Microsoft 困境
降低必要工具帶來的風險
如果沒有 Microsoft，個人電腦和網際網路將不會有今天的成就。近五十年来，Microsoft 持續推動運算向前發展，同時也為使用其產品的人們和企業提供支援。從學生到遊戲玩家，從小型企業到跨國公司，從非營利組織到政府機構，Microsoft 的客戶依賴其產品和服務來提升生產力、促進溝通與協作、享受娛樂以及推動業務轉換。
透過促成所有這些變革，Microsoft 已成為全球第二大最有價值的公司。但遺憾的是，這種成功也讓 Microsoft 及其產品成為網路攻擊的主要目標。
正如我們最近在年度網路釣魚趨勢報告中的分析，攻擊者會假冒數百個不同的組織，但他們主要偽裝成我們信任並依賴的實體，來達成其目的。Microsoft 因其廣泛的產品和全球使用者對其的信任，成為全球被假冒次數最多的品牌。
雖然 Microsoft 是主要目標，但它同時也是抵禦攻擊的防禦者。Microsoft 不僅提供軟體應用程式和作業系統，還提供網路安全工具。事實上，Microsoft 365 的收入中有 30% 可歸因於其網路安全功能。
問題在於，Microsoft 工具在單獨應對威脅方面並不是特別有效。
那麼，Microsoft 在我們的網路安全思考中處於什麼位置呢？與我交談的許多安全專業人員都提出了一些具有挑戰性的問題，比如：「Microsoft 是否像特洛伊木馬病毒一樣，讓網路罪犯得以入侵和攻擊我們的網路？還是說 Microsoft 更像是特洛伊城——一個看似防禦森嚴的環境，卻仍然成功地被攻破？」以及「當 Microsoft 深植於我們的預算之中時，誰能對其安全漏洞負責？」。
毫無疑問，Microsoft 環境經常成為攻擊目標，而這些攻擊的後果可能非常嚴重。今年 7 月，中國駭客成功入侵了美國政府機構基於 Microsoft 的電子郵件系統，甚至可能包括美國駐華大使館的辦公室。這是一起重大的信任危機，而這樣的事情已經不是第一次發生了。
今年 8 月，Microsoft 發佈了軟體更新，以修復 Windows 作業系統及相關產品中的 70 多個安全漏洞，其中包括多個正在被利用的零時差漏洞。任何寫過程式碼的人都知道，軟體之所以存在漏洞，是因為它是由人類開發的。但是，大量的星期二修補程式更新卻引出了一個問題：考慮到 Windows 和其他 Microsoft 產品的大規模採用及其固有的漏洞，是否還應該採取更多措施來保護這些系統？
您可能還想知道：Microsoft 產品中的漏洞是否真的能透過更多的 Microsoft 產品來有效解決？如果網路攻擊者能夠成功利用 Microsoft 產品的漏洞，那我們憑什麼相信同一公司提供的修補程式和更新能夠防止未來的入侵呢？
重新思考 Microsoft 安全性策略
對於大多數組織而言，我們在日常工作中過於依賴 Microsoft 的軟體，因此無法輕易放棄它們。例如，我們不可能因為認為 Microsoft 的安全性產品能力不足，就停止使用 Microsoft Word、Excel、PowerPoint、Exchange 或 SharePoint。
儘管如此，我們大多數人仍然需要更好的方法來保護基於 Microsoft 的工具和環境免受攻擊，因為攻擊不會停止。
加強保護的第一步是停止主要或完全依賴 Microsoft 產品來解決安全問題。Microsoft 發佈了一個共同責任模型，根據堆疊的部署類型，說明了 Microsoft 與其客戶之間的責任分工。作為安全專業人員，我們知道分層方法對於消除保護漏洞至關重要。但 Microsoft 的安全性挑戰表明，分層方法不僅需要多種工具，還需要多個廠商的參與。當然，關鍵在於找到合適的廠商組合，同時不增加管理的複雜性。
在考慮廠商時，我們需要找到可以追究責任的公司。這意味著我們需要有影響產品路線圖的能力，或者在切換到其他替代方案時，成本不會過高，也不會導致功能重複。Microsoft 是一家大型公司，提供多種基本產品。當某個安全修補程式或工具未能阻止攻擊時，要追究 Microsoft 的責任卻相當困難。我們無法威脅說要移除他們的產品並停止使用 Excel，直到他們解決問題——但我們可以將責任和義務轉移到另一家廠商身上。
合適的廠商通常是專注於網路安全的公司——這些公司致力於解決您的安全問題，並且更容易在較高層面上進行溝通和追究責任。我們可以與他們的工程師合作，尋找應對不斷演變的威脅的解決方案；在必要時要求公司高層的關注；甚至在萬不得已的情況下替換產品，而不會同時失去關鍵的生產力工具。
只要數以百萬計的個人和企業仍然依賴於 Microsoft 應用程式和作業系統，這些產品就會繼續成為網路攻擊的主要目標。為了更好地抵禦攻擊，組織需要減少對 Microsoft 的依賴，並與專門的安全性公司合作來解決 Microsoft 困境：我們能否在從 Microsoft 的關鍵產品中受益的同時，避免讓自己處於易受攻擊的狀態？
Cloudflare 就影響當今技術決策者的最新趨勢和主題發表了一系列文章，本文為其中之一。
Microsoft 和 Microsoft 365 均為 Microsoft 公司集團的商標。
作者
Oren J. Falkowitz — @orenfalkowitz
Cloudflare 安全長
重點
閱讀本文後，您將能夠瞭解：
為什麼 Microsoft 工具是網路攻擊的首要目標
為什麼僅依賴分層的 Microsoft 工具是不夠的
如何透過與可追究責任的安全廠商合作來加強防護