Microsoft 2019’da güvenliği nasıl yapar?

Microsoft, bu hafta Ignite konferansında çeşitli güvenlik ürünleri açıkladı, ancak öne çıkan şeylerden biri, güvenlik operasyonlarınızı yürütme şeklinizin, çalıştırdığınız ürünler kadar önemli olduğuna inanıyor olmalarıydı.

Microsoft Bilgi Güvenliği Görevlisi Bret Arsenault (en üstte), Microsoft'un kendi güvenlik ortamını ve kendisinin ve müşterileri için güvenliği yönetme yaklaşımını tanımladığı gibi vurgulandı. Şirketin günde 20 milyar güvenlik olayını çözdüğünü söyledi.

Arsenault, "Kullanıcılar hem ilk hattım hem de son savunma hattımdır" dedi ve Microsoft'un 125.000 çalışanı artı 70.000 "rozetli" ortağı olduğunu belirtti. Kullanımdaki işletim sistemlerinin 32 versiyonunu, 500.000 Linux ortamını, her yerde en büyük ikinci Macintosh kurulum üssü olan (Apple ilk önce) ve ardından "N + 1" i içeren bu kadar geniş ve çeşitli bir ortamı yönetmenin muazzam zorluğunu vurguladı. Windows'un sürümü. Başlıca amacının Microsoft ürünlerini kullanmak değil, şirketi korumak olduğunu söyledi.

Arsenault "fırsat ve risk" konusunda çok fazla zaman harcadı ve her zaman erişimin, büyük veri kümelerinin, bulut tabanlı depolamanın ve modern mühendisliğin nasıl birçok fırsat ve önemli güvenlik sorunları yarattığını açıkladı. Örneğin, veri egemenliği önemli bir konudur, çünkü şirket 596 lokasyona sahiptir ve Arsenault sınırları aşabilecek verileri dikkate almalıdır. Siber suçtan elde edilen paranın yasadışı uyuşturucu ticaretinde kazanılan parayı aştığını söyledi. Ayrıca tedarik zinciri ve onu korumak için herhangi bir şirketin yeteneği hakkında endişe duyuyor.

Arsenault, bulut bilişime geçmenin, ağ güvenliği önemli olmasına rağmen, bunun yeterli olmadığını ve “kimliğin yeni çevre olduğunu” belirtti.

Arsenault, hedeflerini basitleştirmenin önemli olduğunu söyleyerek kendi liderlik ilkelerini paylaştı. Üç ana noktası: Bir liderin netlik yaratması, enerji üretmesi ve başarı sağlaması gerekiyor. Netlik konusunda, “mühendislik kalemini bırakıp bir mum boya almanın” yani bir başka deyişle, son kullanıcılar için işleri kolaylaştırmanın önemli olduğunu söyledi. Arsenault, bir mühendislik popülasyonu için çalışan bir mesajın genel kullanıcı tabanı için çalışanlarla karıştırılmaması gerektiğini vurguladı.

Bu amaçla, stratejisini üç ayaklı bir tabure olarak tanımladı: kimlik yönetimi, veri ve telemetri ve cihaz sağlığı.

Başka bir deyişle, Arsenault, hizmetlerden herhangi birine bağlanmak için, biri çok faktörlü kimlik doğrulama ile doğrulanan güçlü bir kimliğe ihtiyacınız olduğunu söyledi. Mükemmel bir kimliğiniz varsa, bağlandığınız cihazın güvenli olduğundan emin olmaya ihtiyacı vardır. Günde 20 milyar etkinlikle, sistemleri takip etmek, geliştirmek ve korumak için mükemmel veri telemetrisine ihtiyacı var.

Arsenault, generalden daha ayrıntılı olana geçerken, bu yıl yatırım için beş ana sütun veya ilke belirlediğini söyledi - risk yönetimi, kimlik yönetimi, cihaz sağlığı, veri ve telemetri ve bilgi koruması - ve bu sütunlar içinde 27 temel hizmet üzerinde. Ayrıca, 18-24 ay süren ve kısa sürede bitecek, tamamlanacak, başarısız olacak ya da gelecekteki çekirdek hizmetler haline gelecek 11 "destan" yazdı. Şirketin güvenlik ihtiyaçları konusunda neye yardım edebileceğini görmek için gelişmekte olan teknolojiye bakan, dokuz veya on kişilik göreceli olarak küçük bir ekibine sahiptir. Arsenault, Microsoft'un 8 yıl önce CISO rolünü üstlendiğinde 80 güvenlik tedarikçisine sahip olduğunu belirtti.

Son birkaç yıldaki önemli bir girişim, iş yükünü Azure'a taşımaktı. Arsenault, şirketin iş yükünün yüzde 95'ini taşıdığını söyledi. Süreç açısından yapılacak ilk şey uygulamaları dikkate almak ve hala ihtiyaç duyup duymadıklarına karar vermek; yaklaşık 2.000 iş kolu uygulamasından Arsenault, Microsoft'un yüzde 30'u elimine edebileceğini söyledi. Yapılacak bir sonraki şey, bir Hizmet Olarak Yazılım çözümüne dönüştürülebilecek uygulamaları bulmak; bu, Microsoft uygulamalarının yaklaşık yüzde 15'inde çalıştı. Kalanlar için bir sonraki adım, tüm uygulamaları sanallaştırmak ve yeni veya basit uygulamalar almak ve bunları Hizmet Olarak Platformuna taşımak, Hizmet için Altyapı tekliflerine "yükseltme ve kaydırma" yapmaktı. diğerleri çoğu.

Bu süreçte, buluta düşündüğünden çok daha fazla uygulama taşındı (Microsoft'un SAP sistemi dahil) ve şirketlerin planladıklarından daha önce PaaS'a taşınması gerektiğini önerdi.

Arsenault, böyle bir çaba sırasında hareket etmeye devam etmenin ve projelerin yarı yolda ilerlemenin sona ermesini durdurarak, projenin etrafında enerji yaratmaya devam etmesinin önemli olduğunu söyledi. İnsanlar sık ​​sık buluta taşınmayacak iş yüklerinin yüzde 5'ini diğer yüzde 95'i yapmamak için bir bahane olarak kullanacaklar ve hareketin gerçekleşmesi için bir aciliyet duygusu yaratmanız gerektiğini söyledi (örneğin bir tarih belirleme gibi) bir veri merkezini kapatmak için).

Ekibinin yarattığı şeylerden biri, her şeyin çalışmasını sağlamak için çeşitli uygulamalardaki 250 kontrolü izlemek üzere tasarlanmış Azure için bir DevOps Araç Takımıydı. Arsenault, grubunun bunu açık kaynaklı olarak sağladığını ve işletme yönetimi için bu ilkelerin yaklaşık 18 ay içinde Azure'a kurulacağına inandığını söyledi.

Arsenault, konuşmasının bir bölümünü, genellikle bir sisteme en fazla erişime sahip olan yöneticileri korumaya odakladı. Daimi yönetici sayısının azaltılması hakkında konuştu; onlara daha az ayrıcalık vermek için ayrı bir kimlik sistemi kullanmak; ve güvenlik görevlerini yalnızca, makineyi sık sık düzleyen ve yeniden inşa eden ve güvenli bir tedarik zinciri kullanarak oluşturulan özel bir görüntüyle "süper güvenli bir cihaz" olarak tanımladığı "güvenli yönetici iş istasyonunda" gerçekleştirmelerini sağlamak. Bu makineler yalnızca site kodunu çalıştırır ve neyi ve nereye bağlayabileceklerini belirlemek için beyaz listelerle kilitlenir. Diğer servislere bağlantılar için yöneticiler sanal makinelere bağlanabilir.

Arsenault ayrıca şifreleri kaldırmanın öneminden de bahsetti. Şirketin Authenticator uygulamasını uzun zamandır kullanıyor ve “mükemmelin iyinin düşmanı olmasına izin vermemenin” önemli olduğunu söyledi. Bu gerçekten istemenin ortadan kaldırılmasıyla ilgili, dedi ve bu uygulamanın kullanıcıları şifreleri görmese de hala yüzeyin altındalar (birkaç yıl içinde bunun yerine sertifikalarla değiştirilebilse de). Şirket içindeki güvenlik uzmanlarının MFA hakkında konuşmayı bırakmalarını ve bunun yerine şifreleri kaldırmaktan bahsetmeye başladığını, bunun amacı bunun ekstra bir katman değil, kullanıcılara erişimi kolaylaştıran bir şey olduğunu söyledi.

• Microsoft, Firefox / Chrome Yüklemelerini Kesmemeye Karar Verdi Microsoft, Firefox / Chrome Yüklemelerini Kesmemeye Karar Verdi
• Microsoft CEO'su Ignite'de Açık Veri Girişimi ve Yeni Güvenlik Zorluyor Microsoft CEO'su Ignite'ta Açık Veri Girişimi, Yeni Güvenlik Zorluyor
• Microsoft İpuçları Yeni AI, Office Güvenliği, Microsoft 365 Microsoft İpuçları Yeni AI, Office Güvenliği, Microsoft 365

Arsenault'un konuşmasında benim için asıl dikkat çeken, fikirlerinin çoğunun - araçlarınızı basitleştirmek, buluta mantıklı hareket etmek, kimliğe odaklanmak, idari muhasebeyi kontrol etmek, geleneksel parolaların ötesine geçmek - yeni değil hatta tartışmalıydı. Bunun yerine en büyük zorluk, aslında bu şeylerin BT ayakizinizin geri kalanına müdahale etmeyen ve son kullanıcılarınız için kabul edilebilir - hatta tercih edilen - şekilde uygulanmasını sağlamak gibi görünüyor. Her zamankinden daha fazla güvenlik tehdidi taşıyan bir dünyada, ilerlemeye devam etmek çok önemlidir.