前情回顾·科技巨头的安全战略

安全内参1月31日消息，微软安全业务在2022年销售额创下历史新高，年收入超过200亿美元（约合人民币1351亿元）。但亮眼成绩之下，也引发了业界对微软这种“科技巨头+安全供应商”双重身份的激烈争论。

微软在日前的财报电话会议上透露，其安全业务收入同比增长33%，相较前年更是提升50%。考虑到当前整体低迷的经济形势，微软安全业务的营收增速已超过集团旗下其他所有主要产品。

微软CEO萨提亚·纳德拉（Satya Nadella）在财报电话会议上表示，“微软是唯一一家涵盖身份、安全、合规、设备管理及隐私的端到端集成工具供应商，每天收取和训练超65万亿个信号。我们在提供的所有主要产品类别中都占有一席之地。”

纳德拉强调，过去一年来，在微软平台上使用四种或更多工作负载的客户数量增加了40%以上。市值44亿美元的英国体育用品零售商Fraser’s Group就决定将以往的十家安全供应商整合为微软一家。

纳德拉还特别关注身份管理，提到市值27亿美元的数字媒体播放器开发商Roku，就使用Azure Active Directory将身份与访问管理转移到了云端。根据去年7月的IDC报告，微软在全球身份与访问管理市场中占据近四分之一份额，将占比仅为9.2%的亚军Okta远远甩在身后。

此外，纳德拉称微软的XDR和SIEM整合解决方案Microsoft Sentinel，吸引了市值116亿美元的日本制药业巨头Astellas Pharma、市值85亿美元的西班牙交通基础设施公司Ferrovial以及多伦多大学等诸多客户。

“微软安全悖论”？

一边是微软不断巩固其作为安全供应商的领导地位，另一边则是关于微软技术是否已成为企业安全风险重大来源的激烈争论不断。

争论的焦点，在于微软安全业务保障的恰恰就是微软自家产品中的安全漏洞。根据美国网络安全和基础设施安全局（CISA）已知被利用的漏洞列表，自2022年初以来，微软共报告169个安全漏洞，占过去一年所发现漏洞总量的30%。2021年，FBI、NSA、CISA、CIA等主要安全监管机构曾发布15个最常被黑客利用的漏洞，有9个（占比60%）源自微软系统中的网络安全缺陷。

最近，微软确认旗下服务器配置错误可能导致客户数据遭到未授权访问，这一事件曾在2022年10月引发了微软与威胁情报公司SOCRadar之间关于风险严重性的争论。11月，微软修复了6个零日漏洞，其中包括2个已被恶意黑客利用数月的严重漏洞。

微软一位发言人在声明中指出，“面对当前的威胁形势，没有任何企业或个人能够免受攻击。”这一观点是正确的，过去几年针对技术和安全厂商的无数安全事件已经充分做出了证明。而且考虑到“树大招风”，之所以涉及微软技术的安全事件更多，也是因为微软产品广泛的市场应用。

但是，仍有部分行业领袖对微软的安全业务运营信誉表达了担忧。安全厂商Proofpoint战略执行副总裁Ryan Kalember去年12月在《财富》杂志的一篇评论文章中，详细描述了他提出的“微软悖论”现象，称微软是在靠自家产品的安全漏洞来攫取财务收益。

Kalember在文中写道，“只要微软在改善代码安全、停用旧功能（像苹果那样）或者推动庞大的客户群体提高安全基准（像谷歌那样）等方面能稍微加快脚步，就足以为整个安全社区做出惊人的贡献。但情况并非如此，微软并没有投入大量资金预防漏洞、修复配置缺陷，反而依靠这些问题牟利。所以，微软公司一方面是在传播漏洞并托管恶意软件，另一方面又收费‘保护’用户免受这些漏洞和威胁的侵害。”

微软犯的错，微软弥补

但值得注意的是，Proofpoint是微软在电子邮件安全领域的主要竞争对手之一。市场研究公司Omdia的高级首席分析师Rik Turner认为，Proofpiont公司之所以在2021年接受Thoma Bravo开出的123亿美元收购价私有化，“至少部分原因是微软也进入了这个市场。”

安全厂商Epiphany Systems首席安全与信任官、前英特尔首席安全与隐私官Malcolm Harkins也补充称，“Proofpoint的论述可能存在误导性，他们也有故意让人们对微软起疑的经济动机。”

Harkins承认，如果安全供应商能从计算漏洞中获利，那整个安全行业确实拥有故意维持风险循环的经济动机。但在他看来，微软几乎不太可能甘冒如此巨大的品牌声誉与法律风险，故意在自己的业务应用中部署和传播恶意软件。他的判断恰恰相反：微软会从安全业务中吸取教训，借此提高业务应用程序（例如Microsoft Office）的安全水平。

微软并没有直接回复置评请求，但公司一名发言人重申，微软的云生产力与安全产品每天处理65万亿个安全信号，能够分析超过25亿个端点，一年内阻止了347亿次身份威胁与370亿次邮件威胁。

微软发言人还提到，该公司为网络安全社区贡献了“大量数据和研究成果。我们打心底里认同社区协作的重要意义，所有供应商必须共同努力才能让整个世界变得更安全。”

Turner认为，对整个行业而言，微软安全业务的存在有其积极意义。这有利于促进竞争，也有助于FIDO联盟无密码身份验证等标准打开知名度并真正普及。

但其他安全供应商仍需保持警惕。Turner说，“即使别家开发的安全技术能为微软自家方案提供补充，生存危机也随时可能降临。一旦微软决定收购你的竞争对手或者自主开发同类功能，你就会被挤垮。”

参考资料：https://www.scmagazine.com/analysis/vulnerability-management/microsoft-security-sales-soar-amid-competitive-critique-of-business-model

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。