零信任安全網(wǎng)絡(luò)企業(yè)正在走向生物認(rèn)證
根據(jù)一項(xiàng)新的研究，越來越多的企業(yè)開始在設(shè)備上啟用生物特征認(rèn)證來驗(yàn)證訪問請求。
很多組織機(jī)構(gòu)在為應(yīng)用程序和其他 IT 資源建立和加強(qiáng)訪問策略時，不再把網(wǎng)絡(luò)邊界作為信任指標(biāo)。越來越多的企業(yè)開始實(shí)施一種身份驗(yàn)證解決方案——無論用戶位置如何，每次嘗試訪問都要進(jìn)行用戶身份驗(yàn)證和設(shè)備安全檢查。數(shù)據(jù)顯示，企業(yè)越來越傾向于生物識別類型的身份驗(yàn)證。
從本地 IT 基礎(chǔ)設(shè)施到云托管應(yīng)用程序和服務(wù)的轉(zhuǎn)變，再加上自帶設(shè)備 (BYOD) 政策和漫游員工的增加，所有這些變化在過去 10 年里給企業(yè) IT 安全團(tuán)隊(duì)帶來了重大挑戰(zhàn)。
應(yīng)對這些挑戰(zhàn)的早期嘗試包括使用 VPN、網(wǎng)絡(luò)訪問控制 (NAC) 和移動設(shè)備管理 (MDM)，確保員工遠(yuǎn)程使用的設(shè)備在進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)之前是安全的。然而，惡意行為者也升級了自己的技術(shù)，企業(yè)網(wǎng)絡(luò)內(nèi)的惡意橫向移動是現(xiàn)在很多安全漏洞的常見要素。
這意味著在網(wǎng)絡(luò)邊界進(jìn)行設(shè)備安全檢查，并允許那些連接到系統(tǒng)的人員無限制地訪問所有資源已經(jīng)不足以抵擋惡意攻擊了。設(shè)備在已經(jīng)進(jìn)入網(wǎng)絡(luò)的情況下也可能會受到攻擊，證書也可能以各種方式被盜。
驗(yàn)證用戶和設(shè)備
多因素認(rèn)證 (MFA) 解決方案供應(yīng)商 Duo Security(現(xiàn)在屬于 Cisco)的CISO顧問主管 Wendy Nather 表示：
| 從根本上來講，我們都明白你不能因?yàn)樗麄冊诜阑饓?nèi)，就認(rèn)為所有東西都能信任。所以，如果你認(rèn)同這一點(diǎn)，問題就變成了：今天我們在信任哪些實(shí)際上我們不應(yīng)該信任的東西?答案是你必須比從前更認(rèn)真地對用戶進(jìn)行驗(yàn)證，你必須驗(yàn)證他們的設(shè)備，而且你還需要根據(jù)他們訪問操作的敏感性進(jìn)行驗(yàn)證。你還需要經(jīng)常這么做，而不僅僅是當(dāng)你讓他們進(jìn)入防火墻的時候。 |
同時，Nather 說道企業(yè)應(yīng)該盡早、經(jīng)常性地進(jìn)行檢查，而且如果在每次訪問請求的時候都進(jìn)行檢查，則更有可能發(fā)現(xiàn)以前不知道的東西。
Duo 將此稱為 “零信任網(wǎng)絡(luò)安全原則”，其靈感來自于之前的去邊界化努力，如 2004 年的 Jericho 論壇、2014 年谷歌發(fā)布的 BeyondCorp 企業(yè)網(wǎng)絡(luò)安全方法以及 Gartner 的持續(xù)適應(yīng)性風(fēng)險(xiǎn)和信任評估模型 (Continuous Adaptive Risk and Trust Assessment, CARTA)。
當(dāng)然，企業(yè)網(wǎng)絡(luò)邊界不會很快就消失，也不需要消失。發(fā)生的變化是安全策略和訪問控制正重新聚焦于用戶和設(shè)備標(biāo)識，無論這些用戶和他們訪問的設(shè)備在哪里：在云上還是在本地、遠(yuǎn)程還是內(nèi)部。這也影響了認(rèn)證方式以及組織機(jī)構(gòu)首選的驗(yàn)證方法和設(shè)備。
生物識別認(rèn)證正在崛起
在今天發(fā)布的2019 Duo信任訪問報(bào)告 (2019 Duo Trusted Access Report) 顯示，用于訪問商業(yè)應(yīng)用程序的移動設(shè)備中，有 77% 配置了生物識別技術(shù)。超過三分之二的用戶使用基于移動設(shè)備推送的傳統(tǒng)驗(yàn)證方法，例如通過電話和短信等進(jìn)行身份驗(yàn)證。該公司的數(shù)據(jù)顯示，在 Duo 的客戶中，通過短信發(fā)送身份驗(yàn)證碼的方法只占到 2.8%。然而短信仍是在很多在線服務(wù)中廣泛使用的雙因素身份驗(yàn)證方法。
Duo 的分析基于 5 億用戶的每月訪問請求，這些請求來自 2400 萬臺商業(yè)設(shè)備涵蓋了了超過 100 萬個企業(yè)應(yīng)用程序和資源，包括內(nèi)部應(yīng)用程序和云端應(yīng)用程序。這些匿名數(shù)據(jù)涵蓋了所有領(lǐng)域內(nèi)的 15,000 多個組織機(jī)構(gòu)。
Duo 還發(fā)現(xiàn)，企業(yè)員工使用 iOS 設(shè)備的數(shù)量同比增長7%，使用Android設(shè)備的數(shù)量增長了 2%。Windows 仍然是企業(yè)設(shè)備上最常見的操作系統(tǒng)，占 47%。但其總體使用量實(shí)際上比去年下降了8%。好消息是，Windows 10 的使用率持續(xù)上升，目前占 Duo 觀察到的所有 Windows 終端設(shè)備的三分之二。
iOS、Android 和 Windows 10 的共同點(diǎn)在于，它們都支持某種形式的基于生物特征的身份驗(yàn)證：蘋果設(shè)備有 Touch ID 和 Face ID, Android 有指紋傳感器，Windows 10 有 Windows Hello。
經(jīng)過驗(yàn)證的訪問請求可以加速零日響應(yīng)
為每個身份驗(yàn)證請求驗(yàn)證設(shè)備標(biāo)識和安全性，還有助于 IT 安全團(tuán)隊(duì)對已知的漏洞做出響應(yīng)，并迫使用戶更快進(jìn)行安全更新。其中一個例子是谷歌 Chrome 的一個零日漏洞，該漏洞于 3 月底公布，發(fā)現(xiàn)正在被利用。
在該漏洞被公布的當(dāng)天，Duo 發(fā)現(xiàn)其產(chǎn)品使用過時的瀏覽器策略設(shè)置高達(dá) 79%，這導(dǎo)致身份驗(yàn)證嘗試被拒絕的次數(shù)比正常情況高出 30 倍。這意味著 IT 安全團(tuán)隊(duì)利用這個策略設(shè)置來響應(yīng)安全威脅的速度要比通過網(wǎng)絡(luò)訪問控制更快。
根據(jù) Duo 的數(shù)據(jù)，用戶設(shè)備上最常過時的瀏覽器是 Microsoft Edge (73%)，其次是 Mozilla Firefox (35%)、Safari (23%) 和 Chrome (15%)。就操作系統(tǒng)而言，運(yùn)行 Android 的設(shè)備最常被淘汰 (58%)，而 iOS 設(shè)備為 38%。
使用生物識別技術(shù)作為一種雙因素認(rèn)證和用戶身份驗(yàn)證的方式不僅被企業(yè)所采用，某些行業(yè)的監(jiān)管機(jī)構(gòu)也在推廣生物認(rèn)證方式。作為修訂后的支付服務(wù)指令 (Payment Services Directive, PSD2) 的一部分，在線支付的新安全和認(rèn)證要求將于 9 月在歐洲生效。該指令要求金融機(jī)構(gòu)將需要通過雙因素身份驗(yàn)證進(jìn)行在線交易，例如通過一個手機(jī)上支持生物識別驗(yàn)證的應(yīng)用程序。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
