微软公司的安全和隐私努力遭受了一系列的挑战

不爱学习 2024-05-04 20:05:23

在近年来,微软公司的安全和隐私努力遭受了一系列的挑战。从配置不当的端点、不受控制的安全证书,到弱密码,这些问题都导致或有可能导致敏感数据的泄露。微软因其对这些威胁的响应和披露方式受到了安全研究人员、美国立法者和监管机构的批评。

2024年1月,微软披露了一次被黑事件,这次是由俄罗斯支持的黑客组织Midnight Blizzard所为。该组织能够“侵入一个遗留的非生产测试租户账户”,并获得了长达两个月的微软系统访问权限。

所有这些事件最终导致了美国网络安全审查委员会的一份报告,该报告严厉指责微软的“不充分”的安全文化、其“不准确的公开声明”,以及对“可预防”的安全漏洞的反应。

为了扭转局面,微软在2023年11月宣布了一个名为“安全未来倡议”的计划。作为该倡议的一部分,微软今天宣布了一系列计划和对其安全实践的改变,其中包括已经实施的一些改变。

微软安全执行副总裁查理·贝尔写道:“我们正在将安全作为微软的首要任务,高于一切——高于所有其他功能。我们正在扩大SFI的范围,整合来自CSRB的最新建议以及我们从Midnight Blizzard中学到的经验,以确保我们的网络安全方法保持强大并能适应不断变化的威胁环境。”

作为这些变化的一部分,微软还将使其高级领导团队的薪酬部分取决于公司是否“达到我们的安全计划和里程碑”,尽管贝尔没有具体说明执行薪酬将有多少取决于达到这些安全目标。

微软的帖子描述了三个安全原则(“设计之初就安全”、“默认就安全”和“安全运营”)和六个旨在解决微软系统和开发实践中不同弱点的“安全支柱”。公司表示计划使用“安全管理、抗钓鱼的多因素认证”保护100%的用户账户,对所有应用程序和用户账户执行最小权限访问,改进网络监控和隔离,并至少保留两年的所有系统安全日志,等等。微软还计划在不同的工程团队中安排新的副首席信息安全官,以跟踪他们的进展并向执行团队和董事会报告。

至于微软已经实施的具体修复措施,贝尔写道,微软已经“在微软内部的超过100万个Microsoft Entra ID租户中默认实施了多因素认证的自动执行”,“迄今为止在生产和企业租户中移除了730,000个旧的和/或不安全的应用程序”,扩大了其安全日志记录,并采用了Common Weakness Enumeration (CWE)标准进行其安全披露。

除了贝尔的公开安全承诺外,媒体还获得并发布了微软首席执行官萨提亚·纳德拉的一份内部备忘录,该备忘录再次强调了公司对安全的公开承诺。纳德拉还表示,提高安全性应该优先于添加新功能,这可能会影响微软为Windows 11和其他软件发布的不断变化的调整和改变。

纳德拉写道:“国土安全部网络安全审查委员会(CSRB)关于2023年夏季Storm-0558网络攻击的最新发现,强调了我们公司和客户所面临的威胁的严重性,以及我们抵御这些日益复杂的威胁行为者的责任。如果你面临安全与其他优先事项之间的抉择,你的答案很清楚:做安全。在某些情况下,这将意味着优先考虑安全而不是我们做的其他事情,比如发布新功能或为遗留系统提供持续支持。”

0 阅读:1

不爱学习

简介:感谢大家的关注