Visão geral do Gerenciamento de Ameaças e Vulnerabilidades
Como a Microsoft serviços online realizar o gerenciamento de vulnerabilidades?
Não importa o nível de design de um sistema, sua postura de segurança pode ser degradada ao longo do tempo. Os computadores podem ficar sem patch, alterações de configuração inadvertida podem ser introduzidas e regressões ao código de segurança podem se acumular. Todos esses problemas podem tornar um sistema menos seguro do que quando foi implantado inicialmente. A Microsoft criou recursos automáticos para avaliar continuamente nossos sistemas quanto a esse tipo de degradação, permitindo que ajamos imediatamente para corrigir problemas em nossa postura de segurança.
A Microsoft serviços online usar a verificação de estado do computador para garantir que os computadores que compõem nossa infraestrutura estejam atualizados com os patches mais recentes e que suas configurações base se alinhem corretamente com estruturas relevantes. A verificação de estado do computador usa patching, anti-malware, verificação de vulnerabilidades e pavc (verificação de configuração). A Microsoft serviços online aplicar PAVC eficaz instalando um agente de segurança personalizado em cada ativo durante a implantação. Esse agente de segurança permite a verificação do estado do computador e relata os resultados para nossas equipes de serviço.
Como a Microsoft serviços online garantir que a infraestrutura de serviço esteja atualizada com os patches de segurança mais recentes?
O gerenciamento de patch atenua vulnerabilidades, garantindo que os sistemas do Microsoft serviços online sejam atualizados rapidamente quando novos patches de segurança forem lançados. A Microsoft prioriza novos patches de segurança e outras atualizações de segurança de acordo com o risco. As equipes de segurança do serviço online da Microsoft analisam patches de segurança disponíveis para determinar seu nível de risco no contexto de nossos ambientes de produção. Sua análise inclui pontuações de severidade com base no SISTEMA de Pontuação de Vulnerabilidade Comum (CVSS) juntamente com outros fatores de risco.
As equipes de serviço da Microsoft analisam a análise da equipe de segurança e atualizam seus componentes de serviço e imagens de linha de base com patches aplicáveis dentro do período de correção apropriado. Os patches de segurança estão sujeitos ao processo de gerenciamento de alterações para garantir a aprovação adequada de teste e gerenciamento antes da implantação em ambientes de produção. A implantação de patches de segurança ocorre em estágios para habilitar a reversão se um patch de segurança causar problemas inesperados.
As equipes de serviço usam os resultados da verificação de vulnerabilidade para validar a implantação de patch de segurança nos componentes do sistema aplicáveis. Quaisquer vulnerabilidades em atraso são relatadas diariamente e revisadas pelo gerenciamento mensalmente para medir a amplitude e a profundidade da cobertura de patch em todo o ambiente e nos responsabilizar por patchs oportunos.
Como a Microsoft realiza a verificação de vulnerabilidades e configurações?
O agente de segurança da Microsoft é instalado durante a implantação de ativos e habilita a verificação de configuração e vulnerabilidade totalmente automatizada. O agente de segurança usa as ferramentas padrão do setor para detectar vulnerabilidades conhecidas e configurações incorretas de segurança. Os ativos de produção são agendados para verificações automáticas diárias com as assinaturas de vulnerabilidade mais recentes. Os resultados dessas verificações são coletados em um serviço de armazenamento central seguro e os relatórios automatizados disponibilizam os resultados para as equipes de serviço.
As equipes de serviço examinam os resultados da verificação usando painéis que relatam resultados de verificação agregados para fornecer relatórios abrangentes e análise de tendências. As vulnerabilidades detectadas nas verificações são rastreadas nesses relatórios até que sejam corrigidas. Quando as verificações de vulnerabilidade indicam patches ausentes, configurações incorretas de segurança ou outras vulnerabilidades no ambiente, as equipes de serviço usam esses relatórios para direcionar os componentes afetados para correção. As vulnerabilidades descobertas por meio da verificação são priorizadas para correção com base em suas pontuações do Sistema de Pontuação de Vulnerabilidades Comuns (CVSS) e outros fatores de risco relevantes.
Como a Microsoft se defende contra malware?
A Microsoft usa um software anti-malware abrangente para proteger a Microsoft serviços online contra vírus e outros malwares. As imagens do sistema operacional de linha de base usadas pela Microsoft serviços online incluem esse software para maximizar a cobertura em todo o ambiente.
Cada ponto de extremidade no Microsoft serviços online executa uma verificação anti-malware completa pelo menos semanalmente. Verificações adicionais em tempo real são executadas em todos os arquivos à medida que são baixados, abertos ou executados. Essas verificações usam assinaturas de malware conhecidas para detectar malware e impedir a execução de malware. O software anti-malware da Microsoft está configurado para baixar as assinaturas de malware mais recentes diariamente para garantir que as verificações sejam realizadas com as informações mais atualizadas. Além das verificações baseadas em assinatura, o software anti-malware da Microsoft usa o reconhecimento baseado em padrão para detectar e impedir comportamentos suspeitos ou anômalos do programa.
Quando nossos produtos anti-malware detectam vírus ou outros malwares, eles geram automaticamente um alerta para as equipes de resposta de segurança da Microsoft. Em muitos casos, nosso software antimalware pode impedir a execução de vírus e outros malwares em tempo real sem intervenção humana. Quando essa prevenção não é possível, as equipes de resposta à segurança da Microsoft resolve incidentes de malware usando o processo de resposta a incidentes de segurança.
Como a Microsoft detecta vulnerabilidades novas ou não relatadas?
A Microsoft complementa a verificação automatizada com aprendizado de máquina sofisticado para ajudar a detectar atividades suspeitas que podem indicar a presença de vulnerabilidades desconhecidas. O teste de penetração regular por equipes internas da Microsoft e auditores independentes fornece um mecanismo adicional para descobrir e corrigir vulnerabilidades antes que elas possam ser exploradas por invasores do mundo real. A Microsoft realiza testes de penetração interna usando "Red Teams" de hackers éticos da Microsoft. Sistemas e dados de clientes nunca são alvos de testes de penetração, mas as lições aprendidas com testes de penetração ajudam a Microsoft a validar seus controles de segurança e se defender contra novos tipos de ataques. A Microsoft também usa programas de recompensa de bugs para incentivar a divulgação de novas vulnerabilidades, permitindo que elas sejam atenuadas o mais rápido possível.
Regulamentos externos relacionados & certificações
Os serviços online da Microsoft são auditados regularmente para conformidade com regulamentos e certificações externas. Consulte a tabela a seguir para validação de controles relacionados a Gerenciamento de Ameaças e Vulnerabilidades.
Azure e Dynamics 365
| Auditorias externas | Section | Data do relatório mais recente |
|---|---|---|
| ISO 27001/27002 Instrução de Aplicabilidade Certificado |
A.12.6.1: Gerenciamento de vulnerabilidades técnicas | 6 de novembro de 2023 |
| ISO 27017 Instrução de Aplicabilidade Certificado |
A.12.6.1: Gerenciamento de vulnerabilidades técnicas | 6 de novembro de 2023 |
| ISO 27018 Instrução de Aplicabilidade Certificado |
A.12.6.1: Gerenciamento de vulnerabilidades técnicas | 6 de novembro de 2023 |
| SOC 1 SOC 2 SOC 3 |
VM-3: monitoramento anti-malware VM-5: Patching VM-6: Verificação de vulnerabilidades |
17 de novembro de 2023 |
Microsoft 365
| Auditorias externas | Section | Data do relatório mais recente |
|---|---|---|
| FedRAMP (Office 365) | CA-7: monitoramento contínuo CA-8: teste de penetração RA-3: Avaliação de risco RA-5: Verificação de vulnerabilidades SI-2: Correção de falhas SI-5: alertas de segurança, avisos e diretivas |
31 de julho de 2023 |
| ISO 27001/27002/27017 Instrução de Aplicabilidade Certificação (27001/27002) Certificação (27017) |
A.12.6.1: Gerenciamento de vulnerabilidades técnicas | março de 2024 |
| SOC 1 | CA-27: Verificação de vulnerabilidades | 23 de janeiro de 2024 |
| SOC 2 | CA-24: avaliação de risco interno CA-27: Verificação de vulnerabilidades |
23 de janeiro de 2024 |
Recursos
Comentários
Em breve: Ao longo de 2024, eliminaremos os problemas do GitHub como o mecanismo de comentários para conteúdo e o substituiremos por um novo sistema de comentários. Para obter mais informações, consulte https://aka.ms/ContentUserFeedback.
Enviar e exibir comentários de