Bill Gates, Chủ tịch kiêm Kiến trúc sư trưởng hãng phần mềm Microsoft hôm qua (16/4) đã có một thông điệp gửi đến toàn thể khách hàng trên thế giới, nói về những công việc Microsoft đã và sẽ làm, những biện pháp mà họ đã và đang xây dựng để bảo vệ tốt hơn người sử dụng trong thế giới Internet và công nghệ như hiện nay. I-today xin đăng nguyên văn bức thư điện tử này của ông Bill Gates.

'Các đoạn mã phần mềm nguy hiểm đã xuất hiện hàng thập kỷ nay. Tuy nhiên trong vài năm gần đây, với sự bùng nổ của Internet, các kết nối tốc độ cao và hàng triệu thiết bị máy tính mới đã tạo nên một mạng lưới máy tính toàn cầu thực sự mà qua đó một loại virus hoặc sâu máy tính có thể phát tán ra toàn thế giới chỉ trong vài phút.

Trong khi đó, tin tặc ngày càng trở nên tinh vi hơn, chúng tạo ra và phát tán các bệnh dịch điện tử như Slammer, Blaster, Sobig và Mydoom với khả năng lan toả gần như tức thì, đe doạ tiềm năng tăng cường hiệu quả kinh doanh, thương mại và thông tin của công nghệ.

Các mối đe doạ này có nhiều bước phát triển. Lấy ví dụ sâu Blaster có khả năng chiếm quyền điều khiển của các máy tính cá nhân, biến những người dùng vô tội thành những kẻ truyền bá sâu một cách vô tình và vô tội. Những kiểu tấn công này – gọi là “swarming” attack (tấn công “số đông”) được thiết kế để tạo ra các tác động dây chuyền lớn về số lượng – đã thay đổi phạm vi của các mối đe doạ về bảo mật. Chúng yêu cầu các chuyên gia CNTT và người dùng phải thực hiện các biện pháp phòng chống, và đặt lên vai ngành công nghiệp công nghệ nhiệm vụ tiếp tục cải thiện và phát triển các giải pháp mới.

Mặc dù có khá nhiều thử thách phía trước nhưng Microsoft và ngành công nghiệp đang đạt được những bước tiến đáng kể trên mặt trận bảo mật. Chúng tôi gửi bức thư điện tử này tới những người đã đăng ký nhận thư từ các nhà lãnh đạo của Microsoft, nhằm giúp bạn có thể hiểu rõ hơn các nỗ lực đầu tư đáng kể của Microsoft trong 4 lĩnh vực sau của bảo mật:

    Cô lập và vững chắc
    Cập nhật
    Chất lượng
    Xác thực và Kiểm soát Truy cập

Ngoài ra, chúng tôi cam kết đầu tư nhiều cho đào tạo và hợp tác với người sử dụng, góp phần làm cho môi trường máy tính an toàn và bảo mật hơn.

Với sự tồn tại của bản năng con người, các mối đe doạ bệnh dịch điển tử đang phát triển, và số lượng các máy tính được kết nối với nhau ngày càng nhiều hơn, số lượng các khai thác lỗ hổng về bảo mật sẽ không bao giờ trở về con số không. Tuy nhiên, chúng tôi có thể làm giảm đáng kể tác động của các vụ tội phạm trên mạng, và chúng tôi dành riêng một phần không nhỏ trong các đầu tư về nghiên cứu và phát triển đối để nâng cao tính bảo mật.

Cô lập và Trọng tâm

Các nỗ lực về bảo mật của chúng tôi tập trung vào việc ngăn chặn các đoạn mã nguy hiểm không cho chúng có thể khai thác các lỗ hổng bằng cách cô lập đoạn mã đó, cung cấp hệ thống kiểm soát hiệu quả hơn, qua đó giúp các hệ thống trở nên vững chắc hơn, khiến chúng có thể nhận dạng và chặn đứng các hành vi đáng ngờ hoặc các hành vi xấu..

Windows XP Service Pack 2: Chúng tôi đang nghiên cứu một số cải tiến về sự cô lập và tính vững chắc để giải quyết 4 loại hình tấn công thường gặp trong hệ điều hành máy trạm của chúng tôi. Các cải tiến này sẽ ra mắt vào đầu mùa hè năm nay.

      Bảo vệ Mạng: Windows Firewall – Tường lửa cho Windows sẽ được kích hoạt mặc định, các thiết lập về tường lửa mang tính tổng thể và quản trị tập trung cấu hình tường lửa cũng sẽ được kích hoạt. Việc này làm giảm “tấn công bề mặt” đối với các máy tính cá nhân và mạng.

    Duyệt web an toàn hơn: Nhằm giảm tác động của các đoạn mã nguy hiểm và các Web site có thể gây hại đến máy tính hoặc lừa gạt người dùng, trình duyệt web Internet Explorer sẽ tự động chặn tất cả các yêu cầu tải phần mềm về mà không người dùng không mong muốn, cũng như chặn các cửa sổ pop-up, trừ phi người dùng bấm chuột vào một liên kết để tải phần mềm. Các nhà quản trị CNTT sẽ có thể quản lý khả năng này nhằm đảm bảo thống nhất chính sách trong toàn công ty. Ngoài ra, các thiết lập cho mạng không dây sẽ được cải thiện để giúp việc trình duyệt truy cập Internet an toàn hơn trên những mạng không dây.

    Thư điện tử và Nhắn tin tức thời an toàn hơn: Nhằm giảm nguy cơ tấn công, chúng tôi đang xây dựng cơ chế xử lý tệp tin gửi kèm tốt hơn trong chương trình Outlook Express và chương trình nhắn tin tức thời Windows Messenger, mang lại cho người dùng khả năng kiểm soát cao hơn đối với việc tải về những nội dung ngoài trong Outlook Express vốn cho phép người gửi thư có thể nhận dạng được máy tính của bạn. 

    Bảo vệ Bộ nhớ: Các phần mềm nguy hiểm được thiết kế để khai thác các lỗi buffer overruns - tràn bộ đệm có thể cho phép quá nhiều dữ liệu được chép vào các khu vực trong bộ nhớ máy tính. Mặc dù không có một kỹ thuật đơn lẻ nào có thể loại trừ hoàn toàn yếu điểm này, Microsoft đang sử dụng một số công nghệ bảo mật nhằm giảm nhẹ các cuộc tấn công kiểu này. Trước tiên, các thành phần cơ bản của Windows đã được biên dịch lại theo phiên bản mới nhất của công nghệ trình biên dịch của chúng tôi nhằm bảo vệ các lỗi tràn về stack và heap. Microsoft cũng đang làm việc với các công ty vi xử lý, bao gồm Intel và AMD, để giúp Windows hỗ trợ data execute protection – bảo vệ thực thi dữ liệu (còn gọi là NX, hoặc no execute – không thực thi) dưới hình thức phần cứng. NX sử dụng CPU để đánh dấu mọi điểm bộ nhớ trong một ứng dụng thành “không-thực thi được” trừ phi địa điểm có chứa mã thực thi được. Cách làm này khiến cho khi một loại sâu hoặc virus máy tính cố tình chèn đoạn mã chương trình vào một phần bộ nhớ chỉ dành cho dữ liệu thì sẽ không thể chạy được.

Windows Server 2003: Trong một môi trường mà mỗi máy tính có thể coi như đang sống trong một “thế giới thù địch”, nhiệm vụ của chúng tôi đối với Windows Server 2003 là tập trung vào việc làm thế nào để giảm các mối đe doạ. Chúng tôi dự kiến sẽ ra mắt các tính năng mới về bảo mật dành cho Windows Server 2003 Service Pack 1 trong nửa cuối năm 2004, bao gồm các công nghệ bảo mật có liên quan đến máy chủ đã có trong Windows XP SP2. Nhằm cải thiện các khả năng cô lập, Windows Firewall sẽ được kích hoạt trong khi cài đặt các máy chủ mới, giúp máy chủ được bảo vệ tốt hơn trước mối đe dọa mạng trong quá trình cài đặt. Một chương trình hướng dẫn lập cấu hình từng bước (wizard) về bảo mật cũng sẽ có trong Windows Server 2003 Service Pack 1, do đó khi các vai trò máy chủ (chẳng hạn như file server, application server, v.v...) được kích hoạt, chúng có thể được khóa chặt hơn dựa trên các mô hình sử dụng riêng biệt cho vai trò đó.

Internet Security and Acceleration Server 2004: Các cải tiến về bảo mật trong máy chủ ISA 2004 - Internet Security and Acceleration Server 2004 bao gồm kiểm tra nội dung sâu hơn, cho phép khách hàng bảo vệ tốt hơn các ứng dụng của Microsoft mà họ sử dụng và đảm bảo hơn nữa các kết nối VPN từ xa (Virtual Private Network). Một giao diện người dùng được cải tiến và các công cụ quản lý sẽ giúp khách hàng thực thi và quản lý các chính sách bảo mật dễ hơn, làm giảm khả năng cấu hình sai – một nguyên nhân thường gặp đối với các lỗ hổng về mạng.

Exchange Edge Services: Công nghệ mới này giải quyết các vấn đề bảo mật có liên quan đế thư điện tử Internet. Exchange Edge Services được thiết kế để chặn các thư đến hoặc thư đi cũng như thư rác, bảo vệ máy chủ thư điện tử khỏi các cuộc tấn công và các virus qua đường thư điện tử, và mã hóa các thư gửi để tối ưu hóa tính bảo mật. Công nghệ này cũng được thiết kế để tạo một nền tảng cho phép các lập trình viên các hãng thứ ba có thể xây dựng công nghệ như các bộ lọc thư điện tử thế hệ kế tiếp, các sản phẩm mã hóa thư điện tử và các giải pháp cho thư điện tử khác.

Các công nghệ bảo vệ tích cực (Active Protection Technologies): Làm thế nào để máy tính có khả năng chống chọi tốt hơn trước sự ra đời của nhiều loại sâu và virus máy tính tinh vi ngày càng nhiều là điểm mấu chốt để ngăn chặn và kìm hãm các cuộc tấn công. Để đạt được mục tiêu này, Microsoft đang đầu tư vào việc phát triển một tập hợp các công nghệ bảo vệ tích hợp bao gồm:

    Bảo vệ hệ thống động (Dynamic system protection) điều chỉnh tích cực việc phòng vệ trên từng máy tính dựa theo các thay đổi trong “trạng thái” của nó. Chẳng hạn khi cài đặt một phần mềm mới, thay đổi cấu hình, nhu cầu muốn có một bản cập nhật mới hoặc kết nối đến các mạng khác có thể khiến một máy tính trở nên yếu đi trước các cuộc tấn công. Bảo vệ hệ thống động sẽ phát hiện các thay đổi này và điều chỉnh mức độ bảo vệ tương ứng. Ngày nay, khách hàng đang sử dụng tính năng cập nhật tự động – Automatic Update trong Windows, kiểm tra xem khi nào một máy tính cần một cập nhật bảo mật mới. Trong tương lai, Microsoft cho rằng các máy tính sẽ không chỉ có khả năng phát hiện các thay đổi mà còn có thể phản ứng tích cực với các thay đổi đó. Lấy ví dụ, một máy tích xách tay di chuyển từ một mạng công ty sang modem cáp tại nhà hoặc kết nối tốc độ cao DSL có thể khiến phần mềm tường lửa tích hợp đóng các cổng port không cần thiết để bảo vệ tốt hơn.
Behavior blocking giới hạn khả năng của một máy tính đã bị nhiễm một loại sâu hoặc virus máy tính, không cho phép gây ra thêm thiệt hại, bằng cách ngăn chặn các hành vi đáng ngờ, xác định liệu hành vi đó có khác thường không và ngăn chặn nếu hành vi đó thực sự khác thường. Ví dụ sâu Blaster khai thác một điểm yếu cho phép Windows nhân bản chính nó sang các máy tính khác, behavior blocking sẽ ngăn chặn kiểu tấn công như vậy.

    Tường lửa thân thiện ứng dụng và phòng chống xâm nhập (Application-aware firewall and intrusion prevention) được thiết kế để nhận dạng các luồng dữ liệu nguy hiểm và ngăn chặn chúng. Các tường lửa truyền thống có thể bị các loại sâu và virus máy tính qua mặt bằng cách tự nhúng bản thân chúng vào các luồng dữ liệu có vẻ như hợp lệ trên các luồng thông tin của mạng. Công nghệ mới này sẽ cho phép kiểm soát sâu hơn các luồng dữ liệu mạng và chặn đứng hoặc hạn chế việc phát tán các nội dung nguy hiểm.

Các công cụ spam: Do virus, sâu máy tính và mã nguy hiểm khác thường phát tán qua thư rác spam, Microsoft đang tiến hành một nỗ lực chống thư rác đa dạng. Tháng 11/2003, Microsoft công bố công nghệ SmartScreen Technology, một loại bộ lọc sử dụng trong các chương trình thư điện tử trực tuyến và máy khách. Bộ lọc sẽ trở nên thông minh hơn do người dùng thư điện tử dạy bộ lọc cách nhận dạng các thư không mong muốn. Tháng 2/2004, Microsoft công bố việc triển khai thí điểm Caller-ID, một công nghệ cho phép xác thực nguồn gốc của thư điện tử, gần giống công nghệ hiển thị số điện thoại gọi đến Caller-ID của điện thoại. Trong khi đó, trên lĩnh vực luật pháp, Microsoft đã khởi kiện 66 vụ kiện kể từ năm 2003 đối với những kẻ gửi thư rác trên toàn cầu.

Thanh tra máy trạm: Ở mức độ công ty, một trong các mối quan tâm lớn nhất đó là các máy tính ở nhà hoặc máy tính xách tay từ xa bị nhiễm virus hoặc sâu, sau đó được kết nối với mạng công ty. Chúng tôi đang nghiên cứu các công nghệ sẽ kiểm tra các thiết bị kết nối từ xa này và chặn truy cập mạng nếu chúng không vượt qua phần “kiểm tra sức khoẻ”.

Web Services: Sự ra đời trong năm 2002 của Web service-Security (bảo mật dịch vụ Web), một đặc tả được tiêu chuẩn hóa có thể cải thiện tính trung thực của các dịch vụ Web, sẽ giúp các doanh nghiệp kết nối các hệ thống trong cũng như ngoài công ty một cách bảo mật hơn, hiệu quả hơn, và uyển chuyển hơn bằng cách cho phép mã hóa các thông điệp và hỗ trợ chữ ký điện tử. Theo một báo cáo gần đây do WS-I Security Profile Working Group thực hiện đã cho thấy các biện pháp mới để đối phó với các thử thách và đe dọa trong khi xây dựng các dịch vụ Web tương hỗ.

Cập nhật

Cho đến nay, cập nhật phần mềm là cách thức chủ đạo mà các khách hàng đang sử dụng để bảo vệ mình khỏi các lỗ hổng về bảo mật. Mặc dù bản chất của các mối đe dọa bệnh dịch điện tử này yêu cầu phải có một sự phản hồi rộng và đa dạng hơn, Microsoft vẫn đang tiếp tục đưa ra các cập nhật quan trọng đối với chất lượng các bản cập nhật và các tiến trình liên quan, phát triển thêm nhiều công cụ cao cấp để giúp các nhà quản trị tối ưu hóa bảo mật cho cơ sở hạ tầng.

Mùa thu năm 2003, chúng tôi đã bắt đầu đưa ra các bản cập nhật hàng tháng nhằm cải thiện khả năng phán đoán và khả năng quản lý, nhằm giảm gánh nặng đối với các nhà quản trị (bên cạnh đó chúng tôi sẽ tiếp tục đưa ra các bản cập nhật không theo lộ trình nhằm bảo vệ khách hàng trong trường hợp có mối đe dọa xuất hiện). Chúng tôi cũng đang cải tiến các quá trình kiểm tra nhằm giảm thiểu sự thiếu thống nhất trong cập nhât và tỉ lệ thu hồi. Đến mùa hè năm 2004, phần lớn các cập nhật của chúng tôi sẽ có khả năng rollback hoàn toàn (quay trở về trạng thái trước đó).

System Management Server 2003, được ra mắt hồi tháng 11/2003, là một giải pháp cập nhật, quản lý và phân phối phần mềm toàn diện, cho phép các cơ quan có thể nhanh chóng và dễ dàng triển khai các cập nhật mới nhất một cách hệ thống. Tháng 1/2004, chúng tôi đã đưa ra Microsoft Baseline Security Analyzer phiên bản 1.2, một công cụ miễn phí cho phép nhận dạng các cấu hình sai về bảo mật thường gặp.

Windows Update Services, xu hướng phát triển của Software Update Services 1.0 (SUS) (các dịch vụ cập nhật), là một bước tiến quan trọng trong chiến lược quản lý miếng vá phần mềm và cập nhật của Microsoft. Là một thành phần miễn phí của Windows Server, Windows Update Services mang lại cho các nhà quản trị một hệ thống được cập nhật liên tục, khả năng dò tìm và cài đặt cho các máy chủ và máy trạm Windows. Các tính năng mới bao gồm khả năng cung cấp cho khách hàng các thông tin thêm về tự động hóa và điều kiện, giúp giảm sự gián đoạn khi cập nhật hệ thống, và mở rộng tính năng cho phép cập nhật cả SQL Server, Exchange Server, Office 2003 và Office XP, ngoài Windows. Hiện thời phần mềm này đang trong giai đoạn beta và dự kiến sẽ ra mắt vào nửa cuối năm 2004. Đối với người dùng, chúng tôi cũng bổ sung Windows Update thêm một dịch vụ mới giúp người dùng được cập nhật tự động các sản phẩm khác của Microsoft ngoài Windows. Dịch vụ mới này có tên là Microsoft Update, sẽ ra mắt vào cuối năm nay.

Chúng tôi cũng đang kết hợp khả năng tự động kiểm tra trạng thái của các tính năng bảo mật quan trọng như tường lửa, cập nhật tự động, và phòng chống virus. Tính năng mới Security Center trong Windows XP Control Panel sẽ cho người dùng biết các khả năng bảo mật hiện có được bật lên và mới nhất hay không. Khi có sự cố, người dùng sẽ nhận được thông báo và khuyến cáo các hành động cần tuân thủ để giúp khách hàng được bảo vệ.

Xác thực và Kiểm soát Truy cập

Các mạng máy tính hiện không còn đóng nữa. Trước kia, sự có mặt trên mạng của một người dùng tương đương với nhận dạng của người đó. Trong một thời đại mà hàng triệu các thiết bị máy tính được kết nối với nhau, các đối tác có quyền truy cập vào mạng lưới của một công ty nào đó, thì cơ hội cho những kẻ truy cập trái phép để lấy các thông tin điện tử như thư điện tử, các giao dịch thương mại điện tử hoặc các tệp tin đặc biệt là rất nhiều. Trong môi trường này, việc kiểm soát truy cập và xác thực (ai, cái gì và khi nào) là các mặt quan trọng nhằm đảm bảo tính bảo mật của một công ty.

Mật khẩu: Mật khẩu là cơ chế phổ biến nhất để xác thực người dùng cần truy cập mạng và máy tính. Chúng cũng có thể trở thành một mắt xích yếu nếu người dùng chọn các mật khẩu thông thường cho dễ nhớ. Dòng Windows Server 2003 có một tính năng mới kiểm soát độ phức tạp của mật khẩu cho tài khoản Administrator trong khi cài đặt. Nếu mật khẩu trắng hoặc không đạt yêu cầu về độ phức tạo, một hộp thoại sẽ cảnh báo nguy cơ sử dụng mật khẩu không đảm bảo. Chúng tôi cũng đang mở rộng hỗ trợ đối với các cơ chế xác thực hai-yếu tố thông qua các đối tác như RSA Security, Inc. và VeriSign, Inc.

Smartcard (Thẻ thông minh): Windows Server 2003 và Windows XP cũng hỗ trợ smart card, các thiết bị có kích thước của thẻ tín dụng, lưu trữ an toàn các chứng chỉ, các khóa công cộng và khóa riêng tư, mật khẩu và các kiểu thông tin cá nhân khác. Khi đăng nhập vào mạng với một smart card có nghĩa là bạn đã sử dụng hình thức xác thực mạnh do nó dùng phương pháp nhận dạng dựa trên mã hóa và bằng chứng sở hữu khóa cá nhân lưu trên smartcard khi xác thực người dùng đối với mạng; nói một cách khác, một thứ bạn có và một thứ bạn biết.

Public Key Infrastructure (PKI): Windows Server 2003 có các tính năng giúp các công ty thực hiện cơ sở hạ tầng khóa công cộng PKI, bao gồm các chứng chỉ, các dịch vụ và mẫu liên quan. Một cơ sở hạ tầng khóa công cộng mang lại cơ chế cần thiết để hỗ trợ việc cấp và quản lý theo chu trình các chứng chỉ điện tử. Bằng việc tin tưởng các chứng chỉ điện tử do các cơ quan có thẩm quyền cấp, các bên có thể quyết định độc lập định danh của khách hàng đưa ra chứng chỉ số cho mục đích xác thực. Sử dụng công nghệ xác thực nàu có thể mang lại xác thực mạnh dựa trên công nghệ mã hóa khóa công cộng tiêu chuẩn trong ngành công nghiệp.

Biometric ID Card (Thẻ chứng minh sinh học): Hệ thống thẻ nhận dạng Sinh trắc học chống giả mạo sẽ mang lại một giải pháp sáng tạo, đơn giản và giá thành chấp nhận được cho việc cung cấp các thẻ ảnh nhận dạng bảo mật sử dụng kết hợp duy nhất mã hóa khóa công cộng, các công nghệ nén và mã vạch.

IPsec: Một thành phần quan trọng khác của chiến lược bảo vệ thông tin toàn diện - IPsec loại trừ nhiều mối đe dọa bằng cách xác thực ngầm các máy tính và hạn chế các luồng dữ liệu mạng đến dựa trên xác thực đó. Ngoài ra, nó còn cho phép các luồng dữ liệu sử dụng chữ ký điện tử, qua đó bảo đảm tính toàn vẹn và mã hóa luồng dữ liệu để đạt được tính riêng tư. Việc sử dụng Ipsec ngay chính trong mạng nội bộ của Microsoft là hoàn toàn phù hợp tiêu chuẩn và sẽ hoạt động tốt với các mô hình sử dụng IPsec tương thích khác, bao gồm cả những dịch vụ hỗ trợ dịch địa chỉ mạng NAT.

Chất lượng

Như chúng tôi đã đề cập trước đó, Microsoft cam kết sẽ sử dụng các phương pháp, các tiêu chuẩn và các chu trình tốt nhất để xây dựng phần mềm của mình. Chúng tôi đã thực hiện sáng kiến engineering excellence một cách chặt chẽ, qua đó các kỹ sư của chúng tôi hiểu và sử dụng các phương pháp tốt nhất trong thiết kế, phát triển, kiểm tra và ra mắt phần mềm.

Các quá trình phát triển bảo mật chúng tôi xây dựng trước khi đưa ra sản phẩm Windows Server 2003 năm ngoái là một ví dụ tiêu biểu về nỗ lực đã đem lại kết quả có ích cho các khách hàng. Số lượng các bản tin bảo mật “critical” – “nguy hiểm” hoặc “important” – “quan trọng” đối với Windows Server 2003, so với Windows Server 2000, đã giảm từ con số 40 xuống 9 trong 320 ngày đầu tiên những sản phẩm này có mặt trên thị trường. Cũng tương tự, đối với SQL 2000, đã có 3 bản tin được đưa ra trong15 tháng sau khi bản Service Pack 3 ra mắt, so với 13 bản tin trong 15 tháng của phiên bản trước khi ra mắt bản Service Pack 3. Với Exchange 2000 SP3, chỉ có 1 bản tin trong 21 tháng sau khi ra mắt, so với 7 bản tin trong 21 tháng của phiên bản trước đó.

Chúng tôi cũng đạt được một số thành công lớn trong việc phát triển một số công cụ nội bộ kiểm tra tự động mã đối với các lỗi phổ biến, và kiểm tra kỹ lưỡng hơn các phần mềm trước khi đưa ra thị trường. Chẳng hạn, chúng tôi sử dụng các công cụ kiểm tra mã, tự động tìm các lớp lỗi có thể dẫn đến các lỗ hổng về bảo mật hoặc, treo chương trình. Chúng tôi cam kết sẽ cung cấp các cải thiện này đối với các lập trình viên phần mềm khác qua đào tạo và các công cụ, bao gồm cả phiên bản Visual Studio kế tiếp.

Trong bản Service Pack 1 cho Windows Server 2003, chúng tôi sẽ tiếp tục các nỗ lực nhằm giảm lĩnh vực tấn công bề mặt bằng cách loại bỏ các công nghệ cũ và không được sử dụng.

Đào tạo và hợp tác với người sử dụng

Các công nghệ hay nhất trên thế giới sẽ trở nên không hiệu quả nếu người ta không biết cách sử dụng chúng, hoặc không biết đến sự tồn tại của chúng. Với hàng trăm triệu người dùng máy tính trên toàn thế giới, với các mức kiến thức khác nhau về bảo mật, đây là một thử thách lớn, nhưng Microsoft đang đầu tư đáng kể để giúp khách hàng hiểu làm thế nào để môi trường của mình trở nên bảo mật hơn.
Mục tiêu của chúng tôi là vào cuối năm nay có thể tiếp cận 500.000 khách hàng kinh doanh toàn cầu với thông tin làm thế nào để tối ưu hóa các hệ thống và mạng của họ cho bảo mật. Chúng tôi đang liên kết với những công ty hàng đầu khác để giúp các khách hàng tối ưu hóa quản lý cập nhật và các giải pháp về bảo mật. Đồng thời chúng tôi đang tổ chức các hội thảo và xuất bản các ấn phẩm dành cho lập trình viên, giúp họ xây dựng các ứng dụng và Web service an toàn.

Bắt đầu từ tháng 4/2004, Microsoft sẽ đăng cai hội nghị thượng đỉnh đầu tiên trong số 21 hội nghị thượng đỉnh về bảo mật tại các thành phố ở Mỹ, với mục đích cung cấp các khóa đào tạo bảo mật kỹ thuật chuyên sâu dành cho các chuyên gia CNTT và lập trình viên chuyên nghiệp. Khóa đào tạo này hoàn toàn miễn phí và bổ sung cho một loạt các cơ hội khác mà Microsoft đang cung cấp cho khách hàng, giúp khách hàng bảo vệ máy tính và mạng của họ, bao gồm cả các Webcast, tự học và các bài hands-on lab. Chúng tôi cũng cung cấp các khóa đào tạo bảo mật cho các khách hàng toàn cầu, thông tin chi tiết xin liên hệ với văn phòng Microsoft tại khu vực.

Chúng tôi cũng lập một Trung tâm Hướng dẫn Bảo mật – Security Guidance Center dành cho lập trình viên và chuyên gia CNTT tại microsoft.com/security/guidance. Khách hàng có thể tìm thấy tại đây hướng dẫn kỹ thuật chuyên sâu, các công cụ, khóa học và các bản cập nhật để giúp họ có thể lập kế hoạch và quản lý các chiến lược bảo mật hiệu quả hơn. Thông tin miễn phí này bao gồm các checklist – danh sách kiểm tra nhằm giúp tiến hành các kiểm tra liên quan đến bảo mật, các hướng dẫn từng bước các nhiệm vụ bảo mật trên diện rộng, và hướng dẫn theo sản phẩm cũng như công nghệ, giúp bảo vệ nền tảng, mạng, máy trạm và dữ liệu.

Đối với người tiêu dùng, chúng tôi đang thực hiện một chiến dịch đào tạo toàn cầu với các nhà sản xuất máy tính, các nhà bán lẻ, các nhà cung cấp dịch vụ Internet và các đối tác khác để tạo ra nhận thức rộng rãi hơn về các phương pháp tốt nhất đối với “vệ sinh” của máy tính cá nhân, và làm thế nào để các công nghệ bảo vệ dễ sử dụng hơn. Việc này gồm 3 thành phần: cài đặt phần mềm phòng chống virus, sử dụng một tường lửa Internet firewall, và dùng các tính năng Cập nhật Tự động – Automatic Update trong Windows để tự động tải về các cập nhật bảo mật mới nhất của Microsoft.
Chúng tôi đã liên kết với các công ty như Computer Associates, Network Associates, Symantec, Trend Micro, F-Secure, ISS (BlackICE), Tiny Software và Zone Labs để đưa ra các chương trình khuyến mại đặc biệt đối với các sản phẩm phòng chống virus và phần mềm tường lửa cá nhân của các hãng thứ ba.

Chúng tôi đã giúp thành lập Liên minh Thông tin Virus – Virus Information Alliance, bao gồm 10 hãng phần mềm phòng chống virus hàng đầu, nhằm giúp người dùng Internet tìm thông tin về các mối đe dọa virus mới nhất có ảnh hưởng đến công nghệ của Microsoft.

Tháng 2/2004, Liên minh Cơ sở hạ tầng Toàn cầu về An toàn Internet – Global Infrastructure Alliance for Internet Safety (GIAIS) được công bố để tăng cường hơn nữa sự cộng tác giữa Microsoft và các nhà cung cấp dịch vụ Internet về các vấn đề bảo mật. Hiện thời, các thành viên của GIAIS đóng một vai trò quan trọng trong việc cộng tác với Microsoft để nhận dạng chữ ký của virus MyDoom, và phát triển các chiến thuật khắc phục để đảm bảo an toàn cho người dùng.

Các chuyên gia bảo mật của Microsoft cũng tham gia các sáng kiến do Bộ Bảo mật Toàn quốc và Quốc hội bảo trợ, với mục đích việc tăng cường hơn nữa tính bảo mật cho các cơ sở hạ tầng trọng yếu của Mỹ, bao gồm từ các quá trình nghiên cứu trong phát triển phần mềm đến quản lý miếng vá phần mềm hiệu quả, và làm thế nào có thể tạo ra một hệ sinh thái kinh doanh tốt nhất cần thiết để hỗ trợ các phương pháp an toàn .

Microsoft cũng đang làm việc với các cơ quan hành pháp trên quy mô toàn cầu để ngăn chặn tin tặc phá hoại phần mềm. Tháng 11/2003, Microsoft đưa ra Chương trình “Thưởng Phòng chống Virus”, với mục đích thưởng tiền mặt cho những thông tin cung cấp cho FBI hoặc Nội vụ và những kẻ phát tán vius và sâu máy tính sẽ bị bắt giữ và đưa ra truy tố.

Tương lai

Bảo mật là một thử thách lớn và quan trọng như bất kỳ thử thách nào khác mà ngành công nghiệp đã từng đương đầu. Nó không chỉ đơn giản là trường hợp sửa một vài lỗ hổng bảo mật và sau đó lại tiếp tục. Việc giảm tác động của virus và sâu máy tính tới mức chấp nhận được đòi hỏi về cơ bản phải có suy nghĩ mới về chất lượng phần mềm, sự cải thiện thường xuyên trong công cụ và chu trình, các đầu tư hiện tại đối với các công nghệ bảo mật mới và vững chắc được thiết kế để ngăn chặn các đoạn mã phần mềm nguy hiểm hoặc có tính phá hoại trước khi chúng có thể gây ra sự tàn phá. Nó cũng yêu cầu người dùng máy tính phải tích cực hơn với việc triển khai và quản lý các sản phẩm. Thông tin chi tiết giúp người tiêu dùng có thể trở nên an toàn hơn có tại www.microsoft.com/security

Công nghệ đã có một bước tiến dài trong 2 thập niên vừa qua, và việc không để cho một vài tên tội phạm ngăn chúng ta không được tận hưởng những lợi ích tuyệt vời của công nghệ là một điều rất quan trọng.'