Kako microsoft osigurava sigurnost u 2019. godini

Microsoft je ovaj tjedan na svojoj konferenciji Ignite najavio razne sigurnosne proizvode, ali jedna od stvari koja se istaknula je njihovo čvrsto uvjerenje da je način na koji vodite sigurnosne operacije jednako važan kao i proizvodi koje vodite.

Microsoftov glavni direktor informacijske sigurnosti Bret Arsenault (na vrhu) bio je odlučan jer je opisao Microsoftovo vlastito sigurnosno okruženje i njegov pristup upravljanju sigurnošću za sebe i svoje kupce. Kazao je da tvrtka dnevno rješava ogromne 20 milijardi sigurnosnih događaja.

"Korisnici su i moja prva linija i moja posljednja linija obrane", rekao je Arsenault i napomenuo da Microsoft ima 125.000 zaposlenih plus 70.000 "badged" partnera. Naglasio je ogroman izazov upravljanja tako velikim i raznolikim okruženjem, koje uključuje 32 verzije operativnih sustava u upotrebi, 500.000 Linux okruženja, drugo najveće instalirano Macintosh bilo gdje (Apple je prvi) i sljedeći "N + 1" inačica sustava Windows. Kazao je kako mu je primarni cilj zaštititi tvrtku, a ne koristiti Microsoftove proizvode.

Arsenault je potrošio puno vremena na "priliku i rizik", te objasnio kako stalni pristup, masivni skupovi podataka, pohrana u oblaku i moderni inženjering stvaraju brojne mogućnosti i značajne sigurnosne izazove. Na primjer, suverenost podataka glavni je problem jer tvrtka ima 596 lokacija, a Arsenault mora razmotriti podatke koji mogu prijeći granice. Kazao je da je novac dobiven od cyber kriminala nadmašio taj novac zarađen u ilegalnoj trgovini drogom. On je također zabrinut zbog lanca opskrbe i mogućnosti bilo koje tvrtke da ga zaštiti.

Arsenault je napomenuo da prelazak na računalstvo u oblaku znači da iako mreža ostaje važna, ona nije dovoljna i rekao da je "identitet novo područje".

Arsenault je dijelio vlastita načela vodstva, rekavši kako je važno imati pojednostavljene ciljeve. Njegove tri glavne točke: vođa treba da stvori jasnoću, stvori energiju i postigne uspjeh. Jasno rečeno, rekao je da je važno "spustiti tehničku olovku i pokupiti bojicu" - drugim riječima, kako bi krajnji korisnici bili jednostavni. Arsenault je naglasio da je važno ne brkati poruku koja radi za inženjersku populaciju s onom koja djeluje za opću korisničku bazu.

U tu je svrhu svoju strategiju opisao kao stolicu s tri noge: upravljanje identitetom, podaci i telemetrija i zdravlje uređaja.

Drugim riječima, rekao je Arsenault, da biste se povezali s bilo kojom od usluga, potreban vam je jak identitet, potvrđen multifaktornom autentifikacijom. Ako imate sjajan identitet, on još uvijek treba osigurati da uređaj s kojim se povezujete bude siguran. S 20 milijardi događaja dnevno, potrebna mu je velika podatkovna telemetrija kako bi pratio sustave, poboljšao ih i zaštitio.

Prelazeći od generala na detaljnije, Arsenault je rekao da je ove godine identificirao pet glavnih stupova ili načela kao područja za ulaganje - upravljanje rizikom, upravljanje identitetom, zdravlje uređaja, podatke i telemetriju i zaštitu informacija - a unutar ovih stupova on se usredotočuje na 27 osnovnih usluga. Naveo je i 11 "epova" - u osnovi kratkoročnih projekata koji traju 18-24 mjeseca - koji će biti završeni, neće uspjeti ili će postati buduće temeljne usluge. On ima relativno mali tim od devet ili deset ljudi koji razgledaju tehnologiju u nastajanju da vide što može pomoći tvrtki u njenim sigurnosnim potrebama. Microsoft je imao 80 dobavljača sigurnosti kada je preuzeo ulogu CISO-a prije 8 godina, dodao je Arsenault.

Jedna od ključnih inicijativa u posljednjih nekoliko godina bilo je prebacivanje radnog opterećenja na Azure. Arsenault je rekao da je tvrtka premjestila 95 posto svog posla. U smislu postupka, prvo što treba učiniti je razmotriti aplikacije i odlučiti trebaju li ih još; od oko 2.000 poslovnih aplikacija, Arsenault je rekao da bi Microsoft mogao jednostavno eliminirati 30 posto. Sljedeće što trebate učiniti je pronaći aplikacije koje bi se mogle pretvoriti u softversko rješenje kao servis; ovo je radilo za oko 15 posto Microsoftovih aplikacija. Za one koji su ostali, sljedeći je korak bio virtualiziranje svih aplikacija i uzimanje novih ili jednostavnih aplikacija i njihovo premještanje na uslugu Platform as-a-Service, čineći "podizanje i prebacivanje" na ponudu Infrastructure as-a-Service za većina ostalih.

U tom se procesu više aplikacija preselilo u oblak nego što bi mislio (uključujući Microsoftov SAP sustav), a on je sugerirao da bi kompanije trebale prijeći na PaaS ranije nego što su možda planirali.

Važno je nastaviti se kretati tijekom takvih napora, rekao je Arsenault, i zadržati stvaranje energije oko projekta, jer projekti često prestaju napredovati na pola puta. Ljudi će često koristiti 5 posto opterećenja koje se neće kretati u oblaku kao izgovor da ne radite ostalih 95 posto, a on je rekao da morate stvoriti osjećaj hitnosti da se potez dogodi (poput postavljanja datuma za zatvaranje podatkovnog centra).

Jedna stvar koju je stvorio njegov tim bio je DevOps Toolkit za Azure osmišljen za praćenje 250 kontrola na različitim aplikacijama kako bi se osiguralo da sve radi. Arsenault je rekao da je njegova grupa to učinila dostupnim putem otvorenog koda i vjeruje da će ovi principi za upravljanje poduzećem biti ugrađeni u Azure za oko 18 mjeseci.

Arsenault je dio svog razgovora usmjerio na osiguranje administratora koji obično imaju najviše pristupa nekom sustavu. Govorio je o smanjenju broja stalnih administratora; pomoću zasebnog sustava identiteta za postizanje manje privilegija; te ih tjera da izvršavaju sigurnosne zadatke samo na "sigurnoj administracijskoj radnoj stanici", koju je opisao kao "super siguran uređaj" s posebnom slikom koja stroj ravna i obnavlja često, a koja je stvorena pomoću sigurnog lanca napajanja. Ovi strojevi imaju samo kod mjesta i vrlo su zaključani, s popisima dopuštenih da utvrde na što se i gdje mogu povezati. Za povezivanje s drugim uslugama, administratori se mogu povezati s virtualnim računalima.

Arsenault je također govorio o važnosti uklanjanja lozinki. Već duže vrijeme koristi aplikaciju Authenticator tvrtke i kaže da je važno ne "dopustiti savršenom da bude neprijatelj dobra." Ovdje se zapravo radi o uklanjanju upitnika, rekao je, i iako korisnici ove aplikacije ne vide lozinke, one su i dalje ispod površine (iako će ih za nekoliko godina umjesto njih zamijeniti certifikati). Predložio je da sigurnosni stručnjaci unutar kompanija prestanu razgovarati o MVP-u i umjesto toga započnu razgovor o uklanjanju lozinki, a cilj je da se to ne vidi kao dodatni sloj, već kao nešto što olakšava pristup korisnicima.

• Microsoft odlučuje da ne prekida Firefox / Chrome Instalacije Microsoft odlučuje da ne prekida Firefox / Chrome instalacije
• Izvršni direktor Microsofta potiče inicijativu za otvorene podatke, nova sigurnost u Igniteu Generalni direktor Microsofta potiče inicijativu za otvorene podatke, nova sigurnost na Ignite
• Microsoft Tips New AI, Security for Office, Microsoft 365 Microsoft Tips New AI, Security for Office, Microsoft 365

Ono što me zaista isticalo u razgovoru s Arsenaultom bilo je da većina njegovih ideja - pojednostavljenje alata, premještanje onoga što ima smisla u oblaku, fokusiranje na identitet, kontrola administrativnog računovodstva, prelazak izvan tradicionalnih lozinki - nisu nove, niti čak kontroverzne. Najveći izazov, umjesto toga, čini se zapravo uvođenje ovih stvari na načine koji ne ometaju ostatak vašeg IT otisaka i koji su prihvatljivi - ili čak poželjniji - za vaše krajnje korisnike. U svijetu s više sigurnosnih prijetnji nikada nije važno nastaviti dalje.