受疫情影響，全球數(shù)字化轉(zhuǎn)型進程加快，越來越來的企業(yè)和個人開始采用遠程辦公、在線服務的方式滿足日常的工作、生活和學習需求。然而，數(shù)字技術(shù)是"一把雙刃劍"!

處于變革中的新IT時代

在5G、云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動設備等助力下，人類可以全力擁抱萬物互聯(lián)新世界，體驗數(shù)字時代帶來的方便與快捷;但如果這些領先的技術(shù)和應用沒有納入安全管理范圍內(nèi)，無疑給黑客或者別有用心之人送去 "打開自家防盜門的鑰匙"，造成的損失和后果不可想象，這可能也是很多企業(yè)都在重視安全管理的最根本原因。

2020年5月，Cybersecurity Insiders發(fā)布了一份報告，針對413個不同行業(yè)的CIO、ITC、CSO進行了調(diào)研。數(shù)據(jù)顯示，疫情前有63%的企業(yè)可以遠程辦公，但是遠程辦公的員工數(shù)不到1/4;現(xiàn)在75%的企業(yè)可以遠程辦公，但員工數(shù)已經(jīng)超過了3/4。這說明，遠程辦公已真正成為"剛需"!但是，從安全的角度看，70%的企業(yè)沒有做好充分準備，面臨著文件共享(文件被偷)、網(wǎng)頁應用(網(wǎng)頁被攻擊)，還有視頻會議被黑、惡意軟件、釣魚軟件，以及未經(jīng)授權(quán)的訪問等風險。

為什么傳統(tǒng)IT時代，安全防護問題看上去非常簡單，而數(shù)字化時代的安全問題反而越來越多?答案是：企業(yè)IT處在變革當中，安全問題也在不斷演化!

正如微軟全渠道事業(yè)部首席技術(shù)官(CTO)徐明強 博士 所言，企業(yè)安全無小事，安全問題從來都不簡單! 只不過，在傳統(tǒng)IT時代，企業(yè)的資源、服務器、桌面都是在一個相對固定的物理機中，所以維護方式相對容易。之后，隨著企業(yè)數(shù)字化轉(zhuǎn)型的深入，企業(yè)想在多方面發(fā)力，全面提升運營效率，具體做法是：提升客戶體驗、賦能員工、優(yōu)化運營以及改善自己的產(chǎn)品和服務。

只是，提高員工辦公效率，會產(chǎn)生很多SaaS應用，包括很多企業(yè)會以外包的形式，通過影子IT應用，獲得最好的移動體驗。同時，為了優(yōu)化運營模式，也會通過物聯(lián)網(wǎng)的方式把更多的"物"連上了"網(wǎng)"，并且采用多云技術(shù)來搭建企業(yè)網(wǎng)絡。這時候，企業(yè)的邊界被最大化拓寬，企業(yè)的資源到底在哪里，已經(jīng)不是一兩句話能說清楚的事兒。

問題是，在企業(yè)IT飛速發(fā)展的二十多年時間里，作為世界頂尖級公司的微軟，在做什么?如何看待今天云時代的變化?我們有必要先了解下微軟安全的前世今生!

微軟安全的前世今生

提到微軟安全，我們首先會想到Windows。最早，很多人認為Windows沒有Linux安全，后來Windows的安全問題越來越少了，微軟是怎么做到的呢?

直到徐明強加入微軟后才了解到，Windows 每年的漏洞看似總比其他的操作系統(tǒng)多，是因為Windows的市場份額遠比其他操作系統(tǒng)大得多，是被黑客鎖定攻擊的主要對象。當然，Windows的安全問題變得越來越少了，也確實是自身產(chǎn)品能力不斷提升的結(jié)果。

具體而言，微軟安全的發(fā)展歷程大概分為三個階段：

第一階段，大概在2003年，微軟發(fā)布了Windows XP和Windows Server，使用了新的安全威脅模型，使得產(chǎn)品安全問題再上新臺階，自然也少了很多漏洞問題。

第二階段，時間進入2010年，也是移動和云為先的時代，企業(yè)的數(shù)據(jù)被分布在公有云、私有云、以及移動設備上。于是，企業(yè)的安全策略也相應地擴展到IaaS服務、PaaS服務，以及SaaS服務上。

第三階段，截止到2018年，微軟發(fā)現(xiàn)只考慮IoT、移動設備、辦公設備、云上服務器解決方案，包括完善IaaS、SaaS、PaaS服務層面還不夠，無法應對現(xiàn)代化技術(shù)下的全方位、立體式攻擊。比如：當一個服務器的數(shù)據(jù)丟了，同時某個人被釣魚郵件攻擊，兩者之間是否存在某種關(guān)系?如果基于立體模型去思考，就可以把所有信息進行關(guān)聯(lián)，做到快速、精準地進行分析，找到問題點。

安全威脅模型STRIDE

至于，微軟早期的安全威脅模型到底是什么?發(fā)揮了哪些關(guān)鍵作用?

"用來了解系統(tǒng)安全威脅，明確這些威脅到底有怎樣的風險，并建立適當緩解措施的流程。" 徐明強認為，安全問題要具體量化出來，不能眉毛胡子一把抓，遇到問題要有具體的解決措施。

有一句話叫做"一張圖勝過千言萬語"，只有把系統(tǒng)和網(wǎng)絡之間的問題畫出來，才能找到系統(tǒng)的弱點，更好地進行分析。以一個家庭為例，除了戶主，門里面的床、保險柜等都是安全資產(chǎn)，如果建立一個模型，就知道從門進入家里，把資金放到保險柜，再到床上休息，會有一個信任邊界，門外的世界不可信任，所以這個門要有把關(guān)。所以，一個優(yōu)秀的系統(tǒng)，要具備身份驗證性、整個系統(tǒng)的完備性，以及不可否認性。

因為，黑客做的任何手腳，都會留下犯罪痕跡，如果系統(tǒng)缺少不可否認性，黑客進來后會把所有的蹤跡包括日志都抹掉，導致我們找不到蹤跡。另外，保密性和可用性也很重要，有時候黑客不拿你的東西，但是攻擊你，讓服務無法被別人訪問，導致服務的可用性出現(xiàn)問題。最后一個關(guān)鍵點，是授權(quán)，什么樣的人訪問什么樣的數(shù)據(jù)，需要明確定義。

事實上，上述這些問題都可以根據(jù)STRIDE威脅模型進行分析。所謂STRIDE ，其實是全生命周期安全問題管理的組合。S，是Spoofing，指身份假冒;T，是Tampering，即篡改信息數(shù)據(jù);R，指Repudiation，即否認，把自己的痕跡擦干凈，表明自己沒有來過;I，指Information Disclosure信息泄露;D，是Denial of Service，即拒絕服務，我們經(jīng)常聽到的DDoS攻擊(分布式拒絕服務攻擊)就是其中一個變種;E，是很可怕的Elevation of Privilege授權(quán)提升，比如一個賬號剛進來的時候沒有太多特權(quán)，于是他想升級，因為在他打開你的保險箱拿東西的時候需要一個鑰匙，他必須升級后，獲得管理員權(quán)限，拿到很多鑰匙。這時，很多的信息、安全資產(chǎn)會面臨威脅。

以基于Windows構(gòu)建的HPC Server2008為例，會通過調(diào)度器(Scheduler)分任務給不同節(jié)點，這是典型的分布式軟件架構(gòu)，Hadoop、Kubernetes都是類似的架構(gòu)。從一個阻截點控制訪問請求，然后把這些請求分布到其他的節(jié)點上面去。期間，會有客戶端請求，需要指定的數(shù)據(jù)庫存放信息和一些動態(tài)日志等等。在模型構(gòu)建的時候，需要把每個邊界畫清楚，包括節(jié)點的邊界，數(shù)據(jù)、應用進程的邊界等等，都要標注好，寫出來。

一旦遇到不可控的風險，STRIDE會通過調(diào)度器宕機把Service停掉，這便是Denial of Service。當威脅非常多，有信息泄露的威脅，有修改、篡改信息的威脅，還有拒絕服務等，其中會有緩解的步驟 。

移動及云計算時代的全面安全

憑借安全威脅模型STRIDE，微軟在本地的服務器端，或者說在自己的私有云環(huán)境，已經(jīng)做到絕對的安全。但是，面對移動及云計算時代，企業(yè)的應用環(huán)境越來越復雜，移動設備變得越來越多，每個設備上都可能會有不被信任的IT應用，安全防護問題如何應對?

微軟的做法是，建立更加全面的網(wǎng)絡運營中心，做一個"勤商"。微軟非?？粗厝蚋鱾€地區(qū)的信息安全合規(guī)問題，比如ISO 27001、中國的等級保護3.0以及建立可信云等，微軟都會隨時跟進、定期更新。

除此之外，微軟自己建了一個網(wǎng)絡運營中心，隨時監(jiān)控各個地區(qū)的安全情況。微軟有8500多個全棧安全人員，而兩年前還是3000多個?？梢姡霭踩@事，微軟是認真的，加大了安全投入。

當然，只是物理對抗，這種做法太低級了，微軟采用是數(shù)字化手段實現(xiàn)智能化防護。微軟每天要采集24萬億個全球信號，并且在五年時間里投入了200億美金，用于網(wǎng)絡安全建設。微軟保護了1億多用戶的安全，每天處理和分析24萬億個安全信號，其中包括登錄的信號，別人使用微軟云服務以及微軟終端設備的信號。

在中國，微軟智能云取得了諸多榮譽證書，特別是零信任等方法論推出以后，客戶可以獲得全方位的立體防護。所以，不管是Azure云，還是Office 365，都是用戶深度信賴的應用，可以做到全方位、立體式防護。

企業(yè)安全防護，首先外圍堅固是第一位，要做到門窗隔離，有虛擬網(wǎng)絡、VPN網(wǎng)關(guān)、網(wǎng)絡安全組件等。但是，僅做到外圍堅固還不夠，還要有各種各樣的防火墻、DDoS攻擊的保護。同時，房子里有比較重要的資產(chǎn)時，要設置保險柜，包括要有移動監(jiān)視器、日志監(jiān)控等，這是微軟重點強調(diào)的端到端的防護能力。尤其在云環(huán)境下，企業(yè)既有公有云，也有私有云，如果管理的方法不一致，"喝一口水，挖一口井"，本地有本地的安全管理，云上有云上的安全管理，不但加大安全管理難度，出現(xiàn)漏洞的概率也會增加。

所以，所謂的全方位安全，是指建立統(tǒng)一的架構(gòu)，統(tǒng)一的終端以及全面的云管理策略。具體的實施方案是，把客戶端、企業(yè)私有云端，還包括公有云端、IoT、Windows客戶端、Mac客戶端，以及各種SaaS服務的數(shù)據(jù)集合在一起，讓分散在各處的信息、不規(guī)則的邊界得到最好的防護。另外，還要強調(diào)立體，把安全中心和機器學習等技術(shù)結(jié)合起來，通過安全通信對數(shù)據(jù)進行全面的防護，避免企業(yè)在假陽性事件中浪費時間，錯過發(fā)現(xiàn)真正威脅的時機。