Microsoft разрабатывает новую платформу безопасности для вывода антивирусов из ядра Windows

Microsoft анонсировала планы внести изменения в Windows, которые помогут CrowdStrike и другим поставщикам безопасности работать вне ядра Windows. Объявление последовало после саммита по вопросам безопасности, проведенного в начале этой неделе в штаб-квартире Microsoft в Редмонде. На саммите обсуждались изменения в Windows после катастрофического инцидента с CrowdStrike в июле.

Самой горячей темой стал доступ к ядру Windows. Напомним, что 18 июля 2024 года компания CrowdStrike выпустила проблемное обновление, которое вывело из строя 8,5 миллионов компьютеров и серверов под управлением Windows. ПО CrowdStrike работает на уровне ядра Windows — центральной части ОС, которая имеет неограниченный доступ к памяти и оборудованию системы. Это и позволило неисправному обновлению вызвать «синий экран смерти» сразу после запуска пострадавших систем.

После инцидента Microsoft активно призывает к изменениям в Windows для повышения устойчивости системы и намекает на возможность вывода поставщиков безопасности из ядра Windows, чтобы предотвратить подобные инциденты в будущем. С другой стороны, на Microsoft оказывается давление как со стороны партнеров, так и со стороны регулирующих органов, чтобы компания не принимала это решение единолично.

Microsoft заявляет, что «обсудила требования и ключевые вызовы при создании новой платформы, которая может удовлетворить потребности поставщиков безопасности», с такими партнерами, как CrowdStrike, Broadcom, Sophos и Trend Micro.

Дэвид Уэстон (David Weston), вице-президент по безопасности корпоративных решений и ОС в Microsoft, заявил:

Наши клиенты и партнеры экосистемы призвали Microsoft предоставить дополнительные возможности безопасности за пределами режима ядра, которые, наряду с безопасными практиками развертывания, могут использоваться для создания высокодоступных решений безопасности.

Microsoft обсудила требования к производительности и проблемы, с которыми сталкиваются поставщики безопасности при работе вне режима ядра, а также необходимость защиты от несанкционированного вмешательства в продукты безопасности и требования к датчикам безопасности.

Уэстон отметил:

Microsoft продолжит проектировать и разрабатывать новую платформу с учетом мнений и при сотрудничестве с партнерами экосистемы, чтобы достичь цели повышения надежности без ущерба для безопасности.

Microsoft напрямую не заявляет о том, что собирается закрыть доступ к ядру Windows, но, очевидно, что компания находится на начальной стадии разработки платформы безопасности, которая в конечном итоге сможет вывести CrowdStrike и других поставщиков из ядра. Microsoft уже пыталась закрыть доступ к ядру Windows в 2006 году с выпуском Windows Vista, но тогда это вызвало сопротивление со стороны вендоров и регулирующих органов. На этот раз разработчики решений безопасности настроены более позитивно.

Джо Леви (Joe Levy), генеральный директор Sophos так прокомментировал итоги саммита:

Это была отличная возможность присоединиться к открытому обсуждению с коллегами по отрасли о том, как повысить устойчивость и надежность как Microsoft Windows, так и экосистемы безопасности конечных устройств.

Кевин Симзер (Kevin Simzer), главный операционный директор Trend Micro, отметил:

Я приветствую Microsoft за открытость к продолжению сотрудничества с ведущими разработчиками решений безопасности конечных устройств.

Дрю Бэгли (Drew Bagley), вице-президент по вопросам конфиденциальности и киберполитики в CrowdStrike, сказал следующее:

Мы были рады возможности участвовать в этих важных обсуждениях с Microsoft и коллегами по отрасли, чтобы найти наилучший способ сотрудничества в создании более устойчивой и открытой экосистемы безопасности конечных устройств Windows, что укрепит безопасность для наших клиентов.

Однако, не все игроки рынка безопасности оказались довольны потенциальными изменениями Microsoft. Так например, генеральный директор Cloudflare, Мэттью Принс (Matthew Prince), написал в соцсети X (бывш. Twitter):

Регуляторам нужно обратить внимание: мир, в котором только Microsoft может предоставлять эффективные решения безопасности конечных устройств, не станет более безопасным.

Принс отмечает, что его беспокоит не возможное блокирование ядра Windows со стороны Microsoft, а то, что компания может закрыть его «для всех остальных», при этом сохранив «привилегированный доступ» для собственных продуктов. Microsoft также пригласила на саммит представителей властей США и Европы, поскольку компания явно осознает опасения, о которых упомянул Принс.

Саммит проходит на фоне более широких изменений в области кибербезопасности внутри Microsoft, после нескольких инцидентов и критики. Теперь сотрудников Microsoft напрямую оценивают по результатам их работы в области безопасности, связывая эти усилия с оценкой их эффективности.