微软信息安全之思

　　如何在软件开发过程中，把安全性植入软件的DNA？如何建立可信互联网，提供端到端的安全？微软将信息安全推进到了一个新的高度。

　　4月8日，微软最新的安全研究报告指出，2004年到2007年间，影响互联网安全的绝大部分漏洞在于应用软件，而不是操作系统，占88%到94%。2008年，整个行业的漏洞数量比2007年下降了16%。而在所有安全漏洞之中，对Windows XP有影响的占41%，Windows Vista只占5.5%。

　　报告发布后不久，微软安全技术部资深安全项目经理、《软件安全开发生命周期》的主要作者之一Michael Howard来到北京，专门对中国软件安全领域的技术专家们进行了为期四天的SDL（Security Development Lifecycle， 安全开发生命周期）培训，与中国信息安全测评中心的安全技术专家、高校教授和海关等政府机构的技术骨干分享了微软在软件开发过程中确保其安全性和可靠性所采取的方法论。

　　接受培训的中国信息安全测评中心常务副主任王贵驷告诉记者，软件开发生命周期促进了软件开发流程中从单纯追求功能性到完善软件自身安全性的转变，深具启发意义。

　　正本追末

　　尽管人们对微软安全认知一直被掩盖在其产品功能的光环之下，但是贯穿于软件产品生命的信息安全却一直是微软公司战略的重中之重。

　　近年来，微软连续收购6家安全厂商；微软去年在研发上90亿美元的投入中，有三分之一花在了改进产品安全、修补已有产品的漏洞等安全方面。

　　早在2002年，比尔·盖茨就在微软全公司范围内推行可信赖计算策略，Michael Howard作为当时的培训人专门用三个月时间给软件开发人员培训，从设计开始就强调源代码的安全性。

　　微软战略安全架构师裔云天在接受采访时表示，当时的可信赖计算主要包括四个方面。首先是安全，包括安全的设计，安全的部署以及安全的配置；其次是隐私；第三是保证开发的可靠性；最后是最佳的商业实践，微软在网上提供了文档和成功案例，帮助用户学习借鉴。作为独立于微软Windows平台的安全方法论，SDL同样适用于Linux等开源系统，可以满足各种平台软件开发者的安全需求。

　　微软希望建立一个可信的分层架构，架构底层是基本的安全基准，首先是软件开发过程中确保其安全性和可靠性，即SDL；其次是深层防御，从可信硬件、安全软件、可信的人到可信的数据，再上一层是“I+4A”的核心系统部件，定义授权人；最后建立不断更新的可信的架构，从硬件到软件到操作到网络来实现潜水艇式的重重防御。

　　从安全观到方法论

　　软件开发有了保障，但互联网上的安全该如何保证呢？“建立端到端的安全，仅仅靠微软一家是不够的。”裔云天对记者说。2003年，盖茨访华时与中国政府签署了GSP协议（政府源代码共享计划），这也就意味着政府可以自由查看微软的最高机密。

　　同时，微软还与政府签订了安全合作协议，一旦发生大规模的网络安全事件，微软可跟政府及时合作，共享信息，在最短时间内把这个事件带来的损耗降低。在过去两年多时间内，微软与国家信息中心、中国安全测评中心，共同做了安全护理中心，微软帮助政府自上而下安装安全补丁。

　　作为信息安全理念的推动者和践行者，微软针对企业用户建立了SGC（安全导航中心），加入导航中心的企业会定时收到最新补丁的安装通知，从而保护其内部安全性。目前，已经有300家大中型企业加入这个计划当中。微软安全漏洞响应中心可以通过一个专门的邮件地址，保证在4个小时回复所接收到的安全漏洞报告。微软在全球建立防钓鱼网站的联盟，一旦发现钓鱼网，联盟成员会对信息进行共享；与防病毒厂商建立起全球范围的联盟，入盟厂商都可以看到病毒的特征码。

　　作为全球最大的平台软件供应商，从安全观念到方法论，微软竭力面面俱到，采取全面“主动防护”策略，步步为营保障信息安全。