有人問帕勃洛·畢加索在他的眾多畫中哪一幅是他最喜歡的。他的回答是：下一幅。如果問微軟首席執(zhí)行官史蒂夫·鮑爾默哪一款Windows是最安全的，那么你猜他會怎么回答呢？

我注意到微軟準備為Windows 2000發(fā)布最后一個安全補丁包Rollup 5。它不同于通常的服務(wù)補丁，而更像是一個方便性的補丁－自SP4以來的所有hotfix補丁程序積累成一個大的安裝包。這個補丁將在微軟終止對Windows 2000的主流支持之前，也就是本月底之前推出。

五年，難道真的已經(jīng)過了如此長的時間了么？我曾經(jīng)如此急切的放棄NT4而安裝上閃亮的新的Windows 2000，這些好像是發(fā)生在不久前的事。但是細想一下，在這五年中發(fā)生了太多的事情。互聯(lián)網(wǎng)改變了，安全改變了，整個世界都已經(jīng)改變了。

我認為在整個微軟的發(fā)展歷史上，Windows 2000可能是微軟最大的負面新聞的源頭之一。但是它也造就了現(xiàn)在微軟的地位。微軟曾經(jīng)想把Windows 2000打造成為他們最安全的操作系統(tǒng)，但是事實上成為一個絕對的安全災(zāi)難。微軟一直設(shè)法不僅僅要從那場災(zāi)難中恢復(fù)過來，還要把安全性變?yōu)樗麄兏蟮馁Y本。事實證明Windows 2000是微軟迄今最成功的失敗者。

2000年的情況與現(xiàn)在不同。程序員證明千年蟲問題并沒有帶來巨大的麻煩。我們順利的度過了2000年1月1日，一切都順利進展。隨之在第一季度Windows 2000到來了，更多的人開始對安全有了更多的興趣－－Windows是一個不錯的開始的場所。同時一些新的Windows黑客也開始出現(xiàn)了。

那一年在Windows 2000中漏洞潮水般的不斷被發(fā)現(xiàn)，其中許多會對IIS造成破壞。任何一名黑客一旦發(fā)現(xiàn)他們在攻擊的是一個基于IIS的站點，他們確信他們肯定能發(fā)現(xiàn)一個方式來攻破他。換言之，不管這家公司有多大，你都可以侵入他，在數(shù)分鐘內(nèi)就可以侵入他們的IIS服務(wù)器。這種情況一直持續(xù)到2001年。

情況有那么糟糕么？確實。不幸的是，許多入侵是悄無聲息的，而發(fā)現(xiàn)被攻擊的公司也對此諱莫如深。銀行、政府、軍方站點、商業(yè)站點都無一例外被黑過。但是你能真的完全責(zé)備微軟么？大多數(shù)黑客并非能力超群，只是利用了微軟已經(jīng)修補過的漏洞，只是人們沒有安裝這些補丁來堵住這些漏洞。那個時候，無論我們怎么努力，似乎沒有人接受安全的重要性。那個時候銷售安全產(chǎn)品幾乎是不可能的。我記得有一次問另一個顧問，“我們該怎么做才能引起人們對安全的重視，難道非要黑掉每一個人來讓他們明白安全的重要性么？”

從2001年5月份開始，情況有所改變。我開始接到一些公司的電話，過去我曾經(jīng)向他們試圖銷售過安全服務(wù)，但是他們對此從來沒有興趣。現(xiàn)在他們需要我的幫助因為發(fā)生了一些事情。許多人的站點被這樣的詞語所丑化：“fu*k 美國政府，fu*k PoinzonBOx（美國一黑客）。”那時第一次許多公司經(jīng)歷了蠕蟲病毒的攻擊。當(dāng)然絕對不是最后一次。

sadmind/IIS蠕蟲病毒比較有意思的是，它給安全業(yè)界帶來了一些工作做，但是它與七月份發(fā)生的事情是沒法相比的。

我依然非常清楚的記得那一天－網(wǎng)絡(luò)變得非常慢，我的入侵監(jiān)測設(shè)備（IDS）快要崩潰了，我發(fā)現(xiàn)許多來自Marc Maiffret的郵件出現(xiàn)在不同的安全郵件列表中。人們后來稱它為紅色代碼。當(dāng)時幾乎每人都感染了它。

從那一晚起，我知道我們大多數(shù)人的工作不會像以前那樣了，那就是互聯(lián)網(wǎng)安全的911事件。但是，這并不是結(jié)束，只是變得更嚴重的惡夢的開始。到年底的時候你把一臺裝著Windows 系統(tǒng)的機器聯(lián)到網(wǎng)絡(luò)上，在你有機會下載最近的補丁之前可能已經(jīng)被十幾種病毒感染了。而現(xiàn)在不需要五分鐘的時間。

那時候到處充滿了譴責(zé)之聲。有的人譴責(zé)安全專家公開了漏洞。追溯每一種主要病毒的根源，幾乎都可以發(fā)現(xiàn)其是利用了被有的安全專家公開的漏洞。某些人聲稱假如安全專家不公開這些漏洞的話，他們就不會遭受到黑客的攻擊。但是這種觀點是很虛弱的，因為有的黑客已經(jīng)知道了這些漏洞，不管你公開不公開并在偷偷的利用這些漏洞。

人們譴責(zé)微軟，但是讓我們來看一下真實的情況吧：系統(tǒng)管理員真的需要6個月以上安裝一次更新么？是的，是微軟程序員寫出的這些有BUG的代碼，但是在那時候他們和大多數(shù)程序員有什么區(qū)別么？他們難道不是整個社會對安全的態(tài)度的反映么？許多代碼都是在5年前寫的，那時候安全是一個增值功能而不是一個用戶必須的要求。那時候的管理員也是懶惰的。

問題是那時候你不能簡單去WindowsUpdate站點看一下你需要安裝那些補丁。你不得不一個一個的瀏覽整個補丁列表來確認哪些你沒有安裝。更糟糕的是微軟發(fā)布了太多的漏洞修補補丁以使管理員無法機警的迅速安裝任何補丁。不得不承認那時微軟的補丁策略真的是非常混亂的。一切都是那么不協(xié)調(diào)的，而且彼此之間缺乏溝通。

然而在企業(yè)界很少看到的奇怪的事發(fā)生了。微軟不僅僅開始負起責(zé)任，而且把他們的失敗變?yōu)樗麄兊淖罡邇?yōu)先的漏洞修補。他們停止努力維護他們的形象，并開始承認他們有安全問題需要修補。正如比爾蓋茨在它的著名的可信頼計算備忘錄里提到的，“這是一個只有微軟可以解決的挑戰(zhàn)。”

大多數(shù)人對這個發(fā)言持藐視態(tài)度。這次備忘錄聽起來是偉大的，只是不能迅速變?yōu)楝F(xiàn)實。我們真的納悶是什么使他們突然改變了態(tài)度并從那時起開始了改變。

但是蓋茨是正確的，微軟是唯一適合解決這個問題的候選人。他們投入了大量的資金，事情開始慢慢的發(fā)生變化。微軟開發(fā)著開始討論他們已經(jīng)知道的安全問題。開始參與了更多安全會議。IIS服務(wù)器不再對任何人來說都是很容易侵入的。更令人吃驚的是，當(dāng)去年Windows XP SP2的到來，我們發(fā)現(xiàn)安全功能的重要程度已經(jīng)優(yōu)于于其他所有特點的。

當(dāng)然微軟依然還有許多工作要去做。針對沖擊波和SqlServer蠕蟲病毒的出現(xiàn)，讓他們作出了自己的緊急響應(yīng)計劃。在振蕩波出現(xiàn)的時候，他們把他們的恢復(fù)時間縮減到五天，與沖擊波的38天相比快了很多。微軟安全應(yīng)答中心(MSRC)的建立讓我們看到了成功的信號。當(dāng)然這決不是最后的勝利，但是他們已經(jīng)具備了一定的反應(yīng)能力。

微軟的問題不僅僅是只讓微軟受益：現(xiàn)在我們都對安全提高了警惕。我的岳母已經(jīng)在討論防火墻的問題。我的鄰居在談話間偶爾會引用到釣魚（phiishing）攻擊。還有有一天我聽到我的兒子在向他的弟弟解釋木馬軟件帶來的麻煩。

微軟也許要再花十年推出許多更安全的產(chǎn)品，才能最后宣告對安全問題的勝利，但是他們現(xiàn)在已經(jīng)具備了基礎(chǔ)架構(gòu)、豐富的經(jīng)驗和關(guān)鍵要素來發(fā)生這些改變。