誰才是Windows真正的安全衛(wèi)士？

諸如計(jì)算機(jī)安全這樣的復(fù)雜問題，從來沒有簡單的答案。黑客攻擊影響范圍甚廣，小到讓人不快（例如電腦屏幕上永遠(yuǎn)關(guān)不完的彈窗），大到波及全球（比如2021年導(dǎo)致美國東海岸燃料短缺的勒索軟件攻擊），因此很難一勞永逸地解決計(jì)算機(jī)安全問題。

應(yīng)對在技術(shù)發(fā)展過程中日趨重要的安全問題，應(yīng)該多管齊下。與許多企業(yè)僅在問題發(fā)生后倉促修補(bǔ)不同，微軟采取全方位安全措施，由專門團(tuán)隊(duì)從全領(lǐng)域范圍進(jìn)行考量，致力于消弭漏洞于萌芽之前，在電腦產(chǎn)生漏洞、全球黑客襲擊操控之前消除代碼缺陷。對于安全團(tuán)隊(duì)來說，安全問題不容假設(shè)，而是應(yīng)關(guān)注如何解決問題。

微軟安全部門首席安全軟件工程主管賈斯汀·坎貝爾（Justin Campbell）說：“這是一場不會終結(jié)的貓捉老鼠的游戲。一切都在變化。Windows也沒有停滯不前，不斷會有新功能、新想法、新技術(shù)和新程序加入。這種變化不單單出現(xiàn)在安全領(lǐng)域，還影響了軟件構(gòu)建過程。30年前的代碼和我們今天發(fā)行的新產(chǎn)品同樣都需要考慮安全問題，這可真不是個(gè)小范圍。”

坎貝爾帶領(lǐng)著一個(gè)由60多名成員組成的微軟攻擊研究與安全工程（MORSE）團(tuán)隊(duì)，三管齊下，全面守護(hù)操作系統(tǒng)代碼安全。MORSE設(shè)有紅色、藍(lán)色和綠色三個(gè)團(tuán)隊(duì)，各司其職，積極應(yīng)對安全威脅，修復(fù)損壞代碼，防止問題發(fā)生。

紅藍(lán)綠三個(gè)團(tuán)隊(duì)配合提供多重防護(hù)，開發(fā)各種新技術(shù)，包括識別代碼潛在弱點(diǎn)、針對最新威脅構(gòu)建新工具，強(qiáng)化建設(shè)長短期安全防護(hù)能力，裨益各方團(tuán)隊(duì)。

許多網(wǎng)絡(luò)安全術(shù)語起源于計(jì)算機(jī)模擬、視頻游戲、軍事演習(xí)和實(shí)時(shí)模擬系統(tǒng)，許多專家也通過研究這些領(lǐng)域掌握網(wǎng)絡(luò)安全的要義。受此啟發(fā)，紅隊(duì)負(fù)責(zé)分析現(xiàn)實(shí)攻擊策略確定攻擊路徑；藍(lán)隊(duì)則試圖抵御這些攻擊，并防止紅隊(duì)突破現(xiàn)有防御。幫助緩解高風(fēng)險(xiǎn)、系統(tǒng)性的安全問題，并通過從紅色和藍(lán)色團(tuán)隊(duì)中吸取經(jīng)驗(yàn)和工具，大規(guī)模地修復(fù)這些問題。

行業(yè)內(nèi)其他安全團(tuán)隊(duì)主要關(guān)注的是紅隊(duì)所負(fù)責(zé)的安全問題，但MORSE是三個(gè)團(tuán)隊(duì)強(qiáng)強(qiáng)聯(lián)合，持續(xù)工作，在攻擊者之前發(fā)現(xiàn)漏洞并予以修復(fù)。

我們不只是負(fù)責(zé)尋找漏洞的紅隊(duì)。我們不會被動等待別人告訴我們漏洞的存在。我們的小組在自給自足方面取得了適當(dāng)?shù)钠胶?，可以發(fā)現(xiàn)問題，做出反應(yīng)，然后在產(chǎn)品上進(jìn)行投資。這不僅僅是傳統(tǒng)的錯(cuò)誤搜索。

賈斯汀·坎貝爾

微軟安全部門首席安全軟件工程主管

更重要的是，MORSE并沒有狹隘地僅將識別成果為微軟自己所用。該安全社區(qū)致力于分享研究和成果，為每個(gè)人提供更好的產(chǎn)品。

“我們的目標(biāo)是讓每個(gè)人都能寫出更安全的代碼，”Campbell說。

微軟解決傳輸層安全性協(xié)議（TLS）1.3版本問題的案例，就很好體現(xiàn)了該團(tuán)隊(duì)的工作方式和在預(yù)防損害方面所起的作用。TLS協(xié)議保障不受信任網(wǎng)絡(luò)能夠進(jìn)行安全通信，用于各種應(yīng)用程序，在HTTPS網(wǎng)站地址的安全層中的應(yīng)用最為重要。安全審查此前尚未內(nèi)嵌至軟件開發(fā)生命周期之內(nèi)，MORSE團(tuán)隊(duì)重新分析該期間的舊代碼，在協(xié)議發(fā)布之前審查更新版協(xié)議，識別出一個(gè)可使黑客控制用戶主機(jī)的遠(yuǎn)程代碼執(zhí)行漏洞。

微軟云安全首席安全主管米奇·阿代爾（Mitch Adair）說：“后果不堪設(shè)想。TLS幾乎用于保護(hù)微軟使用的每一款服務(wù)產(chǎn)品。好在審查代碼過程中，我們發(fā)現(xiàn)并成功修復(fù)了這個(gè)問題。”

微軟還讓開發(fā)人員投身保障代碼安全工作中，推出了用于Azure的測試框架OneFuzz。模糊測試可以非常有效地提高本地代碼的安全性和可靠性。模糊測試不局限于開發(fā)人員發(fā)現(xiàn)和修復(fù)已知錯(cuò)誤的傳統(tǒng)靜態(tài)測試，可以為隨機(jī)事件創(chuàng)建反饋循環(huán)，增加發(fā)現(xiàn)不可預(yù)見性錯(cuò)誤的機(jī)會。

數(shù)字化工具更直觀、更迅速印證理論概念

傳統(tǒng)上，模糊測試在軟件開發(fā)生命周期中讓人又愛又恨——開發(fā)人員必須進(jìn)行模糊測試，但想執(zhí)行有效的模糊測試過程很復(fù)雜。OneFuzz將漏洞識別提前至開發(fā)生命周期早期，發(fā)揮了安全工程團(tuán)隊(duì)的能動性，使安全工程團(tuán)隊(duì)能夠主動采取行動。另外，MORSE團(tuán)隊(duì)能使內(nèi)部程序工具運(yùn)作更快，助力OneFuzz運(yùn)行更多測試，也能體現(xiàn)MORSE團(tuán)隊(duì)提升安全防護(hù)能力的全面性。

我們致力于幫助開發(fā)者做正確的事，幫助他們改善工作成果。OneFuzz能幫助他們自己找到漏洞。

賈斯汀·坎貝爾

微軟安全部門首席安全軟件工程主管

所以，一定要想黑客之所想才能對付黑客嗎？MORSE團(tuán)隊(duì)在選任成員時(shí)注重技能和心態(tài)，要能應(yīng)對風(fēng)云變幻的網(wǎng)絡(luò)安全環(huán)境提出的日常挑戰(zhàn)。團(tuán)隊(duì)成員背景多元，這種背景多樣性有利于在處理和解決安全問題時(shí)采取不同方法。

安全軟件工程師拓實(shí)·皮阿扎（Toshi Piazza）感覺他在微軟的工作自然延續(xù)了其在倫斯勒理工學(xué)院（Rensselaer Polytechnic Institute）養(yǎng)成的興趣。在學(xué)校里，他是倫斯勒理工學(xué)院安全團(tuán)隊(duì)的成員，參加了“奪旗”黑客比賽。

皮阿扎說：“我們團(tuán)隊(duì)成員的想法并不相同，但我認(rèn)為大家都具有與生俱來的好奇心。我們已經(jīng)將這種心態(tài)滲透到了我們的日常工作中。我們像個(gè)黑客一樣，著手解決具體問題。這并不壞。其實(shí)我覺得這非常有趣?！?/p>

小小一個(gè)錯(cuò)誤就可能影響全球數(shù)百萬用戶，MORSE的成員表示，應(yīng)對挑戰(zhàn)，服務(wù)客戶讓他們覺得自己是值得的。

阿代爾（Adair）說：“能夠從事這個(gè)行業(yè)工作，參加奪旗活動和錦標(biāo)賽的人都具有超強(qiáng)的分析能力，擅長多回合博弈。邁出第一步就像‘嬰兒的第一次冒險(xiǎn)’，我該怎么才能過這一關(guān)？10分鐘還是3天？然后碰到的事情越來越難——解決過去20-30年里網(wǎng)絡(luò)安全工作人員一直想要抵御的風(fēng)險(xiǎn)。背后是不斷學(xué)習(xí)，探索令人興奮事物的渴望?！?/p>

如果MORSE團(tuán)隊(duì)恰恰因?yàn)橄粢恍撛跒?zāi)難性問題于無形，而沒能獲得其應(yīng)得的榮譽(yù)呢？這其實(shí)早已在他們的預(yù)料之中。皮阿扎說道：“我們的功績并不為人所共知，但默默無聞恰恰就是對我們工作成績的肯定，這正是我們想要的?！?/p>