微軟：先助推網絡威脅，再販賣解決方案
RYAN KALEMBER
2021-12-13
2021年2月23日，參議院情報委員會針對SolarWinds受攻擊的聽證會上，微軟總裁布拉德·史密斯出席作證。圖片來源：DREW ANGERER—GETTY IMAGES
最近微軟承諾，未來五年將投入200億美元提供更先進的網絡安全工具，比起2015年以來每年花10億美元增幅顯著。
微軟一直努力成為網絡安全全球領導者，這是走出的最新一步。然而，這項努力盡管看起來很高尚，實際情況卻并非如此。微軟技術是網絡攻擊日益嚴重的重要因素。
業界認為，正因為微軟沒能補上已知漏洞，才導致最近SolarWinds遭到嚴重的黑客攻擊。與此同時，微軟網絡安全部門收入達到100億美元，同比增長40%。這一對比讓人相當不適。微軟可不是網絡安全領域的救星，會不會自己放火燒屋，讓其他公司承擔滅火的費用？
微軟能躋身全球最大企業自然有其原因。科技行業很多最聰明的人才都被其收入麾下。但要說微軟在安全方面的掙扎，并不是什么熱門話題。
2020年，近6000萬用戶受到Office 365發送的惡意消息騷擾。郵件是網絡威脅的首要切入點，不僅微軟客戶，每個人都面臨風險。利用可信實體發送信件，是勒索軟件、網絡釣魚和商業郵件泄露攻擊屢屢得手的重要原因。數百萬封郵件通過Outlook.com等知名域名發送，所以很多能輕松通過安全審核。最近勒索軟件組織利用被攻陷的Exchange服務器實施網絡釣魚攻擊，導致推特（Twitter）網絡安全陷入危機，勒索軟件就曾存放在OneDrive。一些惡意軟件被清理之前已存放幾個月。
不幸的是，漏洞和平臺濫用只是開始。微軟還做了很多極其糟糕的架構決策。活動目錄（Active Directory）、Office宏、PowerShell和其他工具設計幫助一代代惡意軟件危害整個網絡環境，且很難察覺。這也是勒索軟件攻擊從單臺機器擴散至整個組織的主要原因之一。
如今，諸多錯誤在云端重演。只要看看Office 365極其不安全的默認設置就知道。
微軟自我辯護時可能會說，正竭盡全力跟上不斷演變且日益復雜的形勢。而且公平地說，微軟不希望變成安全風險主要原因。微軟旗下Sentinel之類安全產品都非常強大。
但公司政治往往很復雜。如果使命是“幫助全球每家公司實現更多目標”，有時發布有風險的效率功能（比如在Excel里加入JavaScript）就能讓微軟毫無惡意的安全人員無計可施。如果微軟動作慢一點提供更安全的代碼，停用舊功能（如蘋果公司），或迅速幫助龐大的客戶群達到良好的安全標準（如谷歌），其實可以為安全社區做出顯著貢獻。然而實際情況并非如此。
微軟沒有投資數百萬美元堵住漏洞和可能遭利用的配置，而是從中獲利。因此，微軟一面提供漏洞還存儲惡意軟件，另一方面收費“保護”用戶免受漏洞和威脅影響。再加上微軟提供全球最廣泛的事件響應，簡直就是縱火犯、消防部門和建筑檢查員三合一。
好消息？現在很多企業不再依賴微軟，更注重保護用戶和環境。大多數安全負責人不愿把所有雞蛋放在微軟的籃子里，但IT專業人士即便面對大供應商，都應該提出期望和要求，要求對方盡可能降低安全風險。（財富中文網）
本文作者瑞恩·卡倫貝爾在信息安全從業超過20年，目前在Proofpoint負責網絡安全戰略。他是業界權威的領導者，也經常對違規行為和最佳實踐發表評論。卡倫貝爾除了是全球首席信息安全官們值得信任的顧問，也是美國國家網絡安全聯盟（National Cyber Security Alliance board）委員會和網絡安全技術咨詢委員會（Cybersecurity Technical Advisory Board）成員。
譯者：梁宇
審校：夏林
最近微軟承諾，未來五年將投入200億美元提供更先進的網絡安全工具，比起2015年以來每年花10億美元增幅顯著。
微軟一直努力成為網絡安全全球領導者，這是走出的最新一步。然而，這項努力盡管看起來很高尚，實際情況卻并非如此。微軟技術是網絡攻擊日益嚴重的重要因素。
業界認為，正因為微軟沒能補上已知漏洞，才導致最近SolarWinds遭到嚴重的黑客攻擊。與此同時，微軟網絡安全部門收入達到100億美元，同比增長40%。這一對比讓人相當不適。微軟可不是網絡安全領域的救星，會不會自己放火燒屋，讓其他公司承擔滅火的費用？
微軟能躋身全球最大企業自然有其原因。科技行業很多最聰明的人才都被其收入麾下。但要說微軟在安全方面的掙扎，并不是什么熱門話題。
2020年，近6000萬用戶受到Office 365發送的惡意消息騷擾。郵件是網絡威脅的首要切入點，不僅微軟客戶，每個人都面臨風險。利用可信實體發送信件，是勒索軟件、網絡釣魚和商業郵件泄露攻擊屢屢得手的重要原因。數百萬封郵件通過Outlook.com等知名域名發送，所以很多能輕松通過安全審核。最近勒索軟件組織利用被攻陷的Exchange服務器實施網絡釣魚攻擊，導致推特（Twitter）網絡安全陷入危機，勒索軟件就曾存放在OneDrive。一些惡意軟件被清理之前已存放幾個月。
不幸的是，漏洞和平臺濫用只是開始。微軟還做了很多極其糟糕的架構決策。活動目錄（Active Directory）、Office宏、PowerShell和其他工具設計幫助一代代惡意軟件危害整個網絡環境，且很難察覺。這也是勒索軟件攻擊從單臺機器擴散至整個組織的主要原因之一。
如今，諸多錯誤在云端重演。只要看看Office 365極其不安全的默認設置就知道。
微軟自我辯護時可能會說，正竭盡全力跟上不斷演變且日益復雜的形勢。而且公平地說，微軟不希望變成安全風險主要原因。微軟旗下Sentinel之類安全產品都非常強大。
但公司政治往往很復雜。如果使命是“幫助全球每家公司實現更多目標”，有時發布有風險的效率功能（比如在Excel里加入JavaScript）就能讓微軟毫無惡意的安全人員無計可施。如果微軟動作慢一點提供更安全的代碼，停用舊功能（如蘋果公司），或迅速幫助龐大的客戶群達到良好的安全標準（如谷歌），其實可以為安全社區做出顯著貢獻。然而實際情況并非如此。
微軟沒有投資數百萬美元堵住漏洞和可能遭利用的配置，而是從中獲利。因此，微軟一面提供漏洞還存儲惡意軟件，另一方面收費“保護”用戶免受漏洞和威脅影響。再加上微軟提供全球最廣泛的事件響應，簡直就是縱火犯、消防部門和建筑檢查員三合一。
好消息？現在很多企業不再依賴微軟，更注重保護用戶和環境。大多數安全負責人不愿把所有雞蛋放在微軟的籃子里，但IT專業人士即便面對大供應商，都應該提出期望和要求，要求對方盡可能降低安全風險。（財富中文網）
本文作者瑞恩·卡倫貝爾在信息安全從業超過20年，目前在Proofpoint負責網絡安全戰略。他是業界權威的領導者，也經常對違規行為和最佳實踐發表評論。卡倫貝爾除了是全球首席信息安全官們值得信任的顧問，也是美國國家網絡安全聯盟（National Cyber Security Alliance board）委員會和網絡安全技術咨詢委員會（Cybersecurity Technical Advisory Board）成員。
譯者：梁宇
審校：夏林
Microsoft recently committed $20 billion over the next five years to deliver more advanced cybersecurity tools—a marked increase on the $1 billion per year it’s spent since 2015.
This is yet another step in Microsoft’s quest to position itself as the global leader in cybersecurity. But while this may appear a noble endeavor, all is not quite as it seems. Microsoft technology is a significant contributing factor in increasingly devastating cyberattacks.
The company’s failure to shore up known vulnerabilities is believed to have exacerbated the recent SolarWinds hack. Meanwhile, its cybersecurity arm has seen 40% growth year on year, with revenues reaching $10 billion. This makes for a rather uncomfortable dichotomy. Far from a cybersecurity savior, is Microsoft effectively setting the house on fire and leaving organizations with the bill for putting it out?
There’s a reason why Microsoft is one of the largest companies in the world. Many of the brightest minds in tech have passed through its doors. But it’s no hot take to say it struggles with security.
Malicious messages sent from Office 365 targeted almost 60 million users in 2020. With email being the No. 1 point of entry for cyber threats, this puts everyone at risk, not just Microsoft customers. Delivery from a trusted entity is critical to successful ransomware, phishing, and business email compromise attacks. With millions of messages sent from gold-plated domains like Outlook.com, many are sure to get through. Cybersecurity Twitter was recently aflame when ransomware groups sent out phishing attacks from compromised Exchange servers, pointing to malware hosted on OneDrive. Some of that malware stayed there for months before being taken down.
Unfortunately, vulnerabilities and platform abuse are just the beginning. Microsoft has also made many catastrophic architectural decisions. The design of Active Directory, Office macros, PowerShell, and other tools has enabled successive generations of threat actors to compromise entire environments undetected. This is one of the primary reasons why ransomware attacks spread from single machines to entire organizations unchecked.
Now, many of these mistakes are being repeated in the cloud. We only need look at the horribly insecure default configuration of Office 365 for evidence of that.
In its defense, Microsoft would likely say it is doing all it can to keep up with the fast pace of a constantly evolving and increasingly sophisticated threat landscape. And, in fairness, it was not the company’s intention to become a leading contributor to security risk. Many of Microsoft’s security products, like Sentinel, are very good.
But corporate politics are complex. When your mission is to “empower every organization on the planet to achieve more,” sometimes shipping a risky productivity feature (like adding JavaScript to Excel) will ride roughshod over Microsoft’s army of well-intentioned security professionals. If the company was moving slower to ship more secure code, discontinuing old features (like Apple), or trying to get its massive customer base to a great security baseline faster (like Google), it could do amazing things for the security community. But it’s not.
Rather than investing millions into preventing vulnerabilities and exploitable configurations, Microsoft is instead profiting from their existence. So with one hand, the company ships vulnerabilities and hosts malware, and with the other, it charges to “protect” users from those same vulnerabilities and threats. Add in the world’s most extensive incident response practice, and Microsoft is the arsonist, the fire department, and the building inspector all rolled into one.
The good news? Many organizations are now looking beyond Microsoft to protect users and environments. Most security leaders are reluctant to put all their eggs in a Microsoft basket, but all IT professionals should both expect and demand that all their vendors, even the big ones, mitigate more security risk than they create.
With over 20 years of experience in the information security industry, Ryan Kalember currently leads cybersecurity strategy for Proofpoint and is a sought-out expert for leadership and commentary on breaches and best practices. In addition to serving as a trusted adviser to CISOs worldwide, Mr. Kalember is a member of the National Cyber Security Alliance board and the Cybersecurity Technical Advisory Board.
