2019年05月22日
微軟寫了一篇罕見的文章，詳細介紹了員工在保護自身內(nèi)部基礎(chǔ)設(shè)施方面的工作，就公司如何降低安全泄密風險提供了一些頗有見地的建議。
文章的核心內(nèi)容是微軟在公司應如何處理管理員帳戶方面給出的建議。
據(jù)微軟安全團隊聲稱，擁有管理訪問權(quán)的員工應使用單獨設(shè)備，專門用于管理事務。
微軟表示，該設(shè)備應始終保持版本最新，裝有所有最新的軟件和操作系統(tǒng)補丁。
微軟安全團隊還建議：“默認情況下為管理帳戶提供零權(quán)限。要求管理帳戶請求即時(JIT)權(quán)限，以便允許在有限的時間內(nèi)訪問，并記錄在系統(tǒng)中?！?/span>
此外，這家操作系統(tǒng)開發(fā)商還建議應在無法訪問互聯(lián)網(wǎng)的單獨的用戶命名空間/forest上創(chuàng)建管理員帳戶，應與員工平常的工作身份有所不同。
這樣一來，即便公司的命名空間/forest受到危及，攻擊者也無法輕松訪問管理員帳戶，因為擁有管理員權(quán)限的員工不會將該帳戶用于日常任務。
微軟表示，最后但并非最不重要的是，公司還應阻止遠程執(zhí)行管理任務。
擁有管理帳戶的員工應避免遠程登錄到擁有管理員訪問權(quán)限的設(shè)備來執(zhí)行任何管理任務，因為攻擊者可能會在泄密的設(shè)備上記錄這些事件。
正確的做法是，讓管理員盡可能使用單獨的設(shè)備來執(zhí)行任何管理任務。
遠離密碼
但微軟安全團隊還分享了其他安全方面的建議。微軟一直在內(nèi)部使用，還開始在其產(chǎn)品中推廣的一個建議是，由密碼改為其他身份驗證系統(tǒng)。
微軟安全團隊說：“微軟首次考慮為我們的員工使用多因子身份驗證(MFA)時，我們向每位員工發(fā)放了智能卡。這是一種很安全的身份驗證方法，但是它對員工來說很麻煩?！?/span>
“員工找到了變通方法，比如將工作電子郵件轉(zhuǎn)發(fā)到個人帳戶，這使我們的安全性降低。最終我們意識到棄用密碼是好得多的解決方案。”
從那時起，作為一家公司，微軟一直專注于交付提供密碼替代方案的產(chǎn)品，比如致力于開發(fā)Windows Hello和WebAuthn，這兩項技術(shù)讓用戶可以使用生物特征識別技術(shù)來驗證身份。
此外，微軟還在考慮使密碼更易于管理。上個月，這家操作系統(tǒng)開發(fā)商開始討論在Windows 10安全配置基準設(shè)置中實施“過期密碼策略”。
做出這個決定的初衷是，事實證明，迫使員工更改密碼會促使員工使用更容易記住的較弱密碼，而不是確保員工在使用攻擊者更難破解的強密碼。
為了幫助公司遷移到密碼在其中起到的作用較小的生態(tài)系統(tǒng)，微軟建議公司：
執(zhí)行MFA――遵守快速在線身份(FIDO)2.0標準，那樣你可以要求使用PIN和生物特征識別來驗證身份，而不是使用密碼。Windows Hello是個很好的例子，但請選擇適合貴公司的MFA方法。
減少老式的驗證工作流程――將需要密碼的應用程序放入到單獨的用戶訪問門戶網(wǎng)站，在大多數(shù)時間內(nèi)讓用戶改用現(xiàn)代驗證流程。在微軟，每天只有10%的用戶輸入密碼。
刪除密碼――為Active Directory和Azure Active Directory(Azure AD)確保一致性，讓管理員能夠從身份目錄中刪除密碼。
更好的身份管理
最后但并非最不重要的是，微軟稱公司可以采取的“最被低估的身份管理步驟”是，制定一項圍繞角色而不是圍繞用戶名來設(shè)計的基本的用戶管理計劃。
微軟安全團隊認為，公司應為本組織使用基于角色的訪問計劃，跨諸多角色移動用戶，而不是每當組織內(nèi)的用戶任務發(fā)生變化就為每個用戶帳戶分配權(quán)限。
微軟說：“找出每個角色完成工作所需的系統(tǒng)、工具和資源。確保人們改變角色時，沒有保留不再需要的訪問權(quán)?！?/span>
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運維平臺建設(shè)、動漫設(shè)計、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個視角提供全面、可信的方案，業(yè)務涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務商。