Как Microsoft защищает в 2019 году

На этой неделе Microsoft анонсировала ряд продуктов для обеспечения безопасности на своей конференции Ignite, но одной из отличительных черт было их твердое убеждение в том, что способ выполнения ваших операций по обеспечению безопасности так же важен, как и используемые вами продукты.

Директор по информационной безопасности Microsoft Брет Арсено (вверху) был полон решимости, описав собственную среду безопасности Microsoft и ее подход к управлению безопасностью для себя и своих клиентов. Он сказал, что компания разрешает огромные 20 миллиардов событий безопасности в день.

«Пользователи - это и моя первая линия, и моя последняя линия защиты», - сказал Арсено и отметил, что в Microsoft 125 000 сотрудников плюс 70 000 партнеров под маркой. Он подчеркнул огромную сложность управления такой большой и разнородной средой, которая включает 32 версии используемых операционных систем, 500 000 сред Linux, вторую по величине установленную базу Macintosh в любом месте (сначала Apple), а затем «N + 1» версия винды. Он сказал, что его основная цель - защитить компанию, а не использовать продукты Microsoft.

Арсено потратил много времени на «возможности и риск» и объяснил, как постоянный доступ, массивные наборы данных, облачное хранилище и современное проектирование создают много возможностей и серьезных проблем безопасности. Например, суверенитет данных является серьезной проблемой, потому что у компании 596 местоположений, и Arsenault должна учитывать данные, которые могут выходить за границы. Он сказал, что деньги, полученные от киберпреступности, превзошли деньги, полученные от незаконной торговли наркотиками. Он также обеспокоен цепочкой поставок и способностью любой компании защитить ее.

Арсено отметил, что переход к облачным вычислениям означает, что, хотя безопасность сети остается важной, этого недостаточно, и сказал, что «личность - это новый периметр».

Арсено поделился своими собственными принципами лидерства, заявив, что важно иметь упрощенные цели. Его три основных момента: лидер должен создавать ясность, генерировать энергию и добиваться успеха. Что касается ясности, он сказал, что важно «положить инженерный карандаш и взять карандаш», другими словами, чтобы было проще для конечных пользователей. Арсено подчеркнул, что важно не путать сообщение, которое работает для инженеров, с тем, что работает для общей пользовательской базы.

С этой целью он описал свою стратегию как трехногий табурет: управление идентификацией, данные и телеметрия, а также исправность устройства.

Другими словами, сказал Арсено, для подключения к любой из услуг вам нужна надежная идентификация, проверенная многофакторной аутентификацией. Если у вас есть отличная личность, он все равно должен убедиться, что устройство, с которого вы подключаетесь, защищено. С 20 миллиардами событий в день ему нужна великолепная телеметрия данных для отслеживания систем, их улучшения и защиты.

Переходя от общего к более детальному, Арсено сказал, что он определил пять основных столпов или принципов в качестве областей для инвестиций в этом году - управление рисками, управление идентификацией, исправность устройств, данные и телеметрия, а также защита информации - и в рамках этих столпов он фокусируется на 27 основных услуг. Он также перечислил 11 «эпосов» - по сути краткосрочных проектов, рассчитанных на 18–24 месяца, - которые будут завершены, потерпят неудачу или станут будущими основными услугами. У него относительно небольшая команда из девяти или десяти человек, которые смотрят на новые технологии, чтобы понять, что может помочь компании с ее потребностями в безопасности. Арсено добавил, что у Microsoft было 80 поставщиков безопасности, когда он вступил в должность CISO 8 лет назад.

За последние несколько лет одной из ключевых инициатив стала перенос рабочих нагрузок на Azure. Арсено сказал, что компания переместила 95 процентов своих рабочих нагрузок. С точки зрения процесса, первое, что нужно сделать, это рассмотреть приложения и решить, нужны ли они им по-прежнему; По словам Арсено, из около 2000 бизнес-приложений Microsoft обнаружила, что она может просто устранить 30%. Следующее, что нужно сделать, - это найти приложения, которые можно преобразовать в решение «программное обеспечение как услуга»; это работало для примерно 15 процентов приложений Microsoft. Для тех, кто остался, следующим шагом было виртуализировать все приложения и принять новые или простые приложения и переместить их в платформу как услуга, выполнив «подъем и переход» к предложениям «инфраструктура как услуга» для большинство других.

В ходе этого процесса в облако переместилось больше приложений, чем он думал (включая систему Microsoft от Microsoft), и он предложил компаниям перейти на PaaS раньше, чем они планировали.

По словам Арсено, важно продолжать двигаться вперед и продолжать создавать энергию вокруг проекта, поскольку проекты часто прекращаются примерно на полпути. Люди часто будут использовать 5 процентов рабочих нагрузок, которые не будут перемещаться в облако, в качестве предлога, чтобы не выполнять остальные 95 процентов, и он сказал, что вам нужно создать ощущение срочности, чтобы это произошло (например, установить дату для закрытия дата-центра).

Одной из вещей, созданных его командой, был DevOps Toolkit для Azure, предназначенный для мониторинга 250 элементов управления в различных приложениях, чтобы убедиться, что все работает. Арсено сказал, что его группа сделала это доступным через открытый исходный код, и считает, что эти принципы управления предприятием будут внедрены в Azure примерно через 18 месяцев.

Арсено сфокусировал часть своего выступления на защите администраторов, которые обычно имеют больший доступ к системе. Он говорил о сокращении количества постоянных администраторов; использование отдельной системы идентификации, чтобы дать им меньше привилегий; и заставляя их выполнять задачи безопасности только на «защищенной рабочей станции администратора», которую он описал как «сверхзащищенное устройство» со специальным изображением, которое часто выравнивает и перестраивает машину, и которое создается с использованием безопасной цепочки поставок. На этих машинах выполняется только код сайта, и они сильно заблокированы, а белые списки определяют, к чему и где они могут подключиться. Для подключения к другим службам администраторы могут подключаться к виртуальным машинам.

Арсено также говорил о важности устранения паролей. Он уже давно пользуется фирменным приложением Authenticator и говорит, что важно не «позволять идеалу быть врагом хорошего». По его словам, речь идет об устранении запросов, и хотя пользователи этого приложения не видят пароли, они все еще находятся под поверхностью (хотя через несколько лет они могут быть заменены сертификатами). Он предложил специалистам по безопасности в компаниях прекратить говорить о MFA и вместо этого начать говорить об устранении паролей, целью которого является увидеть это не как дополнительный уровень, а скорее как нечто, облегчающее доступ для пользователей.

• Microsoft решает не прерывать установку Firefox / Chrome Microsoft принимает решение не прерывать установку Firefox / Chrome
• Генеральный директор Microsoft выдвигает инициативу открытых данных, Новая безопасность в Ignite Генеральный директор Microsoft продвигает инициативу открытых данных, Новая безопасность в Ignite
• Microsoft Tips Новый AI, Безопасность для Office, Microsoft 365 Microsoft Tips Новый AI, Безопасность для Office, Microsoft 365

Что действительно выделялось для меня в речи Арсено, так это то, что большинство его идей - упрощение ваших инструментов, перенос того, что имеет смысл в облако, сосредоточение внимания на идентификацию, контроль административного учета, выход за рамки традиционных паролей - не являются новыми или даже противоречивыми. Вместо этого самая большая проблема, по-видимому, заключается в том, чтобы на самом деле реализовать все это таким образом, чтобы это не мешало остальной части вашего ИТ-пространства и было приемлемым или даже предпочтительным для ваших конечных пользователей. В мире с большим количеством угроз безопасности, чем когда-либо, важно продолжать двигаться вперед.