يقول الرئيس التنفيذي لشركة Tenable إن Microsoft انخرطت في “نمط متكرر من ممارسات الأمن السيبراني المهملة”.
تواجه Microsoft انتقادات متزايدة في أعقاب هجوم الشهر الماضي على Azure. في منشور على موقع لينكد إن ، قال أميت يوران ، الرئيس التنفيذي لشركة الأمن السيبراني Tenable ، إن سجل الأمن السيبراني لشركة Microsoft “أسوأ مما تعتقد” ولديه مثال يدعمه.
في 12 يوليو ، كشفت Microsoft عن اختراق كبير يستهدف منصتها Azure ، والتي تتبعها إلى مجموعة قرصنة صينية تعرف باسم Storm-0558. أثر الهجوم على حوالي 25 منظمة مختلفة وأسفر عن سرقة رسائل بريد إلكتروني حساسة من مسؤولين في الحكومة الأمريكية.
وفي الأسبوع الماضي ، أرسل السناتور رون وايدن (ديمقراطي من ولاية أوريغون) رسالة إلى وزارة العدل الأمريكية ، يطلب فيها تحميل Microsoft المسؤولية عن “ممارسات الأمن السيبراني المهملة”.
لدى جوران المزيد ليضيفه إلى حجج السناتور ، حيث كتب في رسالته أن Microsoft أظهرت “نمطًا متكررًا من ممارسات الأمن السيبراني المهملة” ، مما يمكّن المتسللين الصينيين من التجسس على حكومة الولايات المتحدة. كما كشف عن اكتشاف Tenable لخلل إضافي في الأمن السيبراني في Microsoft Azure. استغرقت الشركة وقتًا طويلاً لمعالجتها.
اكتشف Tenable الخلل في البداية في آذار (مارس) ووجد أنه يمكن أن يمنح الجهات الفاعلة السيئة الوصول إلى البيانات الحساسة للشركة ، بما في ذلك البنك. يزعم يوران أن مايكروسوفت استغرقت “أكثر من 90 يومًا لتنفيذ إصلاح جزئي” بعد أن أبلغت Tenable الشركة ، مضيفًا أن الإصلاح ينطبق فقط. في “التطبيقات الجديدة التي تم تحميلها في الخدمة”. وفقًا لجوران ، فإن البنك وجميع المؤسسات الأخرى التي “أطلقت الخدمة قبل الإصلاح” لا تزال متأثرة بالعيب – ومن المحتمل أنها غير مدركة لهذا الخطر.
يقول جوران إن مايكروسوفت تخطط لإصلاح المشكلة بحلول نهاية سبتمبر ، لكنها تصف الاستجابة المتأخرة بأنها “غير مسؤولة إلى حد بعيد ، إن لم تكن إهمالًا صارخًا”. كما يشير إلى بيانات من مشروع Google’s Project Zero ، مما يشير إلى أن منتجات Microsoft تمثل 42.5 في المائة من جميع ثغرات يوم الصفر المكتشفة منذ عام 2014.
كتب جوران: “ما تسمعه من Microsoft هو” ثق بنا فقط ، ولكن ما تحصل عليه هو القليل من الشفافية وثقافة التشويش السام “. “كيف يمكن لرئيس CISO أو مجلس إدارته أو فريقه التنفيذي أن يعتقد أن Microsoft ستفعل الشيء الصحيح بالنظر إلى الأنماط الحالية للحقائق والسلوك؟”
ذكرت شركة الأمان Wiz الأسبوع الماضي أن اختراق Azure ربما كان بعيد المدى أكثر مما كان يعتقد في الأصل ، على الرغم من أن Microsoft عارضت النتائج التي توصلت إليها منذ ذلك الحين.
رد الرئيس التنفيذي لشركة Microsoft ، جيف جونز ، على انتقادات يوران في بيان أرسل عبر البريد الإلكتروني إلى The Verge:
نحن نقدر التعاون مع مجتمع الأمان لاكتشاف مشكلات المنتج بشكل مسؤول. نحن نتبع عملية شاملة تتضمن تحقيقًا شاملاً ، وتحديث تطوير جميع إصدارات المنتجات المتأثرة ، واختبار التوافق بين أنظمة التشغيل والتطبيقات الأخرى.
في النهاية ، يعد تطوير التحديث الأمني بمثابة توازن دقيق بين حسن التوقيت والجودة ، مما يضمن أقصى حماية للعملاء مع تقليل إزعاج العملاء.
وقد شاركت Microsoft في العديد من خروقات البيانات الحديثة ، بما في ذلك اختراق Solar Winds الشهير الذي أثر على الوكالات في جميع أنحاء الحكومة الأمريكية. تعرضت الشركة أيضًا لهجوم أثر على أكثر من 30 ألف مؤسسة بسبب عيوب في برنامج Microsoft Exchange Server. ستجبر الحكومة الأمريكية الشركات قريبًا على أن تصبح أكثر صراحة بشأن القضايا الأمنية ، حيث ستطلب القواعد الجديدة في لجنة الأوراق المالية والبورصات من الشركات الكشف عن الاختراق في غضون أربعة أيام من اكتشافه.
