安全是管理出来的

---毫无疑问，微软公司肯定拥有世界上最先进的软硬件设施和顶尖水平的工程，以保护他们的信息安全。但是，就像精良的武器加上训练有素的战士，并不等于拥有了强大的战斗力一样，如何有效地管理这些软硬件和人力资源，才能在如此众多的袭击包围中，保持公司的正常运转？我们不妨研究一下微软的防御体系。

---主动防御

---微软公司的安全防御工程始于1995年。当时网络安全问题日渐升级，而作为软件业象征的微软公司，在这种危机中首当其冲。因此，微软不得不改变以往对安全的不重视态度，开始筹划公司整体安全架构。原美国防部空军防御系统专家Howard Schmidt进入微软，从此，微软CIO麾下又多了一个由Howard主管的信息安全部门（information security，下称安全部门），负责筑就整个公司的信息安全防御体系。经过近3年的整合，原来各自为政的地方安全管理权限全部收回，由微软总部的安全部门集中管理，各地IT部门负责贯彻总部的安全战术。

---由50名左右“精兵强将”组成的安全部门，下设5个小组，分别是战略技术组、渗透反渗透测试组、应急反应组、系统管理组和安全调查组。5个小组彼此协助，它们的使命是让所有的员工在任何时间、公司的任何地点都能获得所要的信息而不会有任何安全困扰。

---在这5个小组中，战略技术组主要聚焦在安全技术应用领域。寻找、发现、测试、评估和应用最新安全技术及产品是他们的主要工作，同时，他们还负责安全技术咨询。

---Smartcard是他们最近正在推广的一种应用于远程拨号上网的安全手段。Smartcard里记录了员工的身份信息。员工在公司网络之外登录内部网，必须在笔记本电脑中插入Smartcard获得身份验证。如果没有这张卡，即便是再高级的黑客，也难以入侵。目前，美国总部已经开始实行这种方式拨号上网，预计2002年5月或6月微软中国公司也将应用这种产品。

---对于那些总是记不住自己密码的“马大哈”员工来说，Smartcard无疑是福音。此前，他们远程登陆公司内部网时，如果不小心密码3次敲错，其访问就会被视为黑客行为而遭禁止，他们唯一能做的就是找公司相关人员帮助重新设定密码。

---同时，在微软公司内部，也活跃着一群“黑客”，他们就是渗透反渗透测试组的成员。这些“黑客”们平时只要一有机会就反复入侵、攻击微软自己的网络 。除了模拟从互联网上获得的攻击手段外，他们还自己寻找可能的漏洞进行攻击。这一系列动作的目的是想提前找到内部系统的安全薄弱点。一旦出现险情，他们就会立即报告应急反应组。

---而立即响应“黑客”情报，制定安全解决方案，则是应急反应组的重要任务之一。接到“黑客”们的报告后，应急反应组的成员将根据问题出现的环节不同而拿出不同的对策。如果涉及到第三方产品，他们将立刻联系相关公司，让他们采取补救措施或给出能够防范相关袭击的新版产品。除此之外，应急反应组将召集相关员工自己开发相应的防范软件。通常，微软内部系统网络的安全补丁就是在这一系列过程中诞生的。

---除了“制造”网络安全补丁，应急反应组还肩负着及时处理紧急安全事件、监控实时入侵检测设备、协调公司全球网络工程师团队等任务。

---微软员工经常收到的各种安全预警也是来源于应急反应组。同时，应急反应组还把各种安全信息及防范方法收入数据库，进行“知识管理”，形成便于日后使用的应急方案库。

---针对个人电脑、代理服务器和互联网邮件连接器，微软的IT部门都制定了不同的安全策略，例如，员工个人电脑上都要安装防病毒软件eTrust。同时，针对个人电脑，还有一套补丁管理策略。利用微软的SMS客户端监控平台，微软IT部门会对在线员工电脑进行定期扫描，掌握他们所装软件、硬件和产品补丁的情况。如果发现补丁过期或补丁缺失，会立即通知员工并推送最新补丁。另外，笔记本电脑外带时，要用加密锁锁上。这样万一笔记本电脑丢失，电脑里的信息也不会轻易外泄。

---微软全体员工的账号和权限都归系统管理组——一个由专业系统管理员构成的团队——统一管理。按照员工工作性质和信息安全级别，他们将员工账号划分到不同的域，同时制定了一套密码管理策略：员工每70天必须更换一次密码，至少每连续4次中密码不得重复，密码的设定一定要符合他们所谓的“强壮密码”原则，任何人不得例外，包括比尔·盖茨本人。密码失效的前14天，员工就会接到修改密码的提示。员工离开公司时，其账号将被废止，特别是系统管理员离开时，他的账号也将从所属的特权组中被拿掉。

---黑客攻击或传播病毒属于违法犯罪行为，因此对这类入侵不仅要防而且要绳之以法。安全调查组就是为此目的而设。他们会侦查并收集恶意入侵微软系统的证据资料并向司法部门举报。另外，如果某位员工遭到安全怀疑，在得到高层授权下，安全调查组也会秘密地对其进行审查。

---微软公司一些重要内部系统的集中化管理，也与安全防御不无关系。比如文件流转服务器，尽管在各大地区都设有当地的服务器，但当地IT部门没有管理权。所有这些服务器统一由文件流转部管理，他们对服务器进行实时监控。如果这些服务器出了问题，只有在远程不能解决时，他们才会要求当地IT部门协助，赋予当地一定的修改权限。

---除了一些“硬”性的安全措施外，微软还十分注重员工的安全素质培养。新员工一来，签订安全协议是他们头脑中第一次被拧紧安全发条。公司设有专门的安全网站，供员工参考。普通员工也会在平时工作中不定期地接到IT部门的安全预警邮件，其中包括有关安全知识的超级链接。