微软安全持续“进化” 原创

“安全防护要够全面，安全管理要够简单。”这是微软全渠道事业部首席技术官（CTO）徐明强博士的“安全观”。

2004年加入微软，从Windows Server服务器产品组，到微软Azure云产品组，再到营销部门，徐明强亲身见证和经历了微软安全的演化和蜕变。“安全从来不是一个简单的问题，但和现在相比，过去的安全防护要简单得多。”在日前接受至顶网在内的媒体采访过程中，徐明强一言蔽之。

微软全渠道事业部首席技术官（CTO） 徐明强博士

过去，企业的服务器、桌面、资源都被安置在一个相对固定的物理空间，安全防护全靠一堵“墙”（防火墙），员工访问数据的动作基本都通过公司设备在“墙内”进行。但是，这种工作模式已成往事。一方面，企业在加速数字化转型的过程中为了连接客户、供应商并赋能员工，必须打开自己的“大门”，让数据流出去；另一方面，随着混合办公的常态化，员工的许多工作行为不仅不一定会发生在“内网”，甚至可能发生在任何时间、任何地点。

因此，以前企业所信奉的“内网式安全”正在失效，安全边界正在消失。

微软安全的“前世今生”

据徐明强介绍，微软安全的发展大致可以划分为三个阶段。

第一个阶段，可以追溯到2003年。自那一年开始，微软在操作系统产品和Windows Server 2003上使用威胁模型（Treat Modeling），用于了解系统安全威胁，明确来自这些威胁的风险，并建立适当的缓解措施的流程。

“这是一个对风险进行具体分类和量化的过程，因为我们不能眉毛胡子一把抓，要有针对性地采取措施。”徐明强强调，对信任边界和授权的构建非常重要。他以一个生活场景对这个过程进行了生动的描述：对于一个户主来说，进门之后有床、贵重物品、保险柜，它们相当于企业的基本流程、数据资产和安全系统；门外有大量不受控的因素，包括外部人员和外部系统等等。

“从这个场景来看，一个优秀的系统要具备几个特点，包括身份验证、系统完备性、不可否认性、保密性、可用性等等。”徐明强指出。为此，微软提出了“STRIDE安全威胁模型”分别指向六种安全威胁，即身份假冒（Spoofing）、篡改（Tampering）、抵赖（Repudiation）、信息泄露（Information Disclosure）、拒绝服务（Denial of Service）和特权提升（Elevation of Privilege）。

并且，微软强调的是从设计阶段就融入安全因素（即Security by Design）,具体管理方式是“安全开发的生命周期管理”。具体来说，当一份威胁模型安全文档被提交之后，必须经过代码签字确认、安全组审核、安全审计、安全测试等十个固定流程。

值得一提的是，安全审核部门在其中的权利——在每一个产品组都会有一个审核代表，他们拥有一票否决权。“从2003年之后，微软的每个产品组的首要任务都是让安全模型先过关，如果审核代表认为安全文档有问题，那就可能意味着所有东西都要推倒重来。”徐明强告诉记者。

第二个阶段，是爆发于2010年前后的移动及云计算时代。移动设备开始进入办公领域，云计算将企业内外部、分散各处的大量数据连接起来，威胁变得无处不在。

徐明强举例：在微软位于欧洲的一个数据中心，其曾经尝试把SQL服务器的Server端点面向互联网打开，于是在不到一分钟的时间里，日志中就出现了大量的密码攻击。“就像是一滴血掉进了海洋里，鲨鱼就被吸引过来了。”他形象地比喻道。

如今，微软智能云Azure的足迹遍布全球超过60个区域，为了帮助客户防御这种无处不在、随时可能发生的各种类型的攻击，微软专门设立了网络防御运营中心，通过全球8,500位安全专家为服务全球的平台、工具、服务及终端设备提供不间断的安全保护。据徐明强介绍，在这背后，微软智能云Azure每天处理和分析的全球安全信号数据超过24万亿。并且在他看来，安全防护是一个“道高一尺，魔高一丈”的过程，为此，微软在安全投资方面也从未“手软”——每年在安全产品和技术研发方面超过40亿美元的投入，未来5年投资还将超过200亿美元。

合规同样是安全话题中重要且不可或缺的一部分。在全球，微软智能云Azure拥有100多项合规认证，位列公有云服务商第一；在中国，通过与本地合作伙伴世纪互联的合作，Azure同样获得了包括ISO/IEC 27001、ISO/IEC 20000、ISO/IEC 27018、MLPS L3等在内的一系列权威认证。

第三个阶段，始于2018年，核心是端到端集成防护。在这个阶段，包括微软在内的许多公司都推出了“零信任”的方法论。在欧陆法系中，有一个概念叫“有罪推定”，意思是在未经司法机关依法判决有罪之前，对刑事诉讼过程中的被追诉人，推定其为实际犯罪人。这与“零信任”的理念有共同之处——默认不信任企业网络内外的任何人、设备和系统，只基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。

“当你设定任何人、任何设备和系统都是具有威胁的，就会发现，企业真正需要的是全方位的立体保护。“徐明强介绍了微软智能云Azure的安防部署，“首先，你要建立外围和室内房门隔离，包括虚拟网络、VPN网关、网络安全组Hub Spoke等等；然后关闭窗户，只保留大门通道Azure Bastion，加强大门防御，通过各种各样的防火墙，防护DDoS攻击；同时，对于一些重要的数据资产，可以通过Private Link放入‘室内’，然后通过Key Vault再放进‘保险箱’；除此之外，你还要建立智能安保监控（Defender for Cloud+Sentinel），和片警建立日常练习和巡逻（Azure Monitor+Backup），对主人身份、客人身份进行识别和保护（Azure AD Premium）。”

信息资产安全即是微软责任

经过三个阶段的持续“进化”，微软截至目前已经整合了超过40种云安全服务，能够提供端到端的安全产品，包括身份和访问管理、威胁保护、统一终端管理、信息保护、云安全管理五大部分。徐明强将它描述为微软的“安全盾牌”，可以从三个层面实现防护——对威胁的防护、对身份的防护以及对信息的保护。

虽然安全防护技术和手段要全方位、要立体、要全面，但是徐明强认为，安全管理反而要足够“简单”。

“如果你把安全管理弄得过于复杂，大家就会想方设法绕过它。”徐明强对至顶网记者强调，如今安全威胁遍布于移动端、边缘端、云端、本地，如果管理方法不一致，就会带来很多复杂问题，“当复杂度越高，漏洞出现的概率就越大，黑客可能会从‘盾牌’的缺口进去。”

因此，企业需要一个统一的安全管理策略。“我们通常会建议企业通过使用平台设备和生产力工具中内置的安全功能，简化安全管理方法。第一，要减少企业安全管理供应商的数量；第二，简化操作流程，比如，减少登陆过程中的多因子认证频次；第三，减少安全管理的各种盲区。”徐明强补充说。

今天，数字威胁远比我们想象得更近、更多、更严重。数据显示，2021年全球由勒索软件造成的损失约达到200亿美元，到2025年，网络犯罪每年将造成全球10.5亿美元的损失，企业安全态势日渐严峻。而微软，一直致力于构筑数字安全的第一道防线。据统计，目前有90%的“财富100强”企业使用超过四项微软安全、合规、身份以及管理方面的安全服务。

以西门子为例：通过其早先部署的Microsoft 365，西门子实施了包括Azure AD、Microsoft Endpoint Manager、Microsoft Defender for Identity 和 Microsoft Information Protection在内的一系列安全产品，从身份管理（包括外部各方的访问）、数据和端点三方面落实了“零信任”战略部署。

此外，针对与日俱增的远程办公需求带来的安全挑战，微软还帮助冲基金公司桥水基金员工实现了对文档、电子邮件和数据的无缝访问，同时仍保持严格的安全标准。过去，桥水基金的安全策略是将公司所有的文件内容置于企业边界网络防火墙之内，但这严格限制了员工远程协作的能力，让差旅员工或居家办公员工难以访问信息；而通过零信任框架提供的安全远程访问，桥水的员工则能够在任何地方实现协作，提供满足客户对于业务敏捷性的高标准要求。

如此全方位的立体安全策略，同样为微软带来了不少收益，据徐明强介绍，2021年，微软安全业务收入超过150亿美元，增长超过45%；企业移动和安全套件（EMS）用户数增长28%，超过2.09亿；微软云原生SIEM平台Microsoft Sentinel现有超过15000家客户；合规业务方面，微软的客户基数同比增长90%；而管理服务方面，微软Intune管理的设备数量实现了三位数增长。

面对这样的可观成绩，徐明强再次强调了微软的愿景和使命，“我们的使命是予力全球每一人、每一组织，成就不凡。所以，无论用户用了我们的软件，还是不用我们的软件，他们的信息资产安全都是我们的责任。”