聊一聊微软的端点安全策略

本文由Roe编译，转载请注明。

微软正在将这些技术统一到Windows Defender Advanced Threat Protection品牌伞下，该品牌最初仅指该公司的商业事件检测和调查产品。

微软的端点安全方法似乎在追求以下三个目标：

1. 通过针对现代硬件和Windows版本用户的基线安全措施保护操作系统。这包括从BootKit（Windows Defender System Guard）保护核心操作系统组件的完整性；在管理程序强制执行的沙箱（Windows Defender Application Guard）中运行微软浏览器；以及实施漏洞缓解（Windows Defender漏洞防护：漏洞保护）。为用户提供一个强大的操作环境至关重要，以至于无法将此类任务委托给第三方。

2. 激励其他供应商进行创新，超越微软为其现代操作系统版本提供的商品安全控制。Windows防御软件和Windows防御软件防火墙（Windows 10）上的高级安全（WFAS）就是这种技术的例子。微软一直在扩展这些基本功能，以与商业产品的类似特性保持一致。这不仅让微软能够控制其操作系统的安全态势，还迫使其他供应商基于专业知识或其他战略能力来解决更高级的问题。

3. 扩大企业客户的收入来源。要集中管理Microsoft的端点安全层，企业可能需要购买System Center Configuration Manager（SCCM）或Microsoft Intune。获得一些微软的安全技术，如Windows Defender Advanced Threat Protection的EDR组件，需要升级到高端Windows Enterprise E5许可证。通过将此类商业产品与其他产品捆绑在一起，而不是以独立的方式提供，该公司鼓励客户将其IT管理的所有方面转移到微软。

在追求这些目标的过程中，微软开发了一些构建模块，这些模块开始类似于商业端点保护平台（EPP）产品的功能。由此产生的解决方案目前看来还有很大完善的空间：

1. 对于那些尚未完全接受微软满足其所有IT需求或缺乏集团政策等技术专长的公司来说，集中管理和监督这些组件是困难的。

2. 理解安全功能、相互依赖性和许可要求是一项艰巨、令人沮丧且耗时的任务。

3. 大多数值得考虑的端点安全功能仅适用于最新版本的Windows 10或Windows Server 2016。有些硬件依赖项与旧硬件不兼容。

4. 一些功能具有与其他产品不兼容的依赖项。例如，依赖Hyper-V的安全功能会阻止用户在端点上使用VMware虚拟机监控程序。

5. 有些技术对于现实世界的部署来说仍然太不成熟或不切实际。例如，启用受控文件夹访问功能后使用Windows 10系统在几天后变得难以忍受。

6. 这些层有时会以一种尴尬的方式组合在一起。例如，微软提供了两种应用白名单技术Windows Defender Application Control（WDAC）和AppLocker，它们在某些功能上相互重叠。

虽然侵犯了传统上由第三方主导的端点领域，但微软为安全供应商提供价值并与微软的安全技术合作留下了空间。例如：

• 微软为集成创建了反恶意软件扫描接口（AMSI）。例如，当第三方产品停止Windows Defender Antivirus未检测到的威胁时，该产品可以使用AMSI将该事件通知Microsoft的技术人员。

• 该公司还宣布成立微软智能安全协会。此仅限邀请函俱乐部的成员可以通过Microsoft的智能安全图共享威胁英特尔，并以其他未说明的方式进行协作。

微软的一些端点安全技术仍然让人感觉脱节。随着该公司对其安全性方法进行微调，并使其能力成熟，它们变得越来越没那么重要。微软正在稳步引导企业将 Microsoft 作为 IT 产品的事实上的供应商。尽管并非所有企业都会接受全微软的IT愿景，但仍有许多企业会选择接受。端点安全供应商将需要明确他们在由此产生的生态系统中的角色，并扩大并阐明他们独特的价值主张。

原文链接：

https://zeltser.com/making-sense-of-microsofts-endpoint-security-strategy/

参考链接：

https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-smartscreen/microsoft-defender-smartscreen-overview

https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/microsoft-defender-antivirus-windows?view=o365-worldwide

https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/?view=o365-worldwide

https://blog.minerva-labs.com/windows-defender-in-the-enterprise-an-epp-product-in-the-making