正在阅读：网络安全方面的六大紧迫问题网络安全方面的六大紧迫问题

　　四、微软究竟会不会做好安全工作？

　　说到安全，微软能赢得一点尊重吗？

　　就连Bill Gates偶尔也会放下架子，解释为什么微软在安全方面的工作常常做得不够到位。他的最近一次公开亮相是出现在RSA 2007年大会上，一同上台的还有Craig MundIE：Gates把将来负责产品安全的大权交给了他。两个人解释了为什么微软的软件不尽如人意。

　　Mundie说：“凡是人，都会犯错。”随后他们俩表示，追根溯源，过去困扰微软软件的缺乏足够安全是由于早期幼稚地认为：不需要太多的控制，因为“每个人都是大好人”，没有人在搞破坏。

　　Nemertes Research公司的高级副总裁兼创始合伙人Andreas Antonopoulos表示，这个几十年前的包袱对微软来说仍是个负担。

　　Antonopoulos说：“即使在今天，25年前在基本设计方面作出的决策仍在困扰微软。Windows Vista不是一款新的操作系统；Vista内部有许多比较旧的操作系统，这是为了确保应用程序的向后兼容。”

　　Antonopoulos表示，微软陷入了进退两难的境地。如果该公司果真决定重新开始设计软件，很可能就得牺牲财务优势。他说：“这是不可能发生的。”

　　伯顿集团的分析师Dan Blum表达了类似的观点，他说：“从这个意义上来说，微软得有所妥协。它不得不考虑后向兼容带来的限制因素。”

　　几年前，微软推出了所谓的下一代安全计算基础（NGSCB）项目，试图与过去来个一刀两断，但后来“微软终止了这个项目”，Blum说。

　　据Blum声称，微软仍然在走“便利、灵活性和后向兼容”兼顾的这条路，这样使它在市场上可以获得最大的优势。Blum若有所思地说，如果自己是Bill Gates，就会尝试采用“并行方法”来开发下一代值得信赖的操作系统，哪怕这个操作系统与现有的应用程序断绝关系。

　　在其他方面，微软制订了一项总体上切实可行的身份策略，但受到了以Windows为中心的方法的阻碍。Blum说：“他们对任何不同的平台从不表示认可。”比方说，微软对安全标记声明语言（SAML）标准缺少支持“就是一大错误，不利于整个行业。”

　　Antonopoulos认为，Linux、Unix和Macintosh等操作系统随带的“设计安全状况”比微软操作系统随带的来得好。不过Antonopoulos和Blum都表示，微软改进了Vista和XP2的安全。

　　Antonopoulos说：“问题在于，微软的名声搞得很臭，很难摆脱这种臭名声。”微软有许多才华横溢的工程师，拥有身份和信任机制设计方面的专长，但他们在技术会议上表达的意见似乎很少被采纳到微软软件当中。“我认为他们的意见肯定被否决了。”

　　与微软紧密合作的一些第三方安全软件提供商则认为，微软有时也一直在努力。

　　Lieberman软件公司开发与微软桌面机和服务器产品兼容的密码和系统管理工具，公司总裁Phil Lieberman说：“微软就像是一辆过山车，情况经常急转突变。微软的问题在于，它并不只是一家公司。它有好多家不同的公司，走不同的道路，你争我斗。”

　　在微软的一些部门，比如管理客户关系管理产品或者Office产品的部门，它们没有努力与第三方应用程序兼容以提高安全，而“核心操作系统部门比较开放”，Lieberman说。

　　但是与微软合作（这可能是获得微软官方认证的前提）最让人恼火的地方是，这家公司在技术文档方面做得并不好。

　　Lieberman说：“操作系统当中极大一部分没有相应的说明文档。微软的变动步伐太快了，开发了那么多的版本和更新程序，没有人在跟踪微软开发的东西。比方说，如果微软对周二发布的补丁作了改动，并且改动了数据链接库，却没有去改动说明文档，结果你的应用程序运行不了。你只好去查找原因，结果发现原来微软作了改动。”

　　另一些人虽然承认微软以往的表现很糟糕，不过显得要宽和一点。

　　赛门铁克公司的安全响应部门主任Oliver Friedrichs说，微软加强安全的努力已经带来了“积极影响”。他说：“我们要给微软一些掌声，因为它改进了操作系统的安全。”

　　过去几年根本没有出现过危害性极大的那种蠕虫攻击，比如早些年的“红色代码”、“冲击波”和“尼姆达”，这些蠕虫曾利用微软产品的漏洞，在全球各地大肆破坏。

　　Friedrichs补充说：“如今的攻击者把注意力放在了第三方的Web插件上。”

　　SystemExperts咨询公司的Jon Gossels说：“很容易找微软的岔子，因为其产品无所不在，过去也有着问题。但微软的产品一年比一年来得安全，外面有许多专业人士在设法查找微软软件的缺陷。”

　　安全管理人员事先知道DLP可能是一项颠覆性技术，就可以作好相应计划：让审计人员和法律人员作好准备，并且让业务管理人员作好准备――在大多数公司看来，他们是合法的数据所有者。

　　Ron Baklarz是用过DLP产品的安全专业人士，最近他离开了MedStar健康集团，加盟美国全国铁路客运公司（Amtrak），担任首席信息系统官。他表示，自己在MedStart时对Reconnex DLP采取的办法就是，让业务人员参与数据监管过程。

　　Baklarz忠告：“你要与业务人员在法规遵从方面进行合作。”让授权的业务人员可以登录并使用DLP技术系统，这样对方就会积极参与数据丢失预防工作。