Security and Audit 新儀錶板介面

       Security and Audit 的新介面可以說是 OMS 安全相關資訊的總整理。不論一天、一周、或是其他自訂的時間長度內，所有的事件、伺服器的狀態報告都能在這裡一覽無疑。新介面含有網頁版和行動版。儀錶板包含三部分：

1.Security Domain Dashboard

安全包含多種領域、有多種資料來源和需要被視覺化的數據，新介面提供儀表板更多 domain dashboard 選項：

Identity and Access:

呈現驗證和控制存取事件相關的安全資訊

Networking:

收集自 OMS WireData 解決方案的網路資料所做的安全提要

Azure Security Center:

Azure Security Center (為 Azure 中的資源提供加強安全防護和偵測)的連結

Malware Assessment:

Malware Assessment 解決方案(顯示不同伺服器的惡意程式保護軟體狀態)的連結。未來 Antimalware 解決方案將整合成為 Security and Audit 新的domain dashboard。

Update Assessment:

System Update Assessment 解決方案的連結

2. Notable issues

       問題將依照重要程度排出優先順序。能監控包含清除密碼登入和訪客帳戶活動等問題。將就版圖磚的資料濃縮，避免顯示過多資料。問題清單將會因為 OMS 越來越多元的資料持續更新。

3. Threat intelligence

       微軟營運著世界最大的雲端服務，因而對威脅地形有獨到的見解。數億種來源的數兆筆資料成就了智慧安全圖表，其中包含了如何保護端點、偵測攻擊、並加速回應，種種豐富資訊。

Antimalware assessment

       反惡意程式軟體是系統最重要的防禦之一。OMS新的反惡意程式解決方案能夠：

涵蓋微軟反惡意程式引擎

       更新後 OMS 能利用 System Center Endpoint Protection 和 Windows Defender 等解決方案的資訊。

透過Windows Security Center偵測更多反惡意程式引擎

       利用 Windows Security Center 的 API 偵測不同種類的反惡意程式軟體，包含大多數 Windows 用戶端和 Windows Server 環境的反惡意程式軟體。Datacenter 和 Standard 版本的 Windows Server 2016 將會預設 Windows Security Center，能夠偵測所有註冊的反惡意程式軟體 (幾乎所有銷售者都會使用普及 API) 的防護狀態。

       OMS 將持續納入常見的反惡意程式能力，透過更好的反惡意程式軟體整合、更理想的視覺化，讓收集到的資訊發揮最大功用。

       Security and Audit 中心的威脅智慧部分將可能攻擊模式用多種方式視覺化。透過 WireData、IIS 和 Windows Firewall 的紀錄檔，顯示和外部惡意 IP 交流的伺服器、惡意威脅型態、和 IP 來源。

前景

       這只是 OMS Security and Audit 邁向最完整的混和環境解決方案的第一步。以下領域也都已經開始動工：

微軟安全方案整合

       安全一直是微軟服務客戶的重點領域，和多種安全產品整合能互利產生更好的效果。包含 Azure Security Center、Advanced Threat Analytics 和 Office Advanced Threat Protection。

Linux

       OMS 正為了讓 Linux 成為最高級的服務對象而努力，現有的 Linux 代理程式已經能收集多種驗證與授權資訊。往後會將此視覺化並增進代理程式匯集不同資料的能力。

第三方安全解決方案

       OMS 能夠整合市面上許多第三方的安全資產。未來將和更多廠商合作，為安全領域觸及更多安全產品並加強整合。 

更多 domain dashboard

       OMS 計畫持續增加不同的 domain dashboard，如網路和身分資訊將有更多視覺化。

惡意 IP 和地理標籤

       OMS 將增加惡意 IP 偵測和地理標籤來涵蓋多元的紀錄，提供對惡意或可疑活動更好的指標。

參考資料：

          New security capabilities in Operations Management Suite

OMS Security & Compliance Solutions

          安全問題涵蓋廣泛，相關聯的資料自然多而雜。Solution Gallery中也能看到多樣的解決方案。有追蹤惡意程式和保護狀態的Malware Assessment，也有System Update Assessment建議或標記遺漏的更新。另外對於安全議題非常重要的事件紀錄檔，有Security and Audit作為核心解決方案：收集事件、找到異常的登入、高權限、原則更動、可疑活動模式等並搜尋弱點。

          對於傳統的安全系統需求，以上的解決方案利用Log Analytics達到了IDS 的需求，而OMS的災難復原能力滿足了IPS的需求。OMS 利用Azure Backup 和Azure Site Recovery在雲端的儲存體和虛擬機器分別保護資料和工作負載，並且用Azure Automation自動化應對措施，而不再只是被動的面對安全問題。OMS的備份與復原能力其實有比安全更廣泛的用途：同步工作、移植機器、開發與版本測試等，皆是使用者的實際應用。另外 Azure 的其他的資料分析服務更是讓來自雲端的OMS超越IDS & IPS格局的潛力。

OMS Data Security

          Data segregation: 資料儲存在編碼保護的BLOB儲存體中，並受到有條理的標記分類

          Data retention: 能夠依解決方案和需求彈性調整資料儲存時間和空間價位。

          Physical Security: 來自雲端的OMS有Azure的值得信任的安全能力。

          Compliance & certification: 微軟堅實的LC團隊持續地為OMS的認證與法規等問題做出貢獻。(註1)

Log Analytics 新功能

          OMS的警訊通知加強讓原本的安全能力更加完備。現在能自訂探索警訊的搜尋模式、頻率、和資料達警訊標準的數值，讓原本就能客製化的管理面板中的資料用更適合自己系統的方式彙整。能在收到特定警訊時發送電子郵件通知管理員收件清單，輔以runbook的自動化工作；在接收到警訊的同時，就已經正在處理安全問題。另外OMS能夠記取不同使用者安裝某項更新的時間，對更新程序做出更好的時間評估，增加自動化的效率。

Linux 支援

以Syslog作為媒介

          這是大家數一數二關心的問題，也是OMS更新的重點。現在的 Log Analysis囊刮了Linux的Syslog資料、效能數值、和來自Nagios/Zabbix的警訊，並實現了更多解決方案。Linux syslog 精靈收集廣大的資訊，包含系統事件、kernel訊息、使用者稽核資訊。系統使用syslog集中紀錄的一大好處便是能夠透過syslog協定收集自大量應用程式或Unix服務。(註2)

          在應用程式資料部分，紀錄檔不只在解決問題的關鍵，對於開發也非常實用。OMS同時提供開發人員和IT營運橫跨開發、QA/Test、和上線環境的透徹窗口。利用既有的外掛程式，您可以將Jenkins(一個受歡迎的連續整合和自動化工具)的狀態資訊轉至OMS。另一個範例是利用加入logback或log4j等java記錄平台的設定選項，將java程式伺服器資訊直接傳送至syslog精靈。

          網路裝置收集多點資料，且其中一些能傳送資料至syslog。按照一般的指示設定即可將資料轉至OMS代理程式中。加入客製化欄位和警訊系統後網路裝置環境中的細節將更為清楚。

解決方案

          雖然OMS 也能收集Linux完整的紀錄檔，但是卻沒有如Windows環境的高整合度和資料分類，但有了Syslog後更多解決方案得以實現。舉例而言 Security and Audit在進行惡意IP位址偵測時可以整理Windows Firewall / IIS / WireData的資料，換做Linux卻得自行搜尋需要的安全事件。現在Linux也能透過連結Docker後，收集容器的記錄檔、數值、和目錄；整合Linux如Zabbix、Nagios警訊等管理工具。也因為如此，OMS能夠在統一的面板上看見更完整的跨平台資訊：如Alert Management 集中檢視所有警訊，事件發生後不再需要切換不同系統平台的監控工具。

OMS身為獨特的混和雲管理解決方案，持續的更新讓跨平台的表現更加出色。跨平台的資訊更加集中且細緻，讓使用者能夠更有效率的發現系統環境中的安全問題。

註1:  OMS Log Analytics currently meet the following security standards:

• Windows Common Engineering Criteria
• Microsoft Trustworthy Computing Certification
• ISO/IEC 27001 compliant
• Service Organization Controls (SOC) 1 Type 1 and SOC 2 Type 1 compliant

註2: 支援版本:

• Red Hat Enterprise Linux Server 5,6 and 7 (x86/x64)
• Ubuntu 12.04 LTS, 14.04 LTS, 15.04, and15.10 (x86/x64)
• SUSE Linux Enterprise Server 11, and 12 (x86/x64)
• CentOS Linux 5,6, and 7 (x86/x64)
• Oracle Linux 5,6, and 7 (x86/x64)
• Debian 6, 7, and 8 (x86/x64)
• Amazon Linux 2012.09 --> 2015.09 (x86/x64)

參考資料:

Security Threat Analysis – Using Operations Management Suite

Explore security with the Security and Audit solution

How OMS secures your data

Operations Management Suite Log Analytics with Linux

What’s new in Microsoft Operations Management Suite: Log Analytics

Operations Management Suite overview

透過擴建微軟或第三方可信任雲端安全資料分析和可靠的威脅智慧回報，再將這些能力緊密整合您組織的身分存取管理策略、內部部署安全資訊、SIEM，將原則基礎方法往前跨一大步，更接近 CISO 們心中理想的安全樂土。

基本上這就是 Azure Security Center 在做的事：為您的 Azure 訂閱中的資源提供安全監控和原則管理的整合。這是 Microsoft Azure 的全新功能，並且已經推出公開預覽版。

Azure Security Center 的能力分類成預防、偵測、和回應(以下截圖中的紅色標記)，是和「保護、偵測、和回應」的安全策略相仿的便利設計，許多企業客戶都已經開始使用。

原則基礎監控

Azure Security Center 讓組織能監控和管理 Azure 中虛擬機器、網路資源、SQL 資源、和應用程式。在您的 Azure 訂閱上設定安全原則並啟用資料集(如以下及截圖)，將根據 Azure 上的安全設置和收集事件的資料及分析定義您想看到的安全專業建議。當資料集啟用後，其代理程式將自動安裝於 Azure 訂閱中符合安全原則的各個虛擬機器。這能讓資源內所發生的事情，在 Azure Security Center 中獲得資料驅動的觀點。決定要將您在 Azure 資源中收集的資料存至何處(Azure 地區)，以維繫組織內可能存在的存放原則。

安全專業建議
Azure Security Center 定期分析您 Azure 資源的安全狀態。您從 Azure 訂閱中的虛擬機器所收集的資料讓 Azure Security Center 能監控您違反原則的 Azure 資源並提供您原則區域內的安全建議。發現潛在安全弱點時會產生建議，指導如何設定舒緩發現的弱點的安全控制。這樣的能力能幫助無數沒有全職安全專家的組織。在以下的截圖範例中，從虛擬機器、網路、SQL、和應用程式等資源中發現問題，並依照高、中、低嚴重等級排列。從發現的問題中產生並列出數種不同建議。

再來的範例較為簡單。在包含「Access Control Lists on endpoints」的 Azure 訂閱中啟用資料集並定義安全原則後，中等嚴重性的建議就出現在清單當中。

再來獲得 Azure 虛擬機器兩個端點(PowerShell and Remote Desktop)未受保護的警訊和建置 Access Control Lists 於連接埠的建議(參考以下截圖)。點選清單中的Remote Desktop 設定 Access Control List。

自動辨識威脅和回應
威脅偵測和回應能力是 Azure Security Center 的一大價值。自動收集並分析 Azure 資源、網路流量、和防火牆或防毒軟體等合作夥伴的解決方案中的記錄檔。利用這些資料來偵測威脅並產生警訊清單和其優先順序(見以下截圖)。

更進一步來看範例中偵測到的 RDP 活動，細節揭示如以下截圖。Azure Security Center 將依內容產生幫助清單問題回應的建議。若有可疑 RDP 活動，其中就可能包含連接使用 Network ACL 或 Network Security Group 規則的 RDP 連接埠的 IP 位址的建議。

即使 IT 部署了一個或多個 SIEM 系統，從廣大環境內所有的訊息之中偵測出有意義的安全事件仍是極大的挑戰。Azure Security Center 將幫助全團隊更輕鬆地剖析龐雜的訊息中原本可能被視為記錄檔中無法整合、分析之異常訊息的威脅和大安全事件。

Azure Security Center 能用內建的大規模威脅智慧和機器學習能力偵測並幫助修復許多類型的攻擊。部分範例包含如遠端桌面協定(RDP) 磨損/濫用 (如以上截圖) 的網路攻擊、和曝光的虛擬機器。

在此僅僅淺談了全新 Azure Security Center 的強大能力，而眾多 CISO 的會饋更是值得期待。

更多 Azure Security Center 相關資源:

安全原則:Setting security policies in Azure Security Center

安全建議: Implementing security recommendations in Azure Security Center

安全警訊: Managing and responding to security alerts in Azure Security Center

API和PowerShell腳本的討論: Azure Active Directory‘s Access and Usage Reports

參考資料:

 Cloud security controls series: Azure Security Center  December 11, 2015 - Tim Rains - Chief Security Advisor, Microsoft Worldwide Cybersecurity & Data Protection

在行動與雲端優先的世界，筆記型電腦、自攜式行動裝置、物聯網感測器…員工從各式各樣的裝置，企業內部應用程式和高敏感度資料。雖然現今科技為企業、個人帶來更多產值，轉型的同時也讓企業暴露於更多的威脅和風險。

安全一直是微軟的焦點，而我們發現面對現今數位世界的安全威脅，需要有新的防護、偵測、因應措施。我們必須保護所有端點，不論是感測器和資料中心、或是身分和 SaaS 應用程式；我們必須加緊腳步利用雲端的規模和智慧、機器學習、行為監控，來偵測威脅；我們必須要能快速、全方位的回應，並提供客戶可操作且綜合的洞察能力。

由數十億資料來源的大數據造就了安全圖表、發展出微軟對威脅攻擊的獨特見解，提供端點更好的防護與偵測，並加速回應。安全智慧圖表受惠於我們廣大的端點資料、客戶服務、廣告服務、內部部署科技，讓我們的資料防護在客戶中有獨特地位。

微軟每年投資超過十億美元在安全研發上。而為了加深付出，我們帶來 Cyber Defense Operations Center 作為加強保護客戶資料的新計畫。我們的先鋒集合了全公司的安全因應專家，直接利用微軟上下安全專家、資料分析、工程師、開發人員、管理人員、和營運專家的專業，隨時準備因應解決安全威脅。

在業界多年對抗全球規模威脅的經驗，保持著和業界安全合作夥伴、政府、企業客戶的重要連結，我們設立了  Microsoft’s Digital Crimes Unit (DCU)，多方支援面對法律問題。

我們也宣布成立 Microsoft Enterprise Cybersecurity Group (ECG) 來延伸我們對客戶安全的付出。這個團隊投入在安全解決方案、促進IT平台現代化，並安全轉移到雲端。ECG 提供安全評估、持續的監控、威脅偵測和事件回應能力。他們幫助客戶利用微軟最高等的安全和隱私科技，給資產的安全陣線更好的信心。

綜合、靈活的安全性平台

Satya 在 keynote 展示了 Windows 10、Office 365、Microsoft Azure、和 Microsoft Enterprise Mobility Suite (EMS) 的串連，與合作夥伴解決方案所共同創新的綜合、靈活的安全平台。以下是一些實例:

預防相關密碼攻擊

Microsoft Passport 和 Windows Hello 是 Windows 10 獨有功能，運用生物認證降低了認證過程對密碼的依賴性，而 Credential Guard 能防禦進階的 Pass the Hash 攻擊。

Advanced Threat Analytics 能在身分暴露時偵測異常行徑並建議變更設定以幫助保護環境和使用者。 Azure Active Directory Premium 為 IT 也為使用者簡化密碼和身分管理，統一管理服務之間的身分認證，讓登入更簡單更安全。

Enterprise Mobility Suite

EMS能跨裝置平台保護公司應用程式和資料，做到意外或刻意資料遺失的防護。現今員工頻繁使用自己的裝置工作，因而在保障公司機密安全時更需權衡個人隱私問題。

現在使用者不需要註冊裝置也可以安全的存取企業應用程式同時遵循企業安全法規，面對裝置上公司和個人資料，能夠選擇性抹除、限制分享權限並追蹤文件； Office 提供絕無僅有體驗，原生支援多蔘粉應用程式登入。此外 Intune 也得到許多大廠商的合作，例如 Box 和 Adobe 在 iOS 和 Android 平台原生支援的應用程式，和客製化的SAP Fiori 行動版應用程式。另外 Acronus、Citrix、Foxit 也都完美整合。如此一來不須擔心既有 MDM 的移植問題，也能應對企業行動化複雜的裝置使用情形並實現自備裝置的可能。

不論是動態或靜態的資料，Azure Rights  Managements (Azure RMS) 能保護任何形式的檔案、文件，且透過 Windows 10 Enterprise Data Protection (EDP) 能進一步在作業系統中直接分離公司和個人資料，並對檔案進行加密、套用限制原則。

威脅與風險防護

Windows 10 Device Guard 結合硬體和軟體功能預防惡意安裝程式；Windows Defenders 內建於Windows 10 保護使用者；Office 365 的 Advanced Threat Protections 能防禦不經意下載或安裝的不受信任軟體

Advanced Threat Analytics (ATA) 偵測到異常行為模式後，能更快做出回應並建議變更設定以面對現在和往後的攻擊。而Azure Security Center(Preview)和 Barracuda、Checkpoint、Cisco Systems Inc.、CloudFlare、F5 Networks、Fortinet、Imperva、Incapsula、和Trend Micro Inc. 等公司合作，推出分析驅動的進階威脅偵測，來即時對安全威脅作出防護、偵測、和回應。

企業資訊安全

資料平台必須要能支援新的數位商機。SQL 2016 有了 Always Encrypted 的新科技保護靜態與動態資料，讓您在擴展資料商業的同時保護資料。

應用程式逐漸移至雲端，維護能見度與對應用程式存取的控制，還有保護 SaaS 保護重要公司資料，都是客戶的重要需求。因而我們取得 Adallom 以保護Salesforce、Box、Dropbox、ServiceNow、Ariba 和 Office 365 的存取。

我們和Secure Island簽訂合約，保護任何形式的檔案，來增強提供客戶的資訊防護。

Azure ExpressRoute 讓您在 Azure 資料中心和內部部署或託管環境的基礎建設之間建立私有連線。ExpressRoute 不會到公共網際網路並且有比標準網際網路連線更高等的安全。

Azure Disk Encryption 利用 Azure Key Vault 中所管控的金鑰和原則，為 Windows、Linux 虛擬機器硬碟編碼。幫助您應付組織安全和合規需求。

增強您的安全陣線

雖然科技助長著威脅日新月，公司依然能採取行動面對安全疑慮、加強安全陣線。不論是監控、防毒、修補、作業系統，公司必須要對自己的安全核心有所矜持：採用現代化的平台和全方位的身分安全管理解決方案，並善用雲端服務。最重要的莫過於教育員工，帶起公司上下的安全意識，以建立永續的安全文化。

參考資料

TechNet Blogs:

Enterprise security for our mobile-first, cloud-first world

Announcing new Microsoft Enterprise Mobility Capabilities

New Cloud + Enterprise Innovations in Enterprise Security

維護商業資料備份的品質是企業連續性(和提供優質客戶服務)的關鍵。在遭受攻擊或意外下要能簡單迅速的補回遺失資料讓業務能正常運作，確保客戶不受影響。中小型企業需要有可靠的資料備份策略。備份就是希望能有效率的復原，但資料的安全也是不可忽視的重點。

現在雲端技術普遍，也有許多選擇，雲端備份已經漸漸取代傳統的磁帶成為新的主流資料備份方式。但是雲端存取資料不等於安全。雲端資料從早到晚都有遭受攻擊的機會，如果後端沒有適當保護將帶來重大潛在風險。

雖然雲端供應商必定會為自己也為客戶設下防護，但企業本身也應該主動加入防護陣線，以補足供應商潛在的安全弱點。

以下是安全備份的基本檢查點：

對備份檔案進行編碼

備份必須經過編碼才談得上安全。不論是檔案本身或是整個個雲端硬碟都是編碼對象；開源、跨平台、免費，軟體工具有許多選擇。備份資料需要經過至少256-bit 進階編碼標準( Advanced Encryption Standard，或 AES)的編碼來包裝，否則將會易於攻擊。448-bit編碼接近無法破解，是理想的編碼強度，但多數供應商尚未達到。

由編碼後的資料流上傳雲端儲存空間

備份資料有編碼，傳送時也應該要經過編碼，一樣至少256-bit AES，並且供應商理當告知連線的編碼層級以供參考。

確保雲端供應商對儲存檔案進行編碼

供應商應該要無法存取客戶的檔案，所以企業只需要在供應商安全的資料庫中，獲得一個受到編碼保護的空間，以存放自行編碼後的檔案。當然供應商需要能證明自己的安全層級得以信任，讓客戶在無法左右的地方也能感到安心。

嚴控自己的編碼金鑰

在安全達標的情況下，供應商無法替客戶登入帳號或重設密碼。最好的做法是只給自己資料存取全。因為無法靠別人幫忙重設，所以需要記下編碼金鑰才能存取備份。而金鑰最好和備份分開，存在安全的實體空間。在良好的編碼系統下，掉了金鑰就等於掉了資料。

Azure Backup + Windows Server

Azure Backup會將備份資料存放在異地複寫的儲存體中，資料會在兩個 Azure 資料中心保留 6 份複本。在雲端壓縮、加密、更長的保留時間及頻寬節流等內建功能，在確保存放和傳送都達安全標準之下，維持備份資料的高可得性和取用效率。而Azure眾多虛擬機器的相關雲端服務也讓擴建備份或是移轉的過程變得更加理想。

Windows Server 2012 R2 中新增的改良功能讓您能夠有效運用資料中心的容量，同時為 Microsoft 工作負載提供同級最佳的效能。您可以存取多種企業資源，例如工作負載、儲存空間與網路，以提升商務靈活度，同時保護企業資訊。

Windows Server 2012 R2 提供經企業級雲端與資料中心平台，可以輕鬆擴建以持續執行最大工作負載，且提供高效能的 Hyper-V 客體與大空間的虛擬硬碟。而強大的可用性可防範服務中斷的情形。自動化保富與復原讓企業用雲端得到符合成本效益的商務連續性：提升工作負載 SLA，同時降低停機風險。在與Azure Backup合用之下，能讓企業資料中心的混和環境上下都能安全存放資料，並且動靜皆宜。

資料與應用程式份散在伺服器、用戶端、雲端。包括 SharePoint、Exchange 和 SQL Server、檔案與資料夾、Windows 伺服器與用戶端，以及 Azure 基礎結構即服務 (IaaS) 虛擬機器，都能利用Azure Backup。雖然服務目標主體通常是內部部署機器，但是Azure Backup也已經能夠服務企業既有的資料中心。

另外Azure 的 Site Recovery 也能對虛擬機器做到相似的備份服務和保護，還能提供遠端監控客製化的備份計畫，保有虛擬機器易於複製的彈性。Azure的許多服務和其他雲端的差別在於服務對象：比起個體或是小型虛擬機器的部署，Azure更著重於企業級規模的資料中心。Site Recovery 不只能利用備份資料快速復內部部署基礎架構，也能應用為企業產品或系統版本測試的工具。

參考資料:

Microsoft Azure: Azure Backup

Tech for Business Now: The Next Step in Data Backup: Security

Tech Crunch: Microsoft Launches New Azure Backup and Recovery Service

風險基礎框架的回饋

絕大多數的組織－91%－都有安全框架，而大部分都是選擇混合框架。ISO 27001是大家最常依循的準則。這樣的指導原則讓威脅更快被辨認和偵測、降低風險並釐清安全缺口。風險為主的框架讓公司不論對內或對外更有效的溝通、合作，來面對資安問題。這些框架也能幫助企業設計、監控、衡量更好的資安防護。許多人也認為敏感資料因而更有保障。

從雲端資安獲益

近年因為供應商穩定投資資料防護、隱私、網路安全、身分和存取管理等進階科技，雲端運算儼然進化為縝密的資安工具。不難想像69%的組織使用雲端資安服務來幫助保護敏感資料和隱私。

大數據的衝擊

大數據越來越大。今年59%的組織利用分析大數據來建構模型並監控資安威脅、回應事件、並審視資料來了解它的用途和來源。資料導向的方法讓資安防護從被動外圍防禦進步到能善用即時資訊設法預防攻擊。資料導向的資安讓公司更清楚網路中的異常活動並能更快速辨認和回應攻擊。

與外部合作，強化資訊安全情報

過去三年和外部合作的組織數量穩定成長。從2013年的50%成長至今年的65%，組織表示合作下加強了資訊安全、降低了風險。爭取合作的組織明顯獲益。大多組織表示外部合作讓他們更好分享和接收產業夥伴的資訊，像是Information Sharing 和 Analysis Centres (ISACs)，政府和法律單位。資訊分享需求提高了許多人的警覺。

更高位階

科技驅使大家開始聚焦資安能力和人力的培養。因而資安相關高層扮演越來越重要腳色。今年54%的回報組織擁有負責安全計畫的CISO。49%擁有一位CSO。不論頭銜是什麼，這些職位和責任都是近年資安位階提升的結果。資安議題更加深入董座助長安全實施。46%的董事會參與資安預算生成，這無疑是安全經費得以提升的一大因素。另外識別主要風險、培養組織的安全意識，還有更好的總體風險管理和業務目標的安全陣線，都是值得一提的良好成果。 

企業運用雲端的實例－ 皇家馬德里 和 Azure AD B2C

皇家馬德里是世界聞名的足球隊，不僅冠軍獎盃數量引以為傲，龐大的粉絲團和熱情球迷對球團來說是更珍貴的資產，然而4.5億的全球關注與支持是甜蜜的負荷，行銷和管理與科技必然的結合帶來許多問題。

如果想要貼近、了解、回饋球迷，就必須要能儲存粉絲資料。但身分管理需要耗費許多IT資源：帳號密碼管理和服務、支援不同登入方式、不同類型的安全驗證、身分確認….更何況身為大球隊、用戶數量驚人且會持護擴大。撇開自己的管理難題，還要為用戶資料的安全負責，而做好資安防護又是另一個大花費。

皇家馬德里在Azure AD B2C preview就開始合作。Azure AD B2C不僅幫球團管理好用戶資料，也讓龐大多元的用戶能使用跨平台的裝置， 也支援使用主流大社群帳戶如Facebook、Google的登入。如此一來因為雲端廣泛的支援服務與跨平台所帶來的高可得行，公司為粉絲發行的APP的影響力更大。然而網路的大接觸面積也代表遭受攻擊的機會增加。有Azure AD一如往常優秀的統一管理和安全服務下，公司能較有保障的擴大服務規模。不論是多重要素驗證、威脅偵測、安全回報，或是Azure能找到的眾多資安工具，原本IT管理公司的功能，現在都能帶給客戶端同樣的效益。另外皇家馬德里的龐大客戶群，更是整個雲端和自家企業的大數據分析完美的來源。

“The Azure platform will help us provide the services we want to offer because it gives us the scalability we need whenever we need it.”

Enrique Uriel
Real Madrid C.F.
CIO

 “Using the Microsoft Cloud, we are building a way of understanding who our fans are, where they are, and what they want from us.”

 “We can create a one-to-one relationship with fans around the planet with the Microsoft solution, connecting this huge community of people and making the experience of being a supporter of Real Madrid much better.”

José Ángel Sánchez

Real Madrid C.F.
CEO

皇家馬德里和Azure AD B2C的實例體驗了對2016的資安調查。大家都知道當今資安的最大的弱點就是散布各地的身分憑證，而一個大型球團的粉絲客戶數量放大了這個問題，而企業的組成更是無法支持大型IT團隊，或者分岐的資安工具的額外開銷。皇家馬德里選擇了相應的雲端身分和存取管理的解決方案，同時獲得了能夠善用大數據分析的雲端服務和自己的龐大用戶量，最大化兩者之間在安全和商業上的價值。Azure AD B2C正用客戶的認可和企業未來資安趨勢產生共鳴。

參考資料:

Microsoft

Customer Stories: Real Madrid C.F.

Azure Active Directory B2C

PWC

the global state of information security survey 2016 - view all key themes

舉例來說，憑證釣魚攻擊變得更加頻繁，許多網站入口其實是認證資料的誘餌(網站有可能受汙染，也有可能直接來自惡意組織的系統)。在Microsoft Security Intelligence Report volume 17中*，2013年11月到2014年6月期間，微軟參與用戶防護之中，追蹤到約1,700起網站憑證偷竊，包含超過2300萬份憑證被公開於網路之中。這只是處於網路邊邊角角、操作不法憑證交易的論壇與網站中一小部分的數據而已。

多重要素驗證(Multi-factor Authentication)(MFA)

過去在CPU能力成長、彩虹表、GPGPU等專為暴力破解密碼的技術帶來的挑戰下，密碼複雜度失去效力。MFA早已為了不讓密碼組孤軍奮戰而存在，並非資安的生面孔。但網站釣魚與竊盜技術的增進，行動裝置的普及、多個裝置登入一個帳號的情況下，憑證暴露的機會變多；行動化與雲端世界來臨下，MFA變成身分認證不可或缺的防線。

驗證要素

MFA結合兩個以上不同要素的獨立憑證，致力於增加防護的層次，讓未授權使用者無法存取地理位置、裝置、網路、或資料庫等等目標。

以下是三大最常見的驗證要素：

Knowledge factors 知識要素

使用者利用所知道的資訊作為憑證。包含使用者名稱、PIN和密碼等字母數字組合、安全提問設計等等。

Possession factors 所有要素

任何使用者所持有，實體或虛擬，能用來獲得權限的憑證。好比隨身攜帶的員工ID、臨時發放的入場識別證、電話的SIM卡、認證碼產生器和單次密碼，或甚至裝置本身也能是限制存取的工具。

Inherence factors 繼承要素

利用使用者的生物特徵作為憑證，這是在虛擬環境下未經紀錄無法獲得的資訊。生物驗證的例子包含虹膜掃描、語音辨識、臉部識別，和指紋等等日漸進步的便捷應用。

也有人多提出下列兩項要素：

Location factors 位置要素

用所在位置作為憑證。行動裝置的普及讓地理資訊應用更廣泛，GPS、手機定位系統實現有效的地理驗證。

Time factors 時間要素

有生命期限的憑證。使用者不再對資料有需求後，將權限收回。另外時間要素也能在適當監測下，輔助找出童身分不合邏輯的可疑操作，例如驗證登入時間閒置或過長，或帳號短時間內從不同地點嘗試登入。

MFA的不足

MFA有很好理解的不便利性，沒有人想要開一扇門用三把鑰匙，而且還不能放在同一鑰匙圈上。另外若是忘記碼，更多的時間和程序就是安全的代價。另外打鑰匙找鎖匠也需要成本，不論是設置MFA系統(實體或虛擬環境)、還是教育使用者開鎖，都是成本。

另外，從Ten Immutable Laws Of Security**中可以由簡單的邏輯、連鎖效應，看出資料的可得性難以壓縮，資訊安全的顧慮繁雜且傷害日益加強、容易擴散。將MFA在這些定律中的定位和現今的環境做簡單討論便可以發現其中的不足。

今天許多人都有許多虛擬身分、網路上無數個帳號，身分認證的使用量與對外接觸面積的劇增。另外網路犯罪和APT***的興盛。多重要素也經不起長時間和多方面的攻擊。

MFA就像是防護措施的防護措施，舒緩各種攻擊來源卻不會阻擋攻勢。身分認證需要完整的配套方案，以下以Azure Active Directory為例來看現今的雲端服務的相輔相成：

先前提到的帳戶過多的問題，Azure AD單一帳號登入所有應用程式和服務，這能大大降低部署好MFA保護的帳號因為其他帳號遭到破解而連帶受到威脅的機會。這也讓用者能用同一套認證系統使用所有需要的應用程式。Azure AD提供給使用者的自助入口介面更讓忘記密碼等麻煩情況可以更快解決。

Azure AD和原本內部部署Active Directory的整合和微軟的MFA能省下許多整合成本，不論是內部部署、雲端、或是遠端操作。

另外在Azure AD擁有雲端服務和裝置的資訊管理之下，能直接管理使用者對應用程式和資料的權限。即便使用者受到冒用，也能抑制傷害擴散到其他地方。

Azure 也提供其他對登入活動資訊的監測窗口和回報的服務。如果裝置或是憑證本身不安全，或是使用者正被冒用，MFA的驗證過程就已經喪失意義。若無法防禦攻擊，也要能獲得受到攻擊的資訊並輔以其他雲端MAM、MDM即時處理。當然，這也在Azure其他解決方案之中。

*Figure 1(left): Number of publicly posted website credential thefts, per month, from November 2013 to June 2014

*Figure 2: Number of stolen credentials from publicly-posted credential thefts, per month, from November 2013 to June 2014. The spike in February represents includes the public posting of 1 million hashed credentials that had been stolen from Forbes

**Ten Immutable Laws Of Security (version 2)

Law #1: If a bad guy can persuade you to run his program on your computer, it's not solely your computer anymore.

Law #2: If a bad guy can alter the operating system on your computer, it's not your computer anymore.

Law #3: If a bad guy has unrestricted physical access to your computer, it's not your computer anymore.

Law #4: If you allow a bad guy to run active content in your website, it's not your website any more.

Law #5: Weak passwords trump strong security.

Law #6: A computer is only as secure as the administrator is trustworthy.

Law #7: Encrypted data is only as secure as its decryption key.

Law #8: An out-of-date anti-malware scanner is only marginally better than no scanner at all.

Law #9: Absolute anonymity isn't practically achievable, online or offline.

Law #10: Technology is not a panacea.

***APT (Advanced Persistant Threat): 資安小常識

參考資料：

TechTarget SearchSecurity:

multifactor authentication (MFA) definition

Technet Blogs:

The Risk of Leaked Credentials and How Microsoft’s Cloud Helps Protect Your Organization

We Must Fundamentally Transform Our Approach to Security

Cloud security controls series: Azure AD Privileged Identity Management

Cloud security controls series: Multi-factor Authentication

過去一年中許多客戶已經準備計畫並遷移到當前的Windows Server 2012 R2基礎架構上，一些遷移至最新科技以支援新興需求的客戶體現了顯著的商業價值。

門窗領導廠商 Pella Corp 的業務從中獲得的額外生產力：舊有應用程式轉移至Windows Server 2012 R2後，效能因動態記憶體而提升，多重基礎架構的管理效率也受惠於Active Directory網域服務；The Walsh Group突破預算和資源限制，以獲得Windows Server 2012 R2 和 Microsoft Azure 等最新科技。在強化工作網站後，以芝加哥為基地的這家企業因此得以集合全球的勞動力和構想提升競爭力。

若企業繼續使用Windows Server 2003，將必須承擔安全風險以及系統不符合相關規範的可能。我們建議您盡早遷移系統：保護伺服器和持續接收微軟安全更新及修補程式，也為了獲得更好的營運效率、減輕IT負擔並借力當前雲端科技與應用促進靈活性。

遷移作業目的不僅止於軟體更新，還必須滿足應用程式、各種應用、嵌入式系統需求。建議在實施遷移前深入探索公司軟體的各種應用和運行狀態(包Window本身、客製化和第三方的應用程式)、所使用的各Windows Server(以及其他伺服器)的用途。評估伺服器和應用程式、 資料庫之間的相依性。雖然這次終止支援的是Windows Server 2003，但對系統做出完善調查也是應對其他終止時日及將至的服務的好機會(如2016/04/12將終止支援的SQL Server 2005)。當然，每一次的遷移依舊需要專屬的作業程序。盡早計畫系統遷移能紓解IT壓力，滿足新興的商業需求，並提供開發人員合乎時宜的環境和工具。

以下為基本遷移程序，詳細說明以及協助評估可見官方網站Planning Assistant

以下為Windows Server版本概觀。微軟重視未來的「行動優先，雲端優先」的策略、產品與服務。除了表格所見的各支援功能之外，Windows Server 2003無法應付未來市場需求、也不易整合微軟行動與雲端服務的各項解決方案。詳細可由官方網站首頁下載── IDC white paper: Why you Should Get Current (pdf檔)

參考資料：

Windows Server 2003 End-of-Support | Microsoft

(IDC white paper)Windows Server 2003: Why You Should Get Current by Al Gillen......Download

TechNet Sever & Cloud Blog:

Reminder: Support for Windows Server 2003 ends today

Best Practice for Windows Server 2003 End-of-Support Migration Part 1 & Part 2

Part 6: Windows Server 2003 end-o-Support | The Modernization of Windows Server 2012 R2

ATA偵測進階攻擊的方法是針對實體（使用者、裝置和資源）行為分析（現今通常稱為使用者行為分析［User Behavior Analytics，UBA］）和即時偵測攻擊者的方法、技術和程序（Tactics、Techniques 和 Procedures，TTPs）等組合。］

1. 在使用者行為分析中僅使用機器學習演算法不足以偵測進階攻擊；我們需要更全方位的方法。

大多數情況下，演算法多為事後偵測異常，但有很大的可能攻擊者已經成功攻擊。若以綜合安全風險、TTPs即時攻擊的偵測以及利用機器學習演算法做行為分析，如此的防範機制才可提供全方位、即時的資訊安全保護。

2.分析多個資料來源，是偵測進階安全性攻擊的關鍵。

分析記錄檔無法全面剖析資安風險，甚至會向您誤報；真正的辨識項位在網路封包中。這就是為什麼您需要深度封包檢查（deep packet inspection，DPI）、分析紀錄檔以及解析 Active Directory 資訊的組合來偵測進階攻擊。

行為分析結合即時偵測 TTPs

Microsoft ATA 是一套內部部署、非侵入式（non-intrusive）的解決方案，利用深度封包檢查（DPI）技術來分析 Active Directory 等相關網路流量，以及來自Security Information and Event Management (SIEM) 的資訊。

ATA 分析這些資訊在您的組織為每個實體建立動態行為設定檔，並建立一個組織安全性視圖（實體互動地圖顯示使用者、裝置和資源的活動內容）。

建立互動地圖後，ATA將識別異常行為、進階攻擊和安全性風險，ATA無須安裝桌面與伺服器代理程式。Microsoft Advanced Threat Analytics 有三個主要防範機制：

• 異常行為偵測：ATA 使用機器學習演算法來偵測異常的使用行為，包含異常登入與資料存取，甚至是異常的活動時間。
• TTPs 即時進階攻擊：ATA 使用 DPI 和來自其他來源的資訊來識別進階攻擊，像是Pass-the-Hash、Pass-the-Ticket、Overpass-the-Hash、Forged PAC（MS14-068）、Golden Ticket 和遠端執行網域控制站（Domain Controllers）、萬能鑰匙惡意軟體（Skeleton Key Malware）、Honey token活動等。
• 已知的安全性風險：ATA也會識別已知的安全性風險，例如服務帳戶在網路上以純文字的方式公開密碼、信任關係中斷（broken trust）、通訊協定弱點與漏洞。

ATA 如何運作？

• 經過簡單的部署精靈後，非侵入式連接埠監控（port mirroring）設定複製所有 Active Directory 相關流量到 Microsoft ATA 來偵測隱藏攻擊。 

Microsoft Advanced Threat Analytics 接著分析所有 Active Directory 相關流量，再從您公司的 SIEM 接收相關紀錄。重要的是 ATA 的所有資訊皆會儲存在本機，所以使用者個人資料不會離開該單位。

偵測引擎自動學習和剖析使用者的行為、機器與資料，然後利用機器學習技術匯出日常活動圖。

熟悉正常使用者行為後，ATA 若查詢到異常情況，會發出紅色旗幟和送出通知給安全團隊，並將這些異常活動的內容與即時進階攻擊偵測和安全性風險進行彙總，建立完整且易於理解的攻擊時間表。

• 1. 駭客開始偵察所能建立的攻擊路徑。

• 2. 利用相關資訊暴力破解帳戶的密碼

• 3. 一旦駭客將密碼到手，他可以登入不同的機器，橫向移動和搜尋先前登入到裝置的特殊權限帳戶

• 4. 竊取特殊權限帳戶的 NTLM 雜湊或 Kerberos Ticket，並且在使用者不知情的狀控下代理使用者進行 Pass-the-Hash/Ticket 攻擊、橫向移動以及存取資料。

為了提高精確度、節省您的時間與資源，ATA 不僅會比較行為設定檔，也會將互動圖中類似角色設定檔進行比較。這意味著誤判數量將顯著減少，讓您能關注真正的威脅。ATA 是現今唯一能動態提示使用者輸入、自動調整、學習和檢測能力的使用者行為分析解決方案。

現在就試試吧

您可以開始評估 Microsoft Advanced Threat Analytics，請下載我們的公開預覽版。您也可以在論壇提出問題和回饋。