Ahn-young-ha-seh-yo & Kon-ni-chi-wa

Handle: Cap’n Steve
IRL: Steve Adegbite
Rank: 高级安全项目经理主管
喜欢: 逆向工程大量代码以及在滑雪板上驰骋
不喜欢: 不多，但如果你听到我咆哮……快跑

大家好！好久没有机会在这里写博客分享我们的工作了。作为我们理念的重要组成部分，我参加了多个安全会议，包括在日本东京的PacSec和韩国首尔的POC 2009。这两个会议都非常出色，提供了精彩的安全演讲。

PacSec吸引了众多日本安全界的参与者（本地专家非常敏锐和精明），以及国际研究人员和过去的BlueHat演讲者，如Charlie Miller和Alex Stamos。花点时间查看我们自己的Tony Lee介绍SIRv7和Jason Shirk讨论模糊测试策略的存档演示。但最大的兴趣集中在移动代码威胁，如恶意软件，以及边界防御作为可行保护措施的逐渐失效。这似乎是一个热门话题，以至于刚刚结束的BlueHat v9会议专门有一个轨道讨论移动安全，而在2010年6月的年度FIRST会议上，边界防御的失效将成为整个会议的主题。

在防护有效性方面，这是一个循环状态。我记得在80年代和90年代，防火墙被认为能解决一切问题。但就像生活中的一切事物一样，事物在进化，防火墙成为复杂网络的一部分，与其他技术一起进化以应对威胁。

这种循环和进化过程是微软非常了解的。持续的安全进化构建了MSRC流程和安全开发生命周期（SDL）。这是我们应对威胁的方式。

访问POC 2009和PacSec，我更多地了解了微软外部人员如何进化和应对；大多数人要么创建更复杂的流程，要么购买更多技术。当我坐在POC 2009观看演示时，我也看到了相同的主题。似乎随着威胁的进化，各地的安全人员都在推出更复杂的流程和技术。但当我们创建的复杂性超过了问题时会发生什么？我可以看到，我们将始终面临新威胁的技术挑战。

例如，Conficker是一个新威胁，由于其复杂性，帮助每位安全专业人员进化。然而，Conficker还发生了其他事情，真正点亮了我的思路。Conficker利用了旧威胁和长期存在的安全最佳实践。Conficker使用这些旧威胁，并且在利用我们的复杂流程和技术方面仍然非常成功，这很有趣。

我不禁问自己这个问题，是否由于我们的复杂性，我们未能考虑到过去的经验？我不这么认为。我认为我们可能忘记了一两个主要关注的安全因素。这些因素是“人员”和“流程”。人员管理对于安全是任何类型安全计划的关键原则。这一事实在包括计算机安全在内的每个主题和每个地方都得到了证明。

如果你的计划没有考虑到人类因素的理解以及它对安全流程的意义，那么你错过了一个重要点。理解“人员”因素将帮助你在安全计划的下一个重要部分，即流程部分。

坐在PacSec和POC 2009，我看到我们在技术进步方面有牢固的掌握。两个会议的演示在技术上都非常出色，并且处于新发展的前沿。但我仍然相信，更专注于计算机安全的“人员”因素将比技术进步更能增强安全性。

在微软，我们正在朝这个方向看，因为我们关注非洲大陆的技术增强。这是一个有机会强调“人员”方面的地方，同时建立流程以利用提供给民众的新技术。希望随着这一新倡议的发展，你会在未来的帖子中看到更多这种模式。但现在，请确保在创建、修改或应对安全领域的问题时，关注“人员”因素。它可能会给你带来令人惊讶的新视角和解决方案。

• -Steve
  帖子按“原样”提供，不提供任何保证，也不授予任何权利。