- Microsoft元従業員のAndrew Harrisは、2016年にAD FSのGolden SAML脆弱性を発見した後、何年にもわたり対応を求めたが、会社は即時修正ではなく長期的な代替策にしか言及しなかったと主張している
- この脆弱性は、AD FSサーバーの秘密鍵を奪取した後、偽造トークンによって正規ユーザーのようにクラウドサービスへアクセスできるようにし、監査ログの痕跡が少なく、多要素認証も回避できる
- Harrisが提案したseamless SSOの無効化は、連邦政府顧客の不便、Pentagonのクラウド契約、Oktaとの競争、ユーザー体験低下への懸念と衝突した
- 2020年のSolarWinds攻撃後、ロシアのハッカーはこの弱点を利用してNational Nuclear Security Administration、NIH、Treasury Departmentなどで機密データを収集し、Microsoftはその後Microsoft 365顧客にAD FSのseamless SSO無効化を推奨した
- Microsoftは顧客保護が最優先であり、セキュリティ問題を複数回検討したと述べたが、元従業員の証言はセキュリティ文化と事業上の優先順位が衝突した事例を浮き彫りにしている
AD FSで見つかったGolden SAML脆弱性
- Andrew HarrisはMicrosoftで機密性の高い顧客のハッキング事案に対応する秘密組織Ghostbustersに所属して働いており、2016年にある米大手テック企業への侵害を調査する中でAD FSの問題に注目した
- AD FSは、ユーザーが一度ログインすれば業務用の複数のプログラムにアクセスできるようにする製品で、数百万人が利用している
- Harrisが確認した中核的なリスクは、SAMLベースの認証において攻撃者が正規の従業員になりすましてクラウドベースのプログラムにアクセスできる点だった
- 攻撃者はまずオンプレミスサーバーに侵入した後、AD FSサーバーから秘密鍵を抽出する
- その後、トークンを偽造して高い権限を持つユーザーのように見せかけられる
- ログイン情報が正常に見えるため、一般的な監査ログでは検知が難しい
- Harrisは、この問題がMicrosoft Azureだけでなく、Amazonのような他のクラウドプロバイダーを使う組織にも影響し得ると見ていた
「security boundary」とMSRCの判断
- Harrisはこの問題をMicrosoft Security Response Center、すなわちMSRCに報告したが、MSRCは修正対象ではないと判断した
- MSRCは、攻撃者がまずオンプレミスサーバーにアクセスしなければならない以上、その地点がセキュリティ境界であり、その後クラウドへ移る問題は別のセキュリティ境界ではないと見なした
- 元MSRC職員らは、当時のセンターは人手不足の中で多くの脆弱性報告を処理しており、「won’t fix」と結論づける文化があったと語っている
- 彼らは、「security boundary」という表現が当時は明確に定義されておらず、Microsoftが修正しない理由として頻繁に使われていたと振り返る
- Bill Gatesは2002年のメモで、機能追加とセキュリティ問題の解決の間で選ぶならセキュリティを選ぶべきだと書いていたが、時間の経過とともにMSRCの影響力は弱まったと元職員らは述べている
暫定的な回避策が事業論理と衝突
- Harrisは長期的な修正には時間がかかる可能性があると見て、暫定的な回避策として**seamless single sign-on(SSO)**の無効化を提案した
- この機能は、ユーザーが一度ログインするとオンプレミスサーバーと複数のクラウドサービスにアクセスできるようにするMicrosoftの利便機能だ
- Harrisによれば、製品担当者のMark Morowczynskiは、脆弱性の公表は攻撃者にヒントを与える可能性があり、連邦政府顧客に大きな不便をもたらすとして反対した
- 連邦政府職員は規定上、スマートカードでログインする必要があった
- seamless SSOを無効にすると、クラウドアクセス時に2回目のログインが必要になり、その過程で必須のスマートカードを使えなくなるとHarrisは説明した
- Pentagonの大型クラウド契約やOktaとの競争も反対理由として挙げられた
- Microsoftは当時Oktaと競争中で、seamless SSOはMicrosoftの競争上の優位性の1つだった
- Harrisの提案は、ユーザーに2回の認証を求める摩擦を生み、製品戦略と衝突した
- Harrisは、Morowczynskiがこの判断は技術的判断ではなく事業上の判断だと述べたと回想している
外部セキュリティ企業による警告
- CyberArkは2017年、この手法をGolden SAMLと呼ぶブログ記事と概念実証を公開した
- Brad Smithはその後、Senate Intelligence Committeeへの書面回答で、Microsoftがこの問題を認識した時点は2017年のCyberArk公開時だったと記した
- CyberArkのLavi Lazarovitzは、公開前に複数企業のセキュリティ研究者が参加する非公開のWhatsAppチャットでこの問題を共有しており、そこにはMicrosoftの研究者も含まれていたと述べた
- HarrisはCyberArkの公開後、この問題はさらに緊急性が高まったと見て製品グループとMSRCに再度提起したが、MSRCは従来の立場を維持したと語っている
- 2019年にはMandiantの研究者がドイツのカンファレンスで、AD FS侵害を通じてクラウドアカウントとアプリケーションにアクセスする方法を実演し、ツールも公開した
- Mandiantは発表前にMicrosoftへ通知したと明かしている
- これは約16カ月の間に外部企業がMicrosoftにSAML問題を知らせた2件目の事例だった
Harrisの顧客への警告とNYPDの事例
- Harrisは2019年、LinkedInにAD FS認証の関係を理解していない知人がいるなら連絡してほしい、という趣旨の間接的な警告を投稿した
- 彼は既存の関係があった顧客に直接リスクを伝えようとし、その1つがNew York Police Departmentだった
- HarrisはNYPDのIT責任者Matthew FraserにAD FSの弱点を説明し、seamless SSOの無効化を勧告した
- Fraserはその会合があったことを認め、SAMLの弱点が保護と隔離を必要とする領域として特定されたと述べた
- Harrisは2020年8月にMicrosoftを離れてCrowdStrikeへ移り、退職面談でもSAMLの弱点を再び提起したと語っている
多要素認証の回避とSolarWinds攻撃
- Harrisは2018年、同僚との会話の中で、偽造トークンを持つ攻撃者が多要素認証も回避できることに気づいたと語っている
- 追加のセキュリティ手順を設けても、偽造トークンがあれば攻撃者はそれらをすべて飛び越えられることが問題だった
- 2020年末、SolarWinds攻撃が公表され、米政府はロシア国家の支援を受けたハッカーが関与したと明らかにした
- 攻撃者はSolarWindsのソフトウェア更新に悪意あるコードを仕込み、ネットワークへのバックドアアクセスを得た後、Golden SAMLのような侵入後脆弱性を利用してクラウドデータやメールを盗み出した
- 攻撃者はHarrisが指摘していた弱点を使って複数機関の機密データを収集した
- National Nuclear Security Administration
- National Institutes of Health
- Treasury Departmentの複数のメールアカウント
- 当時CISAのBrandon Walesは、被害者のほぼ3分の1はSolarWindsソフトウェアを使っていなかったと述べた
- Microsoft自身も侵害され、攻撃直後にMicrosoftはMicrosoft 365顧客へ、AD FSおよび類似製品でseamless SSOを無効にするよう勧告した
Microsoftの公的立場とその後の対応
- Microsoft PresidentのBrad Smithは2021年に議会で、SolarWinds攻撃で悪用されたMicrosoft製品またはサービスの脆弱性は存在しなかったと述べた
- Smithは、Golden SAMLはMicrosoftが把握した60件のうち15%で使われたと説明しつつ、データが観測または窃取された被害者がそれだけに限られないことも認めた
- Smithは、組織がMicrosoft Defenderのようなアンチウイルス製品を購入し、Intuneでデバイスを保護するなど複数の対策を講じていれば、被害はほとんどなかっただろうと述べた
- SolarWinds後、MicrosoftはSAMLリスクを緩和するための措置を講じ、ハッキングの影響を効率的に検知する機能は有料追加製品のSentinelに含まれた
- Microsoftはブログで、このような検知欠如を「blind spot」と表現した
Microsoftの反論とセキュリティ文化論争
- MicrosoftはBrad Smithら幹部のインタビュー対応には応じなかったが、ProPublicaの調査結果そのものは否定しなかった
- 会社は書面回答で、顧客保護は常に最優先であり、セキュリティ対応チームはすべての問題を深刻に扱い、手動評価とエンジニアリング・セキュリティパートナーによるレビューを経ていると説明した
- Microsoftは、潜在的脅威を評価する際には、顧客への中断可能性、悪用可能性、利用可能な緩和策を考慮すると述べた
- 2023年には、中国政府とつながるハッカーがMicrosoftのセキュリティ欠陥を悪用して米政府高官のメールにアクセスした事件も、House Homeland Security Committeeの調査対象となった
- Cyber Safety Review Boardはこの事件の調査で、Microsoftのセキュリティ文化は不適切で、全面的な改革が必要だと判断した
- Satya Nadellaは取締役会報告書の後、従業員に対し、セキュリティと他の優先事項が衝突する場合はセキュリティを選ぶよう伝えた
クラウド事業競争とその結果
- 2014年にCEOとなったSatya NadellaはMicrosoftの将来をAzureクラウド事業に賭けており、当時AzureはAmazonに大きく後れを取っていた
- Microsoftは企業や政府顧客に対し、オンプレミスサーバーの一部を維持しながら計算資源の大半をクラウドへ移すハイブリッドクラウド戦略を提案した
- セキュリティはクラウド販売の中核的な論理であり、パッチやアップデートを専任のセキュリティ人材が処理する点が利点として示された
- Harrisと元従業員らは、Pentagonの大型クラウド契約とAzure成長への圧力が製品チームの意思決定に影響したと述べている
- Microsoftは最終的にAmazon、Google、Oracleとともに、Defense Departmentの複数年・数十億ドル規模のクラウド事業の一部を受注した
- SolarWinds公表後、Microsoft株は106%上昇し、AzureとChatGPTのようなAI製品の成功が主な背景として挙げられている
- Morowczynskiが2017年にHarrisへ言及したというAD FS代替の長期製品は、2022年に提供開始された
1件のコメント
Hacker News の意見
解決策は、組織内で完全なゼロトラストを適用し、ネットワークを信頼しないこと。内部ネットワークも外部と同じ、つまり敵対的な環境として扱うべき
Google は BeyondCorp によってゼロトラストを広く導入した最初の事例で、Aurora 以降、Google の内部組織への侵害はなかったと見ている
完全管理されたエンドポイント、強力なエンドポイントのハードニング、組織リソース全体のインベントリ、デバイスごとの証明書、ユーザーごとのリソースアクセスを判断するアクセス制御リストエンジンが必要
勤務時間のようなヒューリスティックで異常の兆候も検知できるし、Google の内部アプリはすべてインターネットに公開され、SSO ポータルへリダイレクトされるが、実際には入れない。この種のセキュリティ問題の多くはすでに解決されており、あとは実装するだけ
大半の大規模組織は数十年にわたって社内・社外の技術を積み重ねてきており、古いシステムは事実上放置されていて、M&A や部門ごとのツール選択の自由のせいで異質性が大きい
ゼロトラストへ移行するには、大規模なマイグレーション、頑固な IT 担当者を説得する「教育」、そして Google 的な集中管理モデルへの転換が必要
前二つに予算が付いたとしても、三つ目は非常に高くつく可能性がある。Google が多くのものを廃止する理由の一つも、集中管理モデルでは継続的に移行し、破壊的変更を伴うアップグレードをしなければならないから
スタートアップでこうしたベストプラクティスに基づく均一性を顧客に提供したいと思っても、いつか顧客が「ゼロトラストをオフにして IP 許可リストを使わせてほしい」と要求してくるかもしれない。大口契約のために受け入れるか悩むことになり得るし、ゼロトラストがない会社を買収するという理由だけで買収を取りやめることもできない
むしろ大半にとっては極めて難しい課題に近く、「フクロウ全体を描けばいい」という類の答えに聞こえる。たとえば従業員 2万2000人を抱える米国最大のカーペット・床材メーカー Shaw Industries がこれを実行すると想像すればよい
絶対的に「安全だ」という態度を取ると、侵害を熱心に探さなくなり、結局いつか発生する侵害を見逃すことになる
ゼロトラストは哲学であり、かなり良い哲学ではあるが、それ自体が解決策ではない。絶対的な解決策というより、哲学と良い慣行として考える方が正しい
このようなアーキテクチャがすべての会社に合うとは思わない。ほとんどの非ソフトウェア系テクノロジー企業は、単純なソーシャルエンジニアリング、詐欺メール、第三者へ認証情報を渡してしまう問題で被害を受けており、経済スパイも大きな脅威
Google には内部告発者や、経営陣のビジョンと衝突する活動家グループのような別のセキュリティ上の懸念もあり得て、そうした問題にはこの構造が合うかもしれない。だが、すべての会社の脅威ベクトルが同じという意味ではない
セキュリティ問題は解決可能だが、必要なインフラは些細なものではなく、多くのエンジニアリング向けソフトウェアスタックは第三者認証そのものをサポートしていない
開発者は、ソフトウェア開発者でなくても「管理されたエンドポイント」を嫌がることが多い。Google には通用するが特殊ケースに近く、現実的には合理的なネットワーク分割の方がはるかに効果的な場合がある
セキュリティと利益の間にあるインセンティブの不一致は、特に上場企業では、巨大な文化変革なしには直すのが難しい。何がその変化を促せるのかも分からない
さまざまな役割でサイバーセキュリティを兼務してきたが、専業に進まなかった理由は、業界で直接見てきた姿にある。実際の良いセキュリティ慣行よりもコンプライアンスに圧倒的に集中しており、その基準も不十分だったり、執行が弱かったりする
文化変革が必要だが、それは顧客側から来るべきだと思う。消費者には難しくても、企業顧客がセキュリティをきちんと評価し、拘束力のある保証を求め、それに基づいて購入判断をすれば、業界は反応するはず
もちろん Microsoft はデスクトップ市場に深く入り込みすぎているため、この方法が完全に効果を発揮するのは難しい
ただし、これはセキュリティを気にする文化変革がないことへの直接的な反応でもある。セキュリティチームには通常、二つの選択肢しかない
「セキュリティは重要だから安全な製品を作ろう」と主張して笑われるか、監査人が求めるコンプライアンスを持ち出して、ほんの少しでもセキュリティ寄りに動かすかだ
個人もセキュリティよりお金を選ぶことがある。政府も、より高いコストと低い生産性ではなく、より生産的な労働力を選んだように見える
企業が政府に売り込むときは、得られる金額と宣伝効果があまりにも大きいため、不都合な事実を隠すインセンティブが生まれる。ある航空機メーカーを思い出す
少し気まずい内容を隠す程度から、巨大で組織的かつ意図的な詐欺まで、時間がたつにつれて全域に広がり得る
リーダーが「セキュリティ／品質を優先しろ」と言いながら、実際にはそれに報いないなら、舞台はすでに整っている
毎日、売上目標で報酬を与えたり罰したりしながら、たまに発覚したときだけ下位の担当者を1人か2人処分するなら、その会社が本気で向き合っている対象はセキュリティ／品質ではなく金だ
目標を達成させるにはインセンティブを与える必要がある。営業はストレスも大きく、簡単に解雇され得るが、成功すれば大金を稼げる。セキュリティは成功しても解雇されないだけで、失敗すれば解雇される
優れたセキュリティ業務の結果は、侵害も災害も騒動もない「何も起きない」ことなので、測定もしにくい。不在をどう数値化するのかという問題だ
結局、営業にはニンジンが多く、ムチは皆と同じだが、セキュリティにはニンジンがなくムチだけがあり、そのムチは釘の打たれた棍棒かもしれない。答えは文化にあり、文化を変えるのが最も難しいと思う
営業にセキュリティを心配してほしいと望むべきではなく、営業の焦点は成長であるべきだ。問題は、セキュリティ修正を新機能より先に入れるべきだと「ノー」と言える権限と管轄を、反対側に与えていないことにある
成長インセンティブを受けるプロジェクトマネージャーが優先順位を決めれば、当然、セキュリティより成長を選ぶことになる
セキュリティチームが問題を知らないのではなく、修正が優先順位にならず、文化とプロセスが両者の間でバランスを取れていないのだ
政府側にも、少なくとも個々の意思決定者のキャリアには、契約が成立してほしいという相当なインセンティブがある
双方とも取引の成立を望んでおり、最終ユーザーが退職前に気づかない限り、欠陥を隠す動機がある
Satya Nadellaが「セキュリティと他の優先事項の間で選ばなければならないなら、答えは明確だ。セキュリティを選べ」と言ったMicrosoft流のセキュリティ優先モデルは、こういうものだと思う
Windowsの隅々に広告を入れ、ユーザーが行うあらゆることを記録する録画機能をインストールし、従業員に「セキュリティをやれ」とメールを送れば任務完了、というわけだ
その件で、研修、メール、プロセスの大半はもっともらしい否認可能性のためのものなのだと強く実感した
Microsoftにもセキュリティを本気で気にかけている人たちはいる。直接会ったこともある。だが概して、こうした仕組みはSatyaが法廷や議会で「われわれはセキュリティをもっと良くするよう言った。製品チームや個人貢献者の過ちであり、Microsoftの方針やインセンティブのせいではない」と言えるようにしている
メールの文言には何の重みもない。リーダーがセキュリティを何か別のものと交換することを選んだ瞬間、従業員に必要なシグナルはすでに伝わっている
CanonicalがSuperキー検索を記録していたという論争や、UbuntuにAmazon広告がデフォルトで入っていた件を思い出す
コンピューターが好きな人はArch、Gentoo、NixOS Minimalをインストールしてパッケージを監査できるが、ほとんどの非ソフトウェアエンジニアにそれを期待するのは非現実的だ
Microsoftだけでなく、どの企業にも、可能な限り多くの広告を貼り、データを最大限収集しようとするインセンティブは常にある。規制を支持するかは確信がないが、他の方法もよく分からない
いつものことだが、「セキュリティ優先」という経営陣の決まり文句は重要ではない
機能で人に報酬を与え昇進させながら、セキュリティ文化に報いないなら、人々も管理層も愚かではないので、その方向に最適化する
このインセンティブをどう設計すれば解決するのかは分からないが、このままずっとこういう流れになるだろう
責任者が処罰され、誰かが代償を払うまでは、おそらく何も起きない
通常、機能は、マーケティングがその機能のコスト以上に事業成長を生むと示したときに製品に入る。同じ考えを適用できる
「この脆弱性は顧客のX%に影響し、Y%が離脱し、評判被害まで生じて大きな金額を失う。一方でZ日以内に少額で修正できる。判断は？」という具合だ
この話では、かなり大きな手がかりが見落とされていると思う。シームレス SSO を無効にすると、政府職員がデバイスにログインする際に使う物理的なスマートカードに、広範かつ特殊な影響が出る
連邦規則で必要とされるこのカードは、ログインのたびにランダムなパスワードを生成するが、基盤技術の構成上、シームレス SSO を取り除くとユーザーがスマートカードでクラウドにアクセスできなくなる
米国政府は Microsoft の最大顧客の一つであり、ユーザーベースも Active Directory の規模も膨大だ。この領域で働いた経験から言うと、ユーザーとロールの管理は、盗まれた認証情報やロックされたアカウントなどで悪夢に近く、常に標的にされる
米国政府はこうした問題を減らすため、全員をスマートカード認証へ移行させようとしてきた。パスワードをなくし、全員を2要素認証に変えれば、攻撃対象領域は大きく減る
ところが、この人物は修正策の一部として、顧客に単にオフにするよう伝えろと言ったに等しい
元の SAML の欠陥の危険性を否定するわけではないが、Harris は Microsoft のそれ以外の対応を不公平に判断したのだと思う。彼は機関全体で2要素認証をオフにしてほしいと求めたのと同じだ
短期的な緩和策はセキュリティを大きく損ない、顧客を本来防ごうとしていた種類の攻撃に、より多くさらす可能性がある。この話は、同社がセキュリティを気にしなかったもう一つの事例のように見せられているが、顧客の全体的なセキュリティ態勢を狭く見ていた「内部告発者」が反発したものに見える
ほとんどの政府機関の情報セキュリティシステム管理者も、同じ理由で実行可能な選択肢ではないと言ったはずだ
結局、記事の要旨もそこだ。安全に管理する方法がないと知りながら売り続けたのだ
Microsoft を擁護したいわけではないが、利益よりセキュリティを優先している会社を、具体的に挙げられるかは分からない
Bill Gates は2002年に「機能追加とセキュリティ問題の解決のどちらかを選ばなければならないなら、セキュリティを選ぶべきだ」と述べ、Satya Nadella も2024年に同じ趣旨で「セキュリティをやれ」と語った
https://www.wired.com/2002/01/bill-gates-trustworthy-computi...
https://www.theverge.com/24148033/satya-nadella-microsoft-se...
実際、私が使いたいし、追加でお金を払ってもよい機能はいくつもあるが、完全に安全なプロトコルではない、あるいは一般的なカレンダークライアントと統合する必要がある、という理由で作っていないものがある
お金を払う顧客がセキュリティに価値を見いださなければ、規制や法的要件がない限り、サプライヤーもセキュリティに価値を見いださない
だが、大組織や政府が Microsoft の顧客であることを考えると、今回の件は奇妙だ。「自分たちには起きない」あるいは「誰にも知られない」という思い上がりがあったのかもしれない
今や、評判へのダメージが将来の利益まで損なう可能性が高いことを目の当たりにしているはずだ
大きな橋を建設会社が造ったと想像すればよい。社内の安全検査官が、崩落につながり得る構造上の欠陥について上司たちに繰り返し警告し、時間がたつにつれて外部からも2度公に警告が出たが、会社は重要性を過小評価した
結局、橋は崩落し、会社が欠陥のある橋をさらに売る契約を失いたくないために何もしなかったことが明らかになる
大衆が正当に怒り、関係者には法的な結果が伴うだろう。ところが、私たちの業界では何が違うから、会社や管理者がこうした悪意を見逃され得るのか分からない
十分に多くの命が犠牲にならなければ、たいてい人々はあまり気にしないようだ
https://www.nrk.no/innlandet/statens-vegvesen-legg-fram-rapp...
ソフトウェアは即座に命を脅かすわけではない。だから医療と航空宇宙を除けば、ほとんど西部開拓時代のように振る舞っている
個人情報がインターネットに流出するのはひどいことだが、飛行機のドアが外れて飛んでいくのと比べれば、それでも対処する時間はある
政府は、政府向けに販売されるソフトウェア製品の契約において、ライセンスを持つ個人の署名と承認を義務づける形で変化を始められる
Mottarone のケーブルカーは確実に似ていた。安全装置を無効にしたまま何年も運行し、牽引ロープが切れると客室が下へ突進して乗客全員が死亡した
Golden SAMLは脆弱性というより、記事で引用されているCyberArkの記事が改めて述べているように、先にボックスを完全に掌握していなければ成立しない攻撃類型である
何かを誤解しているのでなければ、特定の欠陥は見当たらない。Microsoftが記事で揶揄されている言い方を借りれば、セキュリティ境界を越えるものではない
SSOには常にこうしたトレードオフがある。SSOインフラが侵害されると、それを利用するすべてのものが侵害されるリスクがある
この部分はさらっと流されているが、実際の「ハッキング」はそこに近いのではないかと思う
SSOを使う限り、緩和も容易ではない。1つの方法は、対象サービスに有効なSAMLトークンに加えて第2要素を要求させることだが、そうすると各ユーザーが各対象サービスごとに第2要素を最新状態に保つ必要がある
これはすぐに管理不能になり、SSOと第2要素を同時にサポートするSaaSやセルフホスト型アプリも、実際のところほとんどない
「GOLDEN ADMIN」という攻撃を作ったのと似ている。管理者資格情報があれば、管理者としてログインして望むことを何でもできる、というような話だ
攻撃者がログを残さずどこにでも認証できるのが悪いことは分かるが、それでも元コメントには同意する
可能な方法はいくつかあると思う
Microsoftだけの問題ではない。セキュリティエンジニアとして、このキャリアで正気と成果の両方を望むなら、技術力があり、強い規制上のインセンティブと予算があるか、利益と強く結び付いた脅威モデルのためにセキュリティを文化的に重視している場所で働くべきだ
私の基準に合う主な例は、上場のためにSOC2などを通過しなければならないIPO前のスタートアップ、鍵の窃取のような脅威モデルと利益インセンティブが明確な暗号資産業界、重要インフラを多く提供する公開テック企業だ
ただしMicrosoftのように大きすぎて潰せない方向に流れるところもあれば、Google/Project Zero、Verizon/Paranoids、Cloudflareのように内部セキュリティチームが強そうに見えるところもある
銀行は資金があり、リスク回避文化があり、規制も強いため可能性はあるが、医療は規制が強くても攻撃量と無関心のせいで絶対に働きたくない
だからDARTチームで実際の脅威アクターや多様なインシデント対応を多く見たい、あるいは非常に低レベルのOSセキュリティをやりたいのでなければ、セキュリティエンジニアとしてMicrosoftに行くことは勧めない
Appleのセキュリティエンジニア業務についてはよく分からない。セキュリティ職の平均在職期間がおおむね10年前後である理由もこれだ。正気がすり減り、報酬はかなり良いので、30〜40代には貯めたお金で別のことができるようになる