Усиление защиты личных данных перед лицом высокотехнологичных атак​​

Когда дело доходит до безопасности в Microsoft, мы являемся нулевым клиентом, поскольку наши Главный советник по безопасности и ЦВП Брет Арсено часто подчеркивает. Это означает, что мы много думаем о том, как обеспечить безопасность всего, что мы делаем — не только для наших клиентов, но и для нас самих. Мы постоянно работаем над улучшением встроенной безопасности наших продуктов и платформ. С беспрецедентным широта Учитывая нашу цифровую среду и важную роль, которую мы играем в бизнесе наших клиентов, мы чувствуем уникальную ответственность за то, чтобы взять на себя лидирующую роль в обеспечении будущего для наших клиентов, нас самих и нашего сообщества.

Для этого 2 ноябряnd2023 год, мы запустили Инициатива безопасного будущего (SFI). Это многолетнее обязательство совершенствовать методы проектирования, создания, тестирования и эксплуатации наших технологий, чтобы гарантировать, что мы предоставляем решения, соответствующие самым высоким стандартам безопасности. По сути, он включает в себя три ключевых инженерных достижения, которые помогают нам выполнить наши обязательства:

1. Трансформация разработки программного обеспечения с помощью автоматизации и искусственного интеллекта— Расширение жизненного цикла разработки безопасности (SDL) для интеграции динамической защиты кибербезопасности. В этом подходе используется искусственный интеллект для безопасного анализа кода, Github Copilot для аудита и тестирования на предмет сложных угроз, а также новые настройки по умолчанию для многофакторной аутентификации. снизить вероятность взлома до 99,22%.
2. Усиление защиты личных данных от сложных атак— В ответ на рост угроз, основанных на личных данных, мы совершенствуем защиту личных данных во всех продуктах и ​​платформах посредством единого процесса проверки пользователей, устройств и служб. Эти расширенные возможности также будут доступны внешним разработчикам через стандартные библиотеки удостоверений.
3. Устанавливаем новый стандарт для более быстрого реагирования на уязвимости и обновлений безопасности— Наша цель — сократить время устранения уязвимостей облака на 50%. Мы также будем занимать более публичную позицию против того, чтобы сторонние исследователи подписывали соглашения о неразглашении со стороны поставщиков технологий. Без полной прозрачности уязвимостей сообщество безопасности не может учиться коллективно — масштабная защита требует мышления, направленного на рост. Microsoft стремится к прозрачности и будет поощрять каждого крупного поставщика облачных услуг применять тот же подход.

Создание более устойчивых жетон ключ подписи

Чтобы углубиться во второе инженерное достижение…усиление защиты личности от сложных атак— мы подготовили официальный документ, посвященный конкретным действиям, которые мы предпринимаем для повышения устойчивости систем идентификации и ключей для подписи токенов.

По мере того, как все больше клиентов понимают важность многофакторной аутентификации (MFA) и опережают кривую угроз, мы видим, что злоумышленники увеличивают скорость атак на оставшиеся организации, которые еще не внедрили MFA по умолчанию. В нашем информационном документе Secure Identities мы делимся подробностями о наших инженерных достижениях в области усиления защиты личных данных, уделяя особое внимание управлению ключами подписи токенов и идентификации.

Изучите пять категорий, формирующих наши системы управления ключами для подписи токенов:

1. Расширенная автоматизация управления ключами (нулевое вмешательство)—Полностью автоматизируйте управление ключами подписи корпоративных удостоверений и исключите возможность человеческих ошибок или злоупотреблений. В ближайшем будущем мы перенесем потребительские ключи в ту же систему.
2. Хранение ключей и управление ими на защищенном оборудовании (HSM)— Стремитесь хранить все ключи подписи личности в аппаратных модулях безопасности (HSM), чтобы сделать ключи неуязвимыми для случайного или преднамеренного доступа к хранилищу.
3. Обеспечение защиты ключей в памяти (конфиденциальная вычисления услуга)— Предотвратите утечку ключей, даже если базовые процессы будут скомпрометированы — с помощью конфиденциальной информации Microsoft Azure. вычисления сервис для управления процессами подписания.
4. Увеличение частоты вращения ключа (быстрое вращение ключа)— Более регулярно и быстрее изымать и менять ключи в инфраструктуре идентификации, чтобы в маловероятном случае ключ был получен.у злоумышленников будет мало времени, чтобы им воспользоваться.
5. Мониторинг использования ключей на предмет подозрительной активности (встроенная телеметрия) —Определите инварианты безопасности, то есть то, что должно соблюдаться, а затем явно создайте системное ведение журнала, обнаружение и оповещение, чтобы мы мгновенно знали, что что-то ведет себя вне наших ожиданий.

Прочтите информационный документ чтобы узнать больше о каждой из пяти категорий и о том, как они работают вместе, чтобы защитить клиентов от растущих атак с использованием личных данных.

Ignite 2023: Постоянно повышаем планку безопасности личных данных для наших клиентов

В Ignite, я имел удовольствие из делитьсяинг сцена с Миа Рейес, Директор по базовой безопасности Microsoft, к подарок и получать живую обратную связь о том, как были усиление защиты личности. В тот сессия под названием «Усиление защиты идентификаторов в условиях изощренных атак,» Миа и я общий подробнее о формировании тот Инициатива безопасного будущего (SFI) а также тревожная статистика и реальные инциденты подчеркивают острую необходимость усилить защиту личных данных. Например, мы провели тесты и обнаружили, что на Первая попытка из а злонамеренный, простой запрос на одобрение MFA без подсказки, 1% пользователей одобрит это-это вероятный МИД усталость. В одну сторону были помогает уменьшить усталость с помощью нсочетание умбры в Microsoft Authenticator который помогает Утверждающие органы МИД приостанавливают сосредоточиться на запрос под рукойа затем утвердить или отрицать тот запрос. Помимо этого, мы признаем, что мы придется делайте больше, чтобы помогать людям. Посмотрите видео ниже, чтобы немного обновления политики у нас есть выпущен в увеличить внедрение MFA.

Усталость MFA – это только один из многие безопасность личности проблемы наши клиенты лицом к лицу, с которым я деталь в прямом эфире. Атаки МИД также может включить SIM Jacking, где плохой актер убеждает оператора связи перенести свой номер телефона, часто используя существующий информация, которую они находят в Интернете о тебе из социальных сетей или фишинг– или даже информация куплен от продавцов ранее утекших и украденных данных. И наш клиентс иметь также видели, как злоумышленники полностью обходили средства управления MFA, используя противник в середина (АйтМ) аподход чтобы украсть файлы cookie сеанса и получить доступ к учетные записи электронной почты пользователя.

Если вы пропустили жить сессия, посмотри сейчас учиться о эти типы атак на инфраструктуруа также атаки на пароли и пост-аутентификацию. Я также делюсь дополнительной информацией о нашем достижения в защите личности на сессии, включая автоматическое внедрение политик условного доступа, управляемых Microsoft., автоматизированное управление ключами, и аппаратные модули безопасности (HSM) для усиленного хранения ключей.—ключевой инновации к смягчаете человеческих ошибок и укрепления защиты от изощренных агрессоров.

Серия: Раскрытие инициативы «Безопасное будущее»

Размышляя о текущих киберугрозах, с которыми сталкиваются наши клиенты, а также об уникальной ответственности, которую мы несем за постоянное и постоянное улучшение встроенной безопасности наших продуктов и платформ, мы хотим продолжить этот разговор в ближайшие месяцы. С этой целью этот пост станет первым в серии, в которой мы вернемся, чтобы раскрыть и поделиться более подробной информацией о следующих концепциях и обязательствах:

• Безопасно по умолчанию
• Общие библиотеки и помощь разработчикам
• Инновации в работе систем идентификации (TB, SSE, CAE)
• Инновации в области обнаружения и мониторинга
• Инновации в автоматизации управления ключами
• Инновации в безопасном хранении ключей
• Инновации в безопасном использовании ключей

Посетите наш встроенная безопасность веб-сайт, чтобы узнать больше о нашем подходе к безопасности. И следите за обновлениями в будущем, поскольку мы работаем вместе, чтобы построить безопасное будущее для наших клиентов, нас самих и нашего сообщества.

Чтобы узнать больше о Microsoft Sрешения безопасности, посетите нашВеб-сайт.Добавьте в закладкиБлог по безопасностичтобы быть в курсе наших экспертных репортажей по вопросам безопасности. Также подписывайтесь на нас в LinkedIn (Microsoft Безопасность) и Икс (@MSFTSecurity)для получения последних новостей и обновлений в области кибербезопасности.