Узрев от години излагащи я на показ хакерски атаки, технологичният гигант основно преразгледа подхода си към киберсигурността. Ръководителите на компанията казва, че вече виждат резултати.
- Споделяне
- Лицензиране
- Добавете ни в Google
След претърпяването на поредица от шумни кибератаки през последното десетилетие, Microsoft съобщава, че новата инициатива за съживяване на нейната култура за сигурност вече дава плодове.
Грешките на технологичния гигант — и очакването, че компания с нейния размер би трябвало да е в състояние да ги предотврати — я превърнаха в боксова круша в общността за киберсигурност. През 2022 г. тийнейджърската киберпрестъпна група LAPSUS$ проникна в системите на компанията. През 2023 г. оператори както от Русия, така и от Китай хакнаха Microsoft при отделни инциденти, открадвайки ценна информация от Държавния департамент и други клиенти. Хакът от страна на Китай подтикна федерален съвет за преглед да отправи остри критики към небрежните практики за сигурност на Microsoft. Дори шпионската кампания SolarWinds от страна на Русия през 2020 г. предизвика недоволство относно ценовите практики на Microsoft. Експерти и законодатели скоро възродиха десетилетни предупреждения, че зависимостта на правителството от Microsoft представлява сериозен риск за сигурността.
За да ограничи щетите, през ноември 2023 г. Microsoft стартира инициативата Secure Future Initiative (SFI), поемайки ангажимент да преразгледа изцяло начина, по който разработва и защитава своя софтуер. Оттогава компанията публикува доклади за напредъка, документиращи промените в нейната култура и технологии, които според нея ще намалят риска от друг голям провал.
Microsoft вярва, че радикално е трансформирала начина, по който служителите се отнасят към киберсигурността. В интервюта миналата седмица в централата на Microsoft в Редмънд, щата Вашингтон, ръководителите на компанията заявиха пред Cybersecurity Dive, че SFI е изчистила голяма част от вътрешното триене около сигурността, което е довело до най-излагащите пробиви на Microsoft.
„Нашите операции [и] продукти трябва да бъдат защитени. Ето как печелим доверието на нашите клиенти“, каза Хамад Раджуб, директор на инициативата. „Трябва да направите това, което трябва да направите, за да пуснете вашите продукти, функции, възможности, но от тази гледна точка сигурността се превръща в нещо, с което почти не може да се прави компромис.“
Култура на киберсигурност и отговорност
Подобряването на киберсигурността изисква ангажираност в цялата компания, а в организация, голяма колкото Microsoft, неизбежно има инженери и мениджъри, които не са съгласни с начина, по който се проявява новият начин на мислене, поставящ сигурността на първо място.
„Основното напрежение е между скоростта и гарантирането на сигурността“, казва Фернандо Монтенегро, вицепрезидент и ръководител на практиката по киберсигурност и устойчивост в The Futurum Group. „Крайните срокове за издаване, натискът от пазара, а сега и надпреварата за внедряване на AI възможности — всичко това действа срещу забавянето в името на сигурността.“
За да се справи с този натиск, екипът зад SFI се е фокусирал върху промяната на културата в Microsoft.
„Това е разговор най-вече за поети задължения и отговорност“, казва Раджуб. „Все още имаме хора, които работят по тези трудни проблеми, и те имат мотивации и предизвикателства, които движат тази работа. Така че културата е голяма, голяма, голяма част от това.“
Раджуб и други в Microsoft бързо посочват указанието на главния изпълнителен директор Сатя Надела, че компанията винаги трябва да избира сигурността, когато е изправена пред двоумение.
По време на среща на ръководството на Microsoft, корпоративен вицепрезидент се оплакал на Надела за компромисите между изразходването на ресурси за по-добра сигурност и изразходването на ресурси за внедряване на функции, които клиентите чакат.
„Без да се колебае“, според Раджуб, „Сатя каза: „Дайте приоритет на сигурността над всичко останало.““
„Когато вашият главен изпълнителен директор казва, че това е вашият приоритет номер едно, и последователно го повтаря отново и отново“, добавя Раджуб, „това води до промяна в поведението.“
Външни индустриални анализатори виждат разлика. Монтенегро каза, че „усилията в рамките на SFI изглежда наистина дават резултат.“
В рамките на Microsoft, Съвет по управление на киберсигурността (Cybersecurity Governance Council), съставен от заместник-CISO (заместници на главния директор по сигурността на информацията) за всяко от основните бизнес направления на компанията — включително Windows, Azure и Microsoft 365 — се среща редовно, за да обсъди най-добрите начини за управление на компромисите, необходими за поставянето на акцент върху киберсигурността.
„Има активни прегледи, при които се провеждат дискусии относно: „Кои функции ще пуснем? Как изглежда подреждането по приоритети?““, казва Раджуб.
По-надолу в организационната структура служителите биват оценявани въз основа на това как постигат този баланс.
„Носите отговорност за решенията, които вземате, а сигурността е приоритет номер едно“, казва Раджуб. „Води ли това до активни дискусии от типа: „Хей, не мога да пусна Х, защото трябва да коригирам Y“? Абсолютно. Постоянно.“
За да намали вероятността неохотни служители да се съпротивляват на тласъка към по-висока сигурност, Microsoft го направи част от годишните им прегледи на представянето, обвързвайки спазването на указанието на Надела с резултати като повишения и увеличения на заплатите. Всеки разговор за оценка на представянето вече включва дискусия за това как служителят е допринесъл за сигурността на Microsoft и нейните клиенти.
„Няма значение [дали] работите в маркетинга, инженерния състав, реагирането на инциденти или продажбите“, казва Раджуб. „Въпросът е същият. … Всеки е стимулиран да гарантира, че дава приоритет на сигурността, защото когато дойде разговорът за представянето, ще ви попитат: „Как помогнахте за постигането на реален напредък в сигурността?““
Инженерите на Microsoft реагират позитивно. Според юлския доклад на компанията за напредъка по SFI, средният резултат за нагласите на служителите относно действията за повишаване на киберсигурността е 88%.
„Виждаме увеличение в позитивната нагласа на тези разработчици“, каза Раджуб. „Те се чувстват добре от осигуряването и приоритезирането на сигурността пред всичко останало, защото след това виждат този страничен ефект на … по-добри резултати за клиентите.“
„Изместваме процеса наляво (Shift left) по отношение на критични области, където задължително трябва да имам одобрение от инженер по сигурността още на етапа на проектиране.“
Корпоративен вицепрезидент, Сигурност на Windows, Microsoft
Промените, документирани в докладите за напредъка по SFI, от валидиране на самоличността до управление на устройствата, „подобряват сигурността в цялата екосистема на Microsoft“, заяви Мерит Максим, вицепрезидент и изследователски директор по сигурност и риск във Forrester. Той обаче добави, че Microsoft ще трябва да се предпази от риска „спешността, особено около изкуствения интелект, тихомълком да ерозира дисциплината [за сигурност], след като вниманието отслабне“.
Али Мелен, главен аналитик по сигурност и риск във Forrester, отправи подобно предупреждение.
„Промените, които са направили досега, са ценни и ще помогнат продуктите на Microsoft да бъдат по-сигурни“, каза тя. „Въпреки това тези промени трябва да останат внедрени и да се подобряват с течение на времето, за да имат наистина дългосрочно въздействие.“
„Изтегляне наляво“ (Shifting left)
Windows е безспорно водещият продукт на Microsoft и този, към когото хакерите се насочват най-много. За да защити по-добре операционната система, Microsoft напълно реорганизира начина, по който експертите по сигурност надзирават нейното разработване.
„Изтегляме се наляво по отношение на критичните области, където задължително трябва инженер по сигурността да одобри още на етап проектиране“ и „наистина ангажираме инженерите по сигурността на много ранен етап“, каза Дана Хуанг, корпоративен вицепрезидент за Сигурността на Windows.
Старият модел за разработка на софтуер улесняваше това сигурността да бъде на заден план. Даден разработчик пускаше автоматизирани инструменти, като например фазери (fuzzers), за да провери целостта на своя код, и след това се обаждаше на екипа по сигурността седмица преди пускането на продукта, за да каже, по думите на Хуанг: „Дайте ми отметка“. С течение на времето обаче инцидентите с киберсигурността и скандалите с поверителността разкриха проблеми, които автоматизираните инструменти не бяха идентифицирали.
„Част от поуките там бяха, че се ангажирахме твърде късно“, каза Хуанг. „Съществува тесногръдо виждане [между разработчиците] от типа „Не мисля, че това е проблем“, а след това моят инженер по сигурността го поглежда [и казва]: „Не, има проблем.““
Мащабът на разработката на Windows в момента засенчва усилията на Хуанг за „изтегляне наляво“. Дивизията на Windows има 7000 служители, включително 5000 инженери, според Хуанг, докато нейният екип по инженерна сигурност е от „дузина души“. Тя обаче добави, че „увеличава инвестициите“ в надзора върху сигурността на Windows.
Екипът на Хуанг трябва да ограничи амбициите си, твърди Монтенегро. „Дузина души не могат да проверяват работата на 5000 и не трябва да опитват“, каза той. „Тяхната работа е да изграждат стандартите, инструментите и защитените настройки по подразбиране, които екипите [от разработчици] наследяват. Трудната, постоянна част е формирането на стимули и организационна структура, така че екипите да използват тази работа, а не да прехвърлят сигурността върху нея.“
Хуанг вярва, че нейните експерти по сигурност могат разумно да надзирават „три основни области“ от бизнеса на Microsoft, като един от техните основни приоритети е технологията за агентиращ изкуствен интелект (agentic AI) на компанията.
„Имам dedicated главен инженер по сигурността, който се ангажира с екипа, изграждащ базовия слой за агентите“, каза тя. „Не е нужно да гледате всеки един агент. Но тези агенти ще [бъдат] изградени върху някакъв вид платформа.“
От гледна точка на киберсигурността, каза тя, агентиращият изкуствен интелект е „област, която наистина ни е грижа“.
Максим от Forrester каза, че за Microsoft ще бъде особено трудно да надзирава сигурността на изкуствения интелект поради настоящия недостиг на експерти в тази област.
„Задържането на кадри се превръща в истинско предизвикателство тук, тъй като заплащането и възнаграждението за специфични роли в областта на AI могат да затруднят задържането на съществуващия персонал и набирането на нови таланти“, каза Максим. „Това ще се подобри с времето, тъй като все повече хора натрупват квалификации, специфични за AI, но е предизвикателство, с което много предприятия се борят.“
Хуанг призна неотдавнашните грешни стъпки на Microsoft, които включваха зле приетата функция „Recall“, проследяваща всичко, което потребителят прави на компютъра си.
„При голяма компания, [в която] всеки се опитва да направи нещо, в крайна сметка направихме някои неща, които не бяха правилно съгласувани или добре координирани“, каза тя. „От гледна точка на сигурността извлякохме поуки от някои от [грешките].“
Хуанг и нейните колеги, надзираващи други продукти на Microsoft, все още са изправени пред сериозни предизвикателства при щателната проверка на безкрайно море от код. Колкото и голяма разлика да прави Инициативата за сигурно бъдеще (Secure Future Initiative), сложността на продуктите на Microsoft означава, че изследователите постоянно откриват нови недостатъци в тях. Само през последните пет месеца Microsoft разкри най-малко пет сериозни уязвимости в своята платформа за сътрудничество SharePoint.
Добрата новина е, че съществуват стимули, които могат да се използват за укрепване на културата, поставяща сигурността на първо място, като например средното време за отстраняване (MTTR) за проследяване колко бързо се коригират грешките в производствена среда и проследяване на това колко уязвимости се улавят по време на тестване/преди пускане спрямо тези в софтуера в производствена среда.
Максим от Forrester каза, че Microsoft трябва да гарантира, че управлението на риска е основна част от разработването на софтуер, а не последваща мисъл.
Компанията може също така да се възползва от стимули в подкрепа на сигурността, включително проследяване на това колко бързо инженерите отстраняват уязвимости и колко от тези уязвимости прихващат преди пускането, каза той.
Как се промени културата на сигурност в Microsoft
Тласък от сканирането с AI
В допълнение към новите консултации между разработчиците и експертите по сигурност, Microsoft въвежда и нова технология, която да помогне за идентифициране на софтуерни уязвимости. През май компанията обяви внедряването на мулти-LLM агентиращ скенер за код, наречен MDASH, заявявайки, че той вече е открил критични уязвимости за отдалечено изпълнение на код (remote-code-execution) в компоненти на Windows, като например неговия TCP/IP мрежов стек.
Уязвимостите в TCP/IP шокираха разработчиците в Microsoft, според Тесу Ким, вицепрезидент по изследвания в областта на сигурността, който се присъедини към компанията не след дълго, след като екипът му спечели състезанието на DARPA за търсене на уязвимости с AI.
„Никой не вярваше, че [дефектите в TCP/IP са истински], защото: „Ей, този [код] е изключително стабилен, одитирали сме го многократно““, каза Ким. „Но ние открихме и проактивно отстранихме всички тези уязвимости, използвайки MDASH.“
Сега MDASH постоянно сканира „не само това, което пускаме, но и това, което активно изграждаме“, каза Раджуб, „и има въведени мерки за принудително изпълнение, които няма да ви позволят да пуснете кода си, освен ако и докато не отговорите на летвата за сигурност.“
Microsoft използва MDASH и за сканиране на пакети с отворен код, които нейните продукти използват, включително ядрото на Linux и FFmpeg. Въпреки че това са едни от най-щателно проверяваните пакети в света, Ким каза, че MDASH все още открива уязвимости в тях.
Microsoft също така започна да продава MDASH на клиенти, за да могат те да сканират собствените си хранилища с код.
„Носите отговорност за решенията, които вземате, а сигурността е приоритет номер едно.“
Директор, Secure Future Initiative, Microsoft
Прилагане на настройки за сигурност по подразбиране
Като част от усилията си за киберсигурност, Microsoft започна да изисква от клиентите да използват защити, които преди са били по избор. Най-значимото е, че през октомври 2024 г. компанията започна да изисква многофакторна автентификация за своята облачна платформа Azure.
Ръководителите на Microsoft внимателно прецениха промяната с MFA и други преходи към настройки за сигурност по подразбиране, съзнавайки,телно, че обременяващите изисквания могат да навредят на бизнеса.
„Трябва да намерим тази среда“, каза Раджуб.
В периода преди въвеждането на задължението за MFA в Azure, каза той, „голям разговор“ за това да не се „прекъсват работните процеси на клиентите“ е довел до решение да се приложи поетапен подход. Новите акаунти ще трябва незабавно да използват MFA, докато по-старите акаунти ще могат да се възползват от преходен период.
Други промени, насочени към сигурността, включват изключване по подразбиране на потенциално рискови функции. Не всяка организация се нуждае от всяка възможност; някои възможности биха представлявали риск за клиента само ако бъдат оставени активирани, но незащитени. С течение на времето, каза Хуанг, Microsoft откри, че може да деактивира определени функции по подразбиране „и все пак да позволи на хората да преминат към ‚включено‘, ако имат конкретна нужда и разполагат с достатъчно защити“.
Когато клиентите проявят интерес към тези функции, добави тя: „Ние работим с тях, за да им кажем: ‚Или се откажете от тези опасни неща, или имайте конфигурация от политики и защитни механизми, която [показва], че знаете какво правите‘.“