如果我們把癌癥視為人類健康的頭號(hào)敵人，那么信息安全問(wèn)題則可以視為人類在數(shù)字生存領(lǐng)域的“癌癥”。如果我們不能構(gòu)建一個(gè)可信的計(jì)算環(huán)境，那么當(dāng)人類把越來(lái)越多的工作和生活架構(gòu)在數(shù)字世界里，這一切將變得越來(lái)越危險(xiǎn)。
來(lái)自微軟剛剛公布的安全研究報(bào)告顯示，在美國(guó)、英國(guó)、法國(guó)和意大利，特洛伊木馬是最大的威脅類別；在中國(guó)，有多種特定語(yǔ)言的基于瀏覽器的威脅普遍存在；在巴西，以網(wǎng)上銀行為目標(biāo)的惡意軟件普遍存在；在西班牙和韓國(guó)，則以蠕蟲(chóng)病毒為主。如同人類需要不斷去對(duì)抗非典、甲流等一系列新疾病的威脅一樣，在數(shù)字信息世界里，我們也必須構(gòu)建一個(gè)強(qiáng)大防御體系，抵御各種威脅，保證信息的安全。要做到這一切，從廠商到用戶到產(chǎn)業(yè)生態(tài)系統(tǒng)每一個(gè)環(huán)節(jié)的企業(yè)需要聯(lián)起手來(lái)，從我做起。
目前，微軟成為在安全層面投入最多的廠商之一。2009年微軟在整個(gè)研發(fā)上總共投入95億美金，其中1/3是花在安全上，包括改進(jìn)產(chǎn)品安全，彌補(bǔ)已有產(chǎn)品的漏洞等等，共30億美金。剛剛問(wèn)世不久的Windows7在安全與效率方面實(shí)現(xiàn)了非常好的平衡。除了對(duì)自身產(chǎn)品安全性進(jìn)行重大投資，微軟安全戰(zhàn)略官裔云天近日透露，從2010年開(kāi)始微軟還將進(jìn)一步加大對(duì)產(chǎn)業(yè)生態(tài)系統(tǒng)安全的投資，推動(dòng)整個(gè)產(chǎn)業(yè)生態(tài)系統(tǒng)構(gòu)建一個(gè)更為安全的可信計(jì)算環(huán)境。
加大投入改善自身產(chǎn)品的安全性
2001年發(fā)生的9·11 事件給全世界敲響了警鐘：如果我們?cè)诎踩喜荒軌蛲度敫�，那么我們花費(fèi)巨大人力物力構(gòu)建起來(lái)的巍然大廈將有可能毀于瞬間。也正是9·11事件，提醒了當(dāng)年在微軟公司任董事長(zhǎng)的比爾·蓋茨，微軟必須推動(dòng)可信計(jì)算戰(zhàn)略，否則微軟持續(xù)了30多年的龐大數(shù)字帝國(guó)也將轟然倒塌。
2002年1 月，比爾·蓋茨給微軟員工簽發(fā)了一封關(guān)于可信計(jì)算的電子郵件，號(hào)召微軟員工加倍努力提高安全性。郵件要求公司所有的開(kāi)發(fā)人員停工3個(gè)月，員工在這3個(gè)月中只做一件事情———安全培訓(xùn)。如果開(kāi)發(fā)人員沒(méi)有參與這個(gè)培訓(xùn)，就不能作為合格程序員繼續(xù)在微軟從事產(chǎn)品開(kāi)發(fā)。這個(gè)措施在當(dāng)時(shí)引起了很大轟動(dòng)。一個(gè)龐大的公司停下所有的工作來(lái)專門做安全，足以可見(jiàn)，安全問(wèn)題成為當(dāng)時(shí)比爾·蓋茨心中“最大的痛點(diǎn)”。
從那時(shí)開(kāi)始，安全就如同“緊箍咒”無(wú)形地 “鎖”在微軟公司的每一個(gè)環(huán)節(jié)。要實(shí)現(xiàn)全方位的安全提升，軟件開(kāi)發(fā)成為最初也是最重要的環(huán)節(jié)。在開(kāi)發(fā)環(huán)節(jié)，如果不能把安全性作為最重要的指標(biāo)植入其中，那么以后對(duì)產(chǎn)品安全性所做的彌補(bǔ)都只能是事倍功半的。為此，微軟創(chuàng)立了軟件安全開(kāi)發(fā)生命周期方法論，在軟件開(kāi)發(fā)的每一個(gè)階段全面植入安全DNA，減少了殘留漏洞的可能性。
也正是因?yàn)橥菩辛塑浖_(kāi)發(fā)安全生命周期方法論，從2002年以后，在微軟發(fā)布的產(chǎn)品中，其產(chǎn)品漏洞的數(shù)量開(kāi)始直線下降。
如果我們提出一個(gè)問(wèn)題：微軟操作系統(tǒng)從WindowsXP升級(jí)到WindowsVista，最大的變化是什么？也許有人會(huì)回答操作界面更炫、多媒體功能更為強(qiáng)大，也許有人會(huì)回答是平臺(tái)功能的加強(qiáng)。這些回答當(dāng)然沒(méi)錯(cuò)，但其實(shí)最重要的改變之一是安全功能的提升，也正是因?yàn)橐獙?shí)現(xiàn)安全性前所未有的提升，微軟對(duì) Windows架構(gòu)進(jìn)行了全方位重構(gòu)。
微軟第7期安全研究報(bào)告顯示，2009年上半年，在所有配置中，采用安全內(nèi)核設(shè)計(jì)的微軟操作系統(tǒng)WindowsVista的感染率遠(yuǎn)遠(yuǎn)低于WindowsXP(注：Windows7/WindowsServer2008采用了更為細(xì)化的安全設(shè)計(jì)，系統(tǒng)內(nèi)核級(jí)別比WindowsVista安全級(jí)別更高)，WindowsVistaSP1的感染率比WindowsXPSP3低61.9%。
評(píng)測(cè)機(jī)構(gòu)認(rèn)為：Windows7提供了較為靈活的安全保護(hù)機(jī)制，在安全性、控制和效率3個(gè)方面實(shí)現(xiàn)了平衡。Windows7內(nèi)核的安全機(jī)制是有史以來(lái)最好的，達(dá)到EAL4級(jí)安全認(rèn)證的通用標(biāo)準(zhǔn)和美國(guó)聯(lián)邦信息處理140-2標(biāo)準(zhǔn)。
安全性已經(jīng)成為業(yè)界、用戶考問(wèn)微軟產(chǎn)品的第一個(gè)關(guān)鍵指標(biāo)。也許很多人會(huì)問(wèn)，在比爾·蓋茨和鮑爾默心中，哪些問(wèn)題是他們最關(guān)注的問(wèn)題：產(chǎn)品的創(chuàng)新？公司的股票？競(jìng)爭(zhēng)對(duì)手？未來(lái)的轉(zhuǎn)型？這些當(dāng)然都是，但他們還有一個(gè)更關(guān)注的問(wèn)題就是安全問(wèn)題。如何構(gòu)建一個(gè)更可信的計(jì)算環(huán)境，成為從2002年開(kāi)始一直貫穿在微軟所有創(chuàng)新與商業(yè)活動(dòng)背后的一只“無(wú)形的手”。而目前這只手中所掌控的微軟研發(fā)投入已經(jīng)超過(guò)了總投入的1/3。
投入產(chǎn)業(yè)生態(tài)系統(tǒng)建立可信計(jì)算環(huán)境
研究報(bào)告顯示，從2004年開(kāi)始，在所有的安全漏洞中，與操作系統(tǒng)有關(guān)的漏洞少于9%，而與應(yīng)用軟件相關(guān)的漏洞占了90%～94%。這意味著在大家知道的安全事件中，除了9%是與操作系統(tǒng)有關(guān)外，另外的90%來(lái)自第三方應(yīng)用軟件，應(yīng)用層面更是安全的薄弱地帶。
究其原因，微軟安全戰(zhàn)略官裔云天接受《中國(guó)電子報(bào)》記者采訪時(shí)說(shuō)：“大的操作系統(tǒng)廠商在安全性方面投入了大量的人力物力，整體提高了操作系統(tǒng)產(chǎn)品的安全性，所以對(duì)于黑客來(lái)說(shuō)，攻擊操作系統(tǒng)變得越來(lái)越困難。于是他們就把攻擊目標(biāo)轉(zhuǎn)移到應(yīng)用軟件上，因?yàn)閼?yīng)用軟件大多是由第三方企業(yè)開(kāi)發(fā)的，這些企業(yè)的規(guī)模和實(shí)力不一樣，很多時(shí)候他們優(yōu)先考慮的是功能的實(shí)現(xiàn)，而不是安全性，所以導(dǎo)致了產(chǎn)業(yè)生態(tài)系統(tǒng)上應(yīng)用軟件的薄弱。”
所以不管微軟在自身產(chǎn)品的安全性上投入了多少，這只能解決整個(gè)計(jì)算環(huán)境1/10的問(wèn)題，剩下9/10的問(wèn)題必須由整個(gè)產(chǎn)業(yè)生態(tài)系統(tǒng)的企業(yè)攜手共同推進(jìn)，才有可能構(gòu)建更為安全的可信計(jì)算環(huán)境。微軟已經(jīng)意識(shí)到這一點(diǎn)，開(kāi)始把生態(tài)系統(tǒng)安全納入微軟安全戰(zhàn)略中，并加大了對(duì)業(yè)界合作伙伴、客戶、政府及其他重要團(tuán)體等產(chǎn)業(yè)生態(tài)系統(tǒng)的安全投入力度。
針對(duì)政府層面，微軟在全球推出了政府安全計(jì)劃(GSP)源代碼協(xié)議，使政府及其指定單位以可控的方式查看微軟主流操作系統(tǒng)和 Office軟件的源代碼以及相關(guān)的技術(shù)信息，由此增強(qiáng)政府對(duì)Windows平臺(tái)安全性的了解和信心。2003年，微軟把這項(xiàng)計(jì)劃帶到中國(guó)，與中國(guó)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心(CNITSEC)簽署了微軟與政府安全計(jì)劃(GSP)源代碼協(xié)議。據(jù)透露，2009年微軟在發(fā)布Windows7前的一個(gè)星期，就向中國(guó)政府開(kāi)放了windows7的源代碼，在幾個(gè)星期前，微軟也向中國(guó)政府開(kāi)放了WindowsSer-ver2008相關(guān)源代碼。
道高一尺魔高一丈，信息安全的“防守”與“攻擊”雙方永遠(yuǎn)處于博弈的狀態(tài)。對(duì)于防御的一方來(lái)說(shuō)，需要在各個(gè)層面布下天羅地網(wǎng)來(lái)應(yīng)對(duì)“攻擊”方制造的種種挑釁，除了采取更好的防御措施，還必須建立快速便捷的修復(fù)處理機(jī)構(gòu)，一旦有了問(wèn)題能夠及時(shí)提供相關(guān)的修復(fù)服務(wù)。在防御與應(yīng)急響應(yīng)方面，微軟與不同層面的合作伙伴展開(kāi)了合作。2009年7月，微軟與中國(guó)國(guó)家信息中心、中國(guó)信息安全評(píng)測(cè)中心聯(lián)合推出政務(wù)終端安全護(hù)理方案，在中央和地方進(jìn)行兩級(jí)部署，向政府部門和企事業(yè)單位提供全方位的安全護(hù)理服務(wù)。此外微軟也與中國(guó)安全廠商結(jié)為伙伴積極參與到由中國(guó)公安部牽頭的國(guó)家關(guān)鍵系統(tǒng)的等級(jí)保護(hù)項(xiàng)目中。
在微軟的操作系統(tǒng)之外還有著龐大的產(chǎn)業(yè)生態(tài)系統(tǒng)，如何推動(dòng)整個(gè)產(chǎn)業(yè)生態(tài)系統(tǒng)以更為科學(xué)而安全的方法來(lái)進(jìn)行軟件開(kāi)發(fā)同樣是一個(gè)巨大的課題。目前微軟正在中國(guó)免費(fèi)推廣安全開(kāi)發(fā)生命周期方法論，希望更多的ISV與軟件合作伙伴、用戶受惠于這套方法論。接受過(guò)微軟安全開(kāi)發(fā)生命周期培訓(xùn)的中國(guó)海關(guān)信息中心王先生說(shuō)： “我們亟須一套科學(xué)的軟件開(kāi)發(fā)流程，來(lái)加強(qiáng)并保證開(kāi)發(fā)出的軟件的安全性。微軟安全開(kāi)發(fā)生命周期方法論的培訓(xùn)對(duì)于國(guó)內(nèi)軟件開(kāi)發(fā)者以及企業(yè)的CIO們，都具有重要的啟發(fā)意義。這套方法論讓我們明白，安全的產(chǎn)品是設(shè)計(jì)出來(lái)的，而且必須經(jīng)過(guò)嚴(yán)格的流程控制才可能交付一個(gè)更安全的產(chǎn)品。”
裔云天表示，在2010年，微軟將更大規(guī)模地推動(dòng)產(chǎn)業(yè)生態(tài)系統(tǒng)的安全建設(shè)，尤其是在對(duì)ISV以及相關(guān)軟件開(kāi)發(fā)人員的培訓(xùn)上，將借助微軟與中國(guó)國(guó)家發(fā)改委、教育部、工業(yè)和信息化部合作的相關(guān)配選項(xiàng)目渠道，把安全開(kāi)發(fā)軟件生命周期方法論惠及中國(guó)軟件產(chǎn)業(yè)生態(tài)系統(tǒng)。
進(jìn)入論壇>>聲明：IT商業(yè)新聞網(wǎng)登載此文出于傳遞更多信息之目的，并不意味著贊同其觀點(diǎn)或證實(shí)其描述。文章內(nèi)容僅供參考。新聞咨詢：(010)68023640.推薦閱讀
Windows 7 SP1初步成型 即將進(jìn)行外部測(cè)試
微軟去年10月剛剛發(fā)布Windows7，市場(chǎng)反映良好，用戶的升級(jí)熱情也較高。但對(duì)于大企業(yè)用戶而言，通常還要等到SP1。 1月6日消息，據(jù)國(guó)外媒體報(bào)道，知情人士透露，Windows 7 SP1已經(jīng)初步成型，微軟可能很快將提供外部測(cè)試>>>詳細(xì)閱讀
本文標(biāo)題：微軟：營(yíng)造可信計(jì)算環(huán)境 構(gòu)建安全生態(tài)系統(tǒng)
地址：http://m.sdlzkt.com/a/xie/20111230/196001.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示