关于微软内部的信息安全简介

本页内容

	摘要
	网络外围
	网络内部
	关键资产
	监视和审核

摘要

微软的企业规模庞大，结构复杂，并且不断发生着变化。微软 IT 部门的独特使命就是在早期 beta 阶段部署企业软件的同时，运行一个在全球拥有 90,000 名用户、300,000 台设备和 400 个站点的环境。微软环境在安全方面，不断面临大量潜在的安全漏洞，需要他们去了解、整理和解决。

易受攻击或遭到破坏的企业级 IT 环境很容易就会在生产效率方面，造成上百万美元的损失，另外还会引发诉讼费，导致数据被盗用，散失信赖度。

微软 IT 部门通过风险评估、策略制定、控件实施、审核和测量，将各个网络的内在风险控制在一个可接受的水平上。仅由约 110 名全职员工组成的微软公司安全小组，通过识别富成本效益的安全控制，并将风险缓解措施划分为四个优先级别（将在下面几章中详细介绍），实现了全面的深层安全防御。

有关详细信息，请参阅 IT Showcase 白皮书“微软 IT 安全概述”：http://www.microsoft.com/technet/itsolutions/msit/security/mssecbp.mspx .

网络外围

网络外围安全策略的目标是阻止攻击，拒绝入侵者和恶意代码轻松地访问网络。

收益

远程用户

背景

在全世界，有超过 65,000 名微软工作人员访问公司，每周建立的远程连接数量高达 250,000 个。由于远程访问越来越容易受到入侵，未受控的设备——不受微软 IT 部门控制的设备——会危及整个网络的安全。

解决方案

微软 IT 部门通过要求提供智能卡和 PIN 并利用现有的公钥基础结构 (PKI)，实现了双因素身份验证，并且仅允许符合安全要求的设备，执行远程访问。

经验教训与最佳实践

无线访问

背景

较高的全球公司无线连接要求，在 4,000 多个无线访问点上，分布有超过 30,000 名员工。

解决方案

微软 IT 部门通过计算机和用户帐户证书，采用了独特的用户身份验证和无线网络及会话加密，从而保护网络资产。

经验教训与最佳实践

消息传递

背景

电子邮件攻击日益猖獗，威胁到了消息传递资源和企业网络。与此同时，移动电子邮件访问要求服务器访问 Internet 和公司网络。

背景

通过一种分层方法和深层防御策略，最小化允许传入的电子邮件，在所有设备上运行防病毒软件，并将面向 Internet 的系统放置在防火墙后方，从而管理垃圾邮件、病毒风险和直接的 Internet 攻击带来的威胁。

经验教训与最佳实践

Extranet

背景

微软 IT 部门维护着连接到 30,000 家商业合作伙伴的多个 Extranet 环境。微软 IT 部门不仅面临数量庞大的供应商网络及各种各样体系结构的挑战，而且因为某些网络不符合微软 IT 部门的安全标准、帐户管理和设备安全要求，而造成安全漏洞。

解决方案

在供应商网络上，对服务进行审核、淘汰、迁移和修补（包括由微软 IT 部门管理的连接和帐户），从而遵守有关策略和原则。

经验教训与最佳实践

网络内部

对于网络外围以内的安全而言，目标就是有效地管理客户端和服务器配置、用户帐户和策略。

收益

帐户

背景

每台服务器上都存在多个本地管理员帐户，存在具有较高权限的帐户，应用程序服务可访问网络资源，而且仍使用域级帐户，并造成了安全漏洞。这些安全漏洞会造成许多其它帐户、密码和服务器暴露的风险。

解决方案

通过整合多个帐户，让应用程序服务改用操作系统帐户（Microsoft Windows 2000 或更新的版本），并根据需要建立双因素身份验证，改善管理员帐户模型。

经验教训与最佳实践

密码

背景

入侵者利用弱密码及空白密码，对网络资源进行未经授权的访问。

解决方案

运用一个自动化流程，识别出弱密码，并将其重置为强密码。

经验教训与最佳实践

分段

背景

用于产品测试、调试或专用实验室且不隶属于微软 IT 部门的监视和软件更新机制的非受控设备，会对受控的计算机群带来风险。

解决方案

通过 Internet 协议安全 (IPsec) 的逻辑分段将网络中的设备大致分为两类：受控或非受控。

经验教训与最佳实践

关键资产

微软 IT 部门可确保关键数字资产的安全，并定期检查它们的存储位置，以便发现安全漏洞。

收益

源代码

背景

微软在管理源代码方面，所面临的挑战包括不一致的流程、数量过多的基础结构以及未经授权的用户可能危及数据的完整性和机密性。

解决方案

实施一个采用专业管理方式的、一致的集中式企业级服务，通过遵循安全原则的方式，管理源代码。

经验教训与最佳实践

域控制器

背景

许多服务器上存在着混合的基础结构、用户和工具服务。

解决方案

定期审查支持域控制器的服务器，确认正确的最低服务配置。

经验教训与最佳实践

应用程序

背景

与大多数全球性企业一样，微软依赖数量庞大的（超过 1,000 个）业务线 (LOB) 应用程序，在复杂的操作和法律环境中，处理有关业务的敏感数据和机密的员工信息。

解决方案

微软 IT 部门开展了应用程序安全保障计划 (ASAP)，清查、评估和解决 LOB 安全漏洞。ASAP 提供了指导原则，并推动了对于标准和规范的满足。

经验教训与最佳实践

监视和审核

微软 IT 部门的目标之一就是不断满足规范标准，并提高监视和审核工具的效率。

收益

入侵检测

背景

微软公司频繁地遭受各种网络攻击，每月遇到的入侵尝试、探测和扫描攻击超过了 100,000 次。

解决方案

微软 IT 部门实施了一种多层策略：一个用于监视入侵尝试的外部入侵检测系统 (IDS)（Network IDS 或 NIDS）和一个用于检测漏洞的内部入侵检测系统（Host IDS 或 HIDS）。微软 IT 部门的解决方案采用了第三方工具（如：Internet Security Systems 公司的 RealSecure）以及内部开发的工具、代理流量监视和防病毒软件。

经验教训与最佳实践

安全问题管理

背景

微软 IT 部门不断面临着一个挑战，即推动标准规范的满足，并管理所有微软环境的修补，包括网络设备、主机、应用程序、信任和帐户。

解决方案

实施一个有系统的安全问题管理流程，促使各个环境能够承担可接受的风险级别。

经验教训与最佳实践

安全修补程序管理

背景

定期发布更新，修复操作系统和用户应用程序中的漏洞。统一且及时的更新安装对于维护安全合规性，具有关键的意义。

解决方案

将 SMS 2003 用作首要的工具，跟踪并实施合规性。

经验教训与最佳实践