选择合适的设备，提升网络复原能力！

如今，几乎每家企业都在面临安全风险。混合办公模式加剧了对远程管理设备的攻击次数。

根据《2022年Microsoft数字防御报告》1显示，在2021年5月至2022年5月期间，远程管理设备遭受的攻击次数增加了五倍。网络攻击预计给企业造成的平均损失高达424万美元1。

安全风险

无处不在，与日俱增

随着网络攻击场景与日俱增，有远见的技术管理者不会只局限于安全防御，还要确保企业能够在威胁发生时做出充分响应，并在威胁发生后尽快恢复。他们会致力于构建网络复原能力策略，帮助企业在应对安全风险时能快速恢复，并迅速发展。

想要获得网络复原能力，就需要务实地看待网络安全问题。假设安全防御被攻破是不可避免的，也就是所谓的“假设性妥协”。这是一种重要的思维转变，需要业务关联者、IT专家、领导者、以及安全专家一同建立紧密的合作。倡导安全优先的思维方式，选择有复原能力的技术方案，采用零信任原则，并在流程和工作中构建安全措施，让每个人都参与进来，保障业务的安全。那么，如何获得这种能力呢？

投资具有网络复原力的技术

以承受可能的业务中断

根据《2022年Microsoft数字防御报告》1显示，落实简单的安全卫生措施便可阻止98%的网络攻击，这些措施包括：

·淘汰过时的应用、设备以及基础设施

·启用多因素身份验证(MFA)

·使用现代反恶意软件

·定期更新固件和软件可持续消除漏洞（最为重要）

固件攻击是当今企业面临的最大风险之一，不法分子可以通过笔记本电脑、打印机、路由器等设备不受限制地访问企业网络，且不易被检测。

为了应对网络攻击，安全决策者正在大力投资软件安全，包括防火墙和数据加密、入侵检测和攻击预防。然而，忽视硬件的脆弱性可能让所有努力付之东流。

典型的安全基础架构由多个层级组成，这些层级协同工作，共同保护企业的资产、数据及运作。

·策略、职能、职责、标准和最佳方案

·用户的身份管理、权限和身份验证

·对网络、数字资源、有形财产和办公空间的访问

·提供加密、监控和病毒防护的技术、硬件和软件

通过笔记本电脑、平板电脑、智能手机或IoT设备等物理设备在硬件层面达不到标准，会向上影响其它层级，致使原本应受保护的数据和网络被恶意访问。

旧设备无法抵御新威胁

设备选择变得至关重要

除了固件攻击外，针对远程管理设备的攻击也日益增加。包括笔记本电脑、摄像头和智能会议室系统在内的设备，可能通过开放的端口泄露信息并被黑客利用。近期的一项研究2发现：针对IoT/OT的攻击类型中有46%来自远程管理设备。

为了最大限度地降低固件、操作系统和云端应用受到攻击的风险，微软设计了商用Surface设备，从底层架构开始便将零信任原则根植其中，安全和IT决策者们可以放心地将资源投入到应对未来攻击的策略和技术上，而不是疲于抵挡当下网络威胁的攻势。

微软Surface商用设备从固件到操作系统再到云端的每一层级都由微软维护，并以此推进基础安全卫生措施。Surface商用设备、Windows 11和Microsoft 365 均采用零信任原则进行安全和风险管控，帮助企业在不牺牲创新力或生产力的前提下，实现复原能力。

使用商用Surface的企业遇到安全事件的数量减少可达34%，同时响应安全事件所花费的时间也相应减少3。使用Surface商用设备的用户遇到安全漏洞数量减少可达20%3。

Surface商用设备的安全性

从硬件、固件、系统直达云端

安全性措施从硬件开始：

TPM 2.0作为安全保险库，用于存储密码、PIN码和证书，防止硬件被篡改，并限制仅授权人员可以访问。

Windows Hello for Business作为无密码安全登录的工具，可通过红外摄像头传感器提供安全级别最高的生物识别功能。由于生物识别的不可复制性，进一步限制了可访问用户。

可拆卸固态硬盘4被运用在大多数Surface商用设备上，确保在特殊情况下（如售后维修、离开公司环境等）设备中的敏感数据也能受到保护。

固件管控为安全加锁：

Surface商用设备的UEFI完全由微软开发，不依赖第三方源代码。UEFI和DFCI可以通过Microsoft Intune 对固件进行精准管控。DFCI不仅可以禁用不必要的硬件组件来减少攻击面，并减少对本地UEFI(BIOS)密码的依赖性。还可以关闭启动项，防止用户启动另外的操作系统。

Windows 11提供开箱即用的安全性：

VBS（常称为内核隔离）利用硬件虚拟化技术，创建隔离的环境来进行敏感的安全操作，防止恶意软件进入系统内存。即使威胁获得了访问系统资源的权限，HVCI（又称内存完整性）也可以限制并遏制恶意软件的影响。

预装Windows 11的Surface商用设备从出厂便启用安全功能。在生物识别登录前，安全启动（Secure Boot）不仅能确保固件与出厂时一样真实可信，还能与可信启动（Trusted Boot）共同防止启动期间加载恶意软件或运行损坏的组件。

系统启动后，BitLocker加密可以有效地限制访问，防止设备丢失、被盗或停用时数据泄露。

Surface管理门户

让远程设备管理简单又安全

商用Surface不仅内置了完善的安全体系，还提供了一整套基于云的远程终端管理解决方案——Surface管理门户。这是一套内置于Micrsoft Intune 中的功能，旨在应对大规模管理和配置用户、应用和设备时所面临的挑战。当企业拥有远程管理设备安全性的能力时，不仅可以为IT团队节省大量的时间，还可以减少固件攻击或勒索软件攻击的可能性，并在问题严重前即使补救。

设备是用户访问企业数据和信息的门户，也是安全威胁首当其冲的目标。将部分安全软件投资转向安全设备的投资，将构建安全防御的策略转向构建网络复原能力策略。这是微软提供给各位决策者应对当下安全局势行之有效的解决方案。

某些功能需要软件许可证。单独出售

1.https://www.microsoft.com/zh-cn/security/business/microsoft-digital-defense-report-2022

2.https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE5e93n

3.https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE55ZJ0

4.客户可更换组件（CRUs）是指可通过Surface商用授权设备经销商购买的组件。组件可以由熟练的技术人员按照微软服务指南在现场更换。维修可能会用到Microsoft工具（另售）。拆开和/或修理您的设备都有导致触电、火灾和/或人身伤害的风险和其他危险。如果自行维修，请务必小心。维修期间造成的设备损坏不在Microsoft硬件保修或保护计划范围内。可更换组件和服务选项的适用性可能会因市场不同和/或产品发布初期而存在差异。