慎独
慎独
Posts List
  1. 前言
  2. 微软的安全产品
  3. 安全与合规
    1. 安全
    2. 合规
  4. 总结

微软安全产品速览

前言

十一以来,气温就急转下降。从最高38度到最低温10度也不过就是两三天的功夫,这20度的差距瞬间将人从酷暑拖进寒冬,秋天似乎没有留下丝毫痕迹。小区里的桂花各式各样的开,弥漫着冷冷的香味,却又仿佛不曾真实存在。工作越来越忙,少有空闲,因此最近没时间去写总结(看了看最开始写的时候还是9号)。

微软的安全产品

首先要声明的是我之前并没有使用过微软的安全产品。因最近工作需要,对微软安全产品进行学习,因此文章部分可能存在谬误。至于每个产品的使用请参考具体文档。

MicrosoftProductOview

微软安全能力主要有安全产品、安全解决方案和安全服务三部分。这里仅介绍安全产品部分。一共是6个产品线,实际可以分为三大块。Defender和Sentinel构建了端和云以及云上应用的威胁检测及响应。Entra和Intune分别负责设备管理用户准入等身份管理和访问相关。Purview和Priva主要关注在合规和隐私方面,其中数据防泄漏和信息保护也都纳入了这两个产品之中。

安全与合规

上面说了微软的安全产品线,其实主要还是在围绕安全和合规两方面去建设的。下面分别简单介绍一下。

安全

安全能力上来说,除了资产纳管和身份管理之外,在云,端上都覆盖了检测和响应能力,运营侧也支持SIEM,SOAR,漏洞管理这些能力。整体来说是以采集数据-云端检测-下发响应的一种流程,当然也有部分检测能力是在端上。采集数据和检测绝大部分是依赖Defender系列的产品,例如Defender for Endpoint。微软的产品和微软自家的结合是天然亲和的,但在Mac平台以及Linux平台上的表现就不仅如意,如果再为端上引入其他工具,Defender甚至会发生相应的冲突,例如Defender的进程会和某UEM的核心进程冲突。同时在整合上面,可能是由于自己的生态过于完整,对行业的一些解决方案整合度并不够友好,例如Intune官方文档上仅支持Jamf Pro的。微软的安全管理后台主要有以下几块:

  • 安全中心(威胁分析,搜寻/Advanced Hunting,事件和警报)
  • 资产(设备,身份)
  • 终端(漏洞管理,威胁模拟评估/Evaluation&Tutorial,三方能力整合)
  • 邮件及协作(威胁调查及跟踪,钓鱼攻击模拟)
  • 云应用(发现应用,应用治理,活动记录)

值得一提的有两部分,一是威胁模拟评估和钓鱼攻击模拟(我在此处将其归为一类),一是Advanced Hunting(这个中文译成搜寻真的是不够形象,下面缩写为AH)。钓鱼模拟能够很快的对选定用户组投放payload,并可以针对中招群体提供安全培训。AH默认支持警报、应用和标识、设备、威胁和漏洞管理进行搜索。内置了一定的Schema,Functions。例如对Device上的一些网络,文件,进程等Event进行查询,Email的Url,Attachment等。不过有时候感觉更像是一个高级版本的入侵检测工具。没有真正的Hunting功能。
advanced Hunting

总体来说是一个基于数据驱动的产品,能够很好的展示资产信息,漏洞信息,目前的威胁状况。对于安装Defender而言,Windows好处是不需要额外动作,不过一些高级功能或者license仍需要手动激活。而对于其他平台可能没有那么顺滑。

合规

合规是什么?简单的来说就是提供你的安全能力给到第三方,去满足第三方的需求。这也意味着合规要在安全建立起来之后才行。在使用微软的合规功能时,部分需要先进行端上安全产品的部署,即Defender for XXX。同样的也不能仅靠合规驱动安全,合规驱动安全带来的只是过检和较低级别的防护(参考买设备过检不插电行为)。所以当初有一阵在看到朋友圈大力吹捧搞合规怎么样,这下做安全有希望了,早知道转合规了诸如此类的言论时让人觉得缺乏思考。微软针对合规基本归类在Purview管理后台之下,其中包含了以下几大块:

  • 隐私(其实是在Priv产品线)
  • 信息保护和治理(数据生命周期管理,数据防泄漏,信息保护,记录管理)
  • 内部风险管理(通讯合规,信息隔离,内部风险管理)
  • 审计
  • 发现和响应(eDiscovery,数据主体请求,审计)

不用纠结于微软的这个功能模块划分是否合理。先来简单介绍一下信息隔离和通讯合规,信息隔离(Information Barrier)提供了一种方式用于限制不同区段(Segment)的用户禁止使用Teams,Sharepoint,Onedirver这些工具进行检索和沟通。一般用于地理区域的隔离(基于某些政策法规)。通讯合规(Communication Compliance)较为容易理解,比如不允许在聊天室内发送NSFW,性骚扰信息等。
而在信息保护模块,又分为对数据分类、打标签以及数据防泄漏。Purview内置有308个默认的Sensitive Info Type。同时也支持机器学习的方式自动发现新的敏感数据。但针对中国大陆地区,仅提供居住证号码(China Resident Identity Card (PRC) Number)一种,也就意味着当你创建了一个PII-护照的数据标签,以便当在邮件,聊天,文档中发现时启动相应的控制措施时,这个标签列表(目前一共有268个)里面包含了39个国家的护照类型,但独独没有国内的。类似的还有很多,当然PII信息中有部分是类似的,或许可以通过在原有Sensitive Info Type上进行修改得来。除此之外通用性的检测规则不允许基于此进行修改,例如通用的All Credential Types或者Access Key之类。而且策略生效基本上要在半小时以上,事件数据的检索不是实时的,部分需要一天以上。这也是让人无法接受的。针对数据防泄漏这一块的检测,不再是基于不同的端和软件,更多的是基于一个账号(身份),无论在任何地方,都可以完成对企业账号下的办公套件完成DLP功能。在此之外还有一个好处是可以通过连接器(connectors)完成其他数据源的集成,从而实现DLP。而针对标记出来的敏感数据,考虑到对个人数据的隐私保护,还可以通过设置具体的角色去查看,设置某些提示告诉你怎么怎么样。当然这些权限可能也需要30分钟以上才生效,有的功能生效呢甚至需要24h以上。

总结

微软的安全产品布局很广,大而全(但是命名乱七八糟,改来改去),对Windows平台和Office系列产品有着天然优势,企业能够快速应用起来,同时运营也相对简单。一方面在安全服务化这一块树立了标杆,另一方面,定制化能力较低,没有什么“高级”模式,例如只能通过开关项去配置规则,没有支持模版语言的编辑。在实际工作中,如果有一定的场景复杂度,其安全产品就无法实现或者需要加钱定制。另外由于微软自己的生态构建较为完整,也导致了微软更喜欢推广全部采用自家的解决方案完成整体的防护, 但在安全设计上而言,可能更好的方式去综合个领域内的最优解,整合到一起。当然也正因为微软自己的生态完善,导致其对行业内其他解决方案的整合程度较低。 同时作为国际化的一个企业,一些安全能力对中国的本土化支持并不友好,当然这也并不仅是企业的问题。除此之外过于细化的权限,以及动辄报错的界面,都让人觉得在扩张之余留下了一地狼藉。对于价格,基本是劝退级别,没钱别来。对于实施,好像是外包厂商。

另外最近对了解业务需求的感触越来越深了,无论工具的能力有多么完善,总有不确定的需求。这就需要工程师一次又一次的去和真正的用户沟通,反复确认,也比较消磨精力。

支持一下
三思而后行