擴(kuò)展用例

不是所有登錄嘗試都能找出可疑人員，這就是為什么基于風(fēng)險(xiǎn)的身份驗(yàn)證不應(yīng)該局限于登錄請(qǐng)求的原因。其它高風(fēng)險(xiǎn)交易(例如涉及轉(zhuǎn)賬的銀行用例或者變更通知)都應(yīng)該進(jìn)行額外的審查。在企業(yè)設(shè)置中，與簡(jiǎn)單地訪問(wèn)電子郵箱賬戶(hù)相比，訪問(wèn)敏感的銷(xiāo)售或者財(cái)務(wù)數(shù)據(jù)或應(yīng)用意味著更高的風(fēng)險(xiǎn)，因此，基于風(fēng)險(xiǎn)的身份驗(yàn)證系統(tǒng)可以被配置為要求用戶(hù)提供額外的用戶(hù)信息。

通常對(duì)于web應(yīng)用，web設(shè)計(jì)人員只要求對(duì)高風(fēng)險(xiǎn)交易進(jìn)行基于風(fēng)險(xiǎn)的身份驗(yàn)證。允許攻擊者登錄系統(tǒng)和查看基礎(chǔ)數(shù)據(jù)并不是高風(fēng)險(xiǎn)威脅，但讓攻擊者取錢(qián)或者關(guān)閉服務(wù)將會(huì)給企業(yè)帶來(lái)負(fù)面影響。這種方法也只會(huì)給大多數(shù)web用戶(hù)的操作帶來(lái)最小的影響，因?yàn)樗麄冊(cè)?9%的用例中只是想查看信息。這種方式中，只有1%的網(wǎng)站交互需要多因素身份驗(yàn)證。

為了更進(jìn)一步擴(kuò)展這個(gè)用例，通過(guò)利用設(shè)備和用戶(hù)數(shù)據(jù)(例如行為)，我們可以結(jié)合來(lái)源風(fēng)險(xiǎn)和交易風(fēng)險(xiǎn)來(lái)建立一個(gè)矩陣，以簡(jiǎn)化身份驗(yàn)證過(guò)程。設(shè)備標(biāo)識(shí)數(shù)據(jù)可自動(dòng)檢測(cè)新計(jì)算機(jī)是否在嘗試登陸，而網(wǎng)站上的用戶(hù)行為歷史可以表明這是否是同一個(gè)人--這具有某種程度的精確性。這是使用導(dǎo)航模式和計(jì)時(shí)來(lái)實(shí)現(xiàn)的。如果用戶(hù)始終使用相同的URL或者點(diǎn)擊路徑來(lái)進(jìn)入高風(fēng)險(xiǎn)交易，這通常需要3到6秒來(lái)實(shí)現(xiàn)，那么，當(dāng)攻擊者直接訪問(wèn)高風(fēng)險(xiǎn)交易頁(yè)面，并只在兩秒內(nèi)完成，這種時(shí)間偏差通常表明存在異常情況以及更大的風(fēng)險(xiǎn)，企業(yè)應(yīng)該采取相應(yīng)的措施。

供應(yīng)商和部署

RSA(EMC公司的安全公司)、CA Technologies、Entrust等供應(yīng)商已經(jīng)將基于風(fēng)險(xiǎn)或者自適應(yīng)身份驗(yàn)證提升到一個(gè)全新的水平，具有簡(jiǎn)單、直觀的一體化進(jìn)程。通過(guò)整合該技術(shù)到網(wǎng)站、應(yīng)用和企業(yè)使用的身份驗(yàn)證套件中，該技術(shù)可以通過(guò)監(jiān)控行為和活動(dòng)來(lái)為用戶(hù)創(chuàng)建資料文件。當(dāng)每個(gè)用戶(hù)登錄、瀏覽網(wǎng)站、訪問(wèn)企業(yè)系統(tǒng)或者請(qǐng)求數(shù)據(jù)時(shí)，集成的自適應(yīng)身份驗(yàn)證系統(tǒng)會(huì)記錄用戶(hù)的行為，這樣，系統(tǒng)就可以將其行為和關(guān)于其會(huì)話(huà)的其他細(xì)節(jié)信息與未來(lái)會(huì)話(huà)進(jìn)行比較。如果在用戶(hù)會(huì)話(huà)中，一個(gè)重要風(fēng)險(xiǎn)指標(biāo)發(fā)生變化，這可以是一個(gè)線(xiàn)索，系統(tǒng)可以請(qǐng)求進(jìn)一步身份驗(yàn)證細(xì)節(jié)。

Gartner公司預(yù)測(cè)，到2015年，在企業(yè)對(duì)企業(yè)和企業(yè)對(duì)企業(yè)用戶(hù)身份驗(yàn)證部署中，30%的部署將會(huì)加入自適應(yīng)訪問(wèn)控制功能。通過(guò)結(jié)合最新的雙因素和多因素身份驗(yàn)證技術(shù)與用戶(hù)和設(shè)備數(shù)據(jù)追蹤，基于風(fēng)險(xiǎn)的身份驗(yàn)證技術(shù)可以幫助企業(yè)保護(hù)敏感系統(tǒng)數(shù)據(jù)，同時(shí)盡可能地確保更好的用戶(hù)體驗(yàn)。