威胁和漏洞管理概述
Microsoft 联机服务如何进行漏洞管理？
无论系统设计得如何，其安全状况都会随时间推移而下降。 计算机可能未打补丁，可能无意引入配置更改，安全代码回归可能会累积。 所有这些问题都可能使系统的安全性低于最初部署的时间。 Microsoft 构建了自动化来持续评估系统是否存在这种降级，使能够立即采取行动来更正安全状况中的问题。
Microsoft 联机服务使用计算机状态扫描来确保构成基础结构的计算机具有最新修补程序，并且其基本配置与相关框架正确一致。 计算机状态扫描使用修补、反恶意软件、漏洞扫描和配置扫描。 Microsoft 联机服务部署期间在每个资产上安装自定义安全代理来应用有效扫描。 此安全代理支持计算机状态扫描，并向我们的服务团队报告结果。
如何Microsoft 联机服务确保服务基础结构与最新的安全修补程序保持最新？
修补程序管理可确保Microsoft 联机服务系统在发布后跨适用的系统进行一致更新，从而缓解漏洞。 Microsoft根据风险确定新安全修补程序和其他安全更新的优先级。 Microsoft联机服务安全团队会分析可用的安全修补程序，以确定它们在生产环境中的风险级别。 分析包括基于常见漏洞评分系统 （CVSS） 的严重性分数，以及其他风险因素。
Microsoft服务团队查看安全团队的分析，并在适当的修正时间内使用适用的修补程序更新其服务组件和基线映像。 安全修补程序受变更管理流程约束，以确保在部署到生产环境之前进行充分的测试，并获得管理批准。 如果安全修补程序出现意外问题，安全修补程序会分阶段部署，以启用回滚。
服务团队使用漏洞扫描结果，以验证适用系统组件上的安全修补程序部署。 任何过期的漏洞每天报告一次，并由管理层每月审查一次，以衡量整个环境中的修补程序覆盖范围的广度和深度，并追究自己及时修补的责任。
Microsoft如何进行漏洞和配置扫描？
Microsoft的安全代理在资产部署期间安装，可实现完全自动化的漏洞和配置扫描。 安全代理使用行业标准工具来检测已知漏洞和安全错误配置。 每天安排生产资产，使用最新的漏洞签名进行自动扫描。 这些扫描的结果收集在安全的中央存储服务中，自动报告使结果可供服务团队使用。
服务团队使用用于报告聚合扫描结果的仪表板查看扫描结果，以提供全面的报告和趋势分析。 在这些报告中跟踪扫描中检测到的漏洞，直到它们得到修正。 当漏洞扫描指示环境中缺少修补程序、安全配置错误或其他漏洞时，服务团队会使用这些报告以受影响的组件为目标进行修正。 根据通过扫描发现的漏洞的 CVSS 分数和其他相关风险因素，优先进行修正。
Microsoft如何防范恶意软件？
Microsoft使用全面的反恶意软件来保护Microsoft 联机服务免受病毒和其他恶意软件的侵害。 Microsoft 联机服务使用的基线操作系统映像包括此软件，以最大程度地覆盖整个环境。
Microsoft 联机服务 中的每个终结点至少每周执行一次完整的反恶意软件扫描。 下载、打开或执行文件时，将对所有文件执行其他实时扫描。 这些扫描使用已知的恶意软件签名，检测恶意软件并防止恶意软件执行。 Microsoft的反恶意软件配置为每天下载最新的恶意软件签名，以确保使用最新信息进行扫描。 除了基于签名的扫描之外，Microsoft反恶意软件还使用基于模式的识别来检测和防止可疑或异常的程序行为。
当我们的反恶意软件产品检测到病毒或其他恶意软件时，它们会自动为Microsoft安全响应团队生成警报。 在许多情况下，反恶意软件在无需人工干预的情况下，可以防止实时执行病毒和其他恶意软件。 如果无法进行这种防护，Microsoft安全响应团队使用安全事件响应过程解决恶意软件事件。
Microsoft如何检测新的或未报告的漏洞？
Microsoft通过复杂的机器学习补充自动扫描，以帮助检测可能指示存在未知漏洞的可疑活动。 内部Microsoft团队和独立审核员的定期渗透测试提供了一种额外的机制，用于在漏洞被实际攻击者利用之前发现和修正漏洞。 Microsoft使用Microsoft道德黑客的“红队”进行内部渗透测试。 客户系统和数据从来不是渗透测试的目标，但从渗透测试中吸取的经验教训有助于Microsoft验证其安全控制措施并抵御新型攻击。 Microsoft还使用 bug 奖励计划来激励披露新漏洞，从而尽快缓解这些漏洞。
相关的外部法规 & 认证
定期审核Microsoft联机服务是否符合外部法规和认证。 有关与危险和漏洞管理相关的控件的验证，请参阅下表。
Azure 和 Dynamics 365
| 外部审核 | Section | 最新报告日期 |
|---|---|---|
|
ISO 27001 适用性声明 证书 |
A.12.6.1：管理技术漏洞 | 2024 年 4 月 8 日 |
|
ISO 27017 适用性声明 证书 |
A.12.6.1：管理技术漏洞 | 2024 年 4 月 8 日 |
|
ISO 27018 适用性声明 证书 |
A.12.6.1：管理技术漏洞 | 2024 年 4 月 8 日 |
|
SOC 1 SOC 2 SOC 3 |
VM-3：反恶意软件监视 VM-5：修补 VM-6：漏洞扫描 |
2024 年 5 月 20 日 |
Microsoft 365
| 外部审核 | Section | 最新报告日期 |
|---|---|---|
| FedRAMP | CA-7：持续监视 CA-8：渗透测试 RA-3：风险评估 RA-5：漏洞扫描 SI-2：缺陷修正 SI-5：安全警报、公告和指令 |
2024 年 8 月 21 日 |
|
ISO 27001/27017 适用性声明 认证 (27001) 认证 (27017) |
A.12.6.1：管理技术漏洞 | 2024 年 3 月 |
| SOC 1 | CA-27：漏洞扫描 | 2024 年 8 月 1 日 |
| SOC 2 | CA-24：内部风险评估 CA-27：漏洞扫描 |
2024 年 1 月 23 日 |