích prvků v různých aplikacích, aby bylo zajištěno, že všechno funguje. Arsenault uvedl, že jeho skupina je zpřístupnila prostřednictvím open source, a věří, že tyto zásady řízení podniku budou do Azure zabudovány přibližně za 18 měsíců.

Arsenault soustředil část své přednášky na zabezpečení správců, kteří obvykle mají největší přístup k systému. Mluvil o snížení počtu stálých správců; použití samostatného identifikačního systému k tomu, aby jim bylo přiděleno méně oprávnění; a nechat je vykonávat bezpečnostní úkoly pouze na „zabezpečené administrátorské pracovní stanici“, kterou popsal jako „super zabezpečené zařízení“ se zvláštním obrazem, který často vyrovnává a obnovuje stroj a který je vytvářen pomocí zabezpečeného dodavatelského řetězce. Tyto stroje spouští pouze kód webu a jsou vysoce uzamčeny. Seznam whitelistů určuje, k čemu a kde se mohou připojit. Pro připojení k jiným službám se mohou správci připojit k virtuálním strojům.

Arsenault také hovořil o důležitosti eliminace hesel. Používá aplikaci Authenticator společnosti již nějakou dobu a řekl, že je důležité „nenechat dokonalého nepřítele dobrého“. Je to vlastně o odstranění výzvy, řekl, a zatímco uživatelé této aplikace nevidí hesla, jsou stále pod povrchem (i když za několik let mohou být nahrazeni certifikáty). Navrhl, aby odborníci v oblasti bezpečnosti ve společnostech přestali hovořit o MFA a místo toho začali hovořit o odstraňování hesel, cílem je vidět to nikoli jako další vrstvu, ale spíše jako něco, co uživatelům usnadňuje přístup.

• Společnost Microsoft se rozhodla nepřerušovat instalace prohlížeče Firefox / Chrome Společnost Microsoft se rozhodla nepřerušovat instalace prohlížeče Firefox / Chrome
• Microsoft CEO tlačí iniciativu Open Data Initiative, nové zabezpečení ve společnosti Ignite Microsoft CEO tlačí iniciativu Open Data Initiative, nové zabezpečení ve společnosti Ignite
• Nové tipy AI, zabezpečení pro Office, Microsoft 365 Nové tipy AI, zabezpečení pro Office, Microsoft 365

V Arsenaultově řeči se mi opravdu líbilo, že většina jeho nápadů - zjednodušení vašich nástrojů, přesunutí toho, co dává smysl cloudu, zaměření na identitu, ovládání administrativního účetnictví, překročení tradičních hesel - není nová, nebo dokonce kontroverzní. Největší výzvou se naopak jeví, že tyto věci budou skutečně implementovány způsoby, které nezasahují do zbytku vaší IT stopy a které jsou pro vaše konečné uživatele přijatelné - nebo dokonce výhodnější -. Ve světě s větším počtem bezpečnostních hrozeb než kdy jindy, je zásadní, aby se pohyboval kupředu.