不为人知的微软Office 365安全性

日期: 2014-12-23 作者:Dave Shackleford翻译:皮红 来源:TechTarget中国 英文

微软Office 365具有很强的安全性,但,微软Office 365并不能为企业提供企业所需的粒度。专家Dave Shackleford指出了微软基于云的办公套件,在安全方面的利与弊。

随着Windows XP操作系统逐渐退出市场,越来越多的组织开始寻求新的操作系统,进而有机会去探索应用程序的不同服务模式。目前,很多基于云的办公应用都可以采用,其中,微软office 365吸引了大多数用户,受到了普遍关注。

本文探讨了微软Office 365最为关键的安全技术,以及企业应该意识到的一些潜在的安全问题,并且如何处理这些安全问题。

Office 365安全性具备的功能

微软Office 365运行在典型的多租户公共云环境下。Active Directory组件用来将客户之间的数据分离开,微软公司将单独的Office 365环境提供给客户使用,但是,这增加了额外成本。

所有用户访问Office 365基础设施,都必须通过基于strictrole的访问控制(RBAC)技术,该技术采用“密码箱”的方法。工程技术人员请求访问特定的操作任务,每次都要进行验证和审核,并且申请访问时间和监控。

Office 36所有的网络连接默认使用的是互联网的SSL / TLS。在Office 365环境中,存储的数据使用磁盘锁加密,微软的加密功能是利用高级的加密标准算法。

Office 365具备自定义的加密策略,这种加密可以应用于存储的内容或者用于签署文档。Windows版权管理服务使管理员能够指定哪些人可以访问加密内容,用户可以进行哪种类型的访问,以及什么时间可以访问加密内容。此外,目前,微软也提供可配置的电子邮件加密服务。Office 365信息加密是建立在Azure权限管理的基础上,管理员能够灵活地控制加密服务何时以及如何应用,这取决于一系列的自定义属性,包括关键字或内部与外部的收件人。

管理员利用Azure内置的Active Directory身份平台,或者使用本地Active Directory,与内部的Active Directory存储集成,来控制所有Office 365的访问。其他的目录存储和身份系统包括Active Directory Federation服务和第三方安全令牌服务,这些服务都来自SecureAuth和Swivel服务供应商。

配置更高级的联合能够支持真正的单点登录,使企业用户能够使用现有的网域认证,同时,结合多因素身份认证选择项,以及基于客户的NAC功能的访问控制,可以通过Office 365的身份认证。例如, 使用公共无线连接或者公共电脑的用户,如果试图访问Office 365,可能会受到限制,因为Office 365可能规定了只能通过客户端访问。

Office 365安全性的好处

Office 365的一个更具吸引力的特性是,数据丢失预防(DLP)的控制策略。借助于在线转换和Outlook 2012,安全管理员可以开发DLP规则,当用户准备发送电子邮件时,提醒用户电子邮件的内容和附件要匹配,还要注意敏感信息。如果邮件内容符合要求,可能会通知你内容允许发送,或者弹出明确的修改规定,通知管理员,或者基于发送方,接收方,内外部地址,域名等等直接阻止邮件发送。微软OneDrive 的DLP功能目前正在开发, 是基于云的存储驱动,可以通过用户的移动设备,笔记本和台式机访问。OneDrive的DLP功能预计在本月首次亮相。

Office 365也同时具备强大的电子搜索策略,该策略在 Office 365 eDiscovery中心内部可用。可以授权使用RBAC的法律顾问来访问eDiscovery中心,并且,使用工具可以搜索所有Office 365数据存储,包括电子邮件、文档和网站邮箱,并且能够保存数据。反垃圾邮件和防病毒控制内置在Office 365中,管理员可以在某些方面进行配置,如阻止敏感性信息和报警。

Office 365安全性缺点

Office 365安全服务的一个缺点是,缺少恶意软件和垃圾邮件的证据提供给微软客户。由于微软阻止了附件和垃圾邮件,不能为客户提供所阻止的内容,从而不能对那些有威胁的情报和恶意软件进行分析。一些大型机构想要通过挖掘垃圾邮件和网络钓鱼数据,来加强情报的安全性,这对于其它有价值的安全产品来说,可能是一个很大的弊端。

虽然DLP服务仅对管理员开放,但是DLP服务非常简单,并且容易配置。

还有最后一点,微软曾遇到过很多有关合规性要求的问题,例如欧盟数据保护法律,HIPAA和ISO 27001,将敏感数据放到云环境中, 确实存在一定风险,因此,不管有没有选择外包模式,组织都将继续负责监管问题。

结论

总的来说,Office 365旨在提供一套功能强大且灵活的云应用服务,包括提供广泛的与安全相关的特性。随着添加的安全特性越来越多,以及消费者额外配置的功能, 在未来几年内,采用Office 365的组织将会发现,Office 365的安全性能够满足大多数企业的需求。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

作者

Dave Shackleford
Dave Shackleford

Dave Shackleford是Voodoo安全有限责任公司的所有人和咨询师、IANS资深导师、SANS研究院分析师、高级讲师和课程作者。他已为数百个组织在安全、法规合规性以及网络架构与工程领域提供了咨询服务,是具有丰富安全虚拟化基础设施设计和配置经验的VMware vExpert。Dave之前是Configuresoft公司的CSO、互联网安全中心的CTO、并曾出任多家财富500强公司的安全架构师、分析师和经理。Dave是Sybex一书的作者,虚拟化安全:保护虚拟化环境,以及信息安全课程技术的合作设计者。最近,Dave为SANS研究所合作设计了第一个虚拟化安全课程。目前,Dave在SANS技术研究院担任董事一职,并协助领导云计算安全联盟的亚特兰大分部。

相关推荐