Czym jest Uwierzytelnianie Adaptacyjne?

Uwierzytelnianie adaptacyjne to nowe osiągnięcie w dziedzinie zabezpieczeń, które zmienia (zwiększa lub zmniejsza) poziom weryfikacji bezpieczeństwa w zależności od profilu ryzyka próby logowania. Ponadto, nie jest to zwykłe uwierzytelnianie wieloskładnikowe (MFA), które za każdym razem wymaga tego samego zestawu danych uwierzytelniających.

Uwierzytelnianie adaptacyjne to nowe osiągnięcie w dziedzinie zabezpieczeń, które zmienia (zwiększa lub zmniejsza) poziom weryfikacji bezpieczeństwa w zależności od profilu ryzyka próby logowania. Ponadto, nie jest to zwykłe uwierzytelnianie wieloskładnikowe (MFA), które za każdym razem wymaga tego samego zestawu danych uwierzytelniających.

Samo sedno tego systemu to mechanizm ciągłej oceny ryzyka. Gdy użytkownik próbuje uzyskać dostęp do zasobu, system bierze pod uwagę różne “sygnały” lub wskaźniki. Jeśli wskazania odpowiadają normalnemu zachowaniu, użytkownik może otrzymać “bezhasłowy” dostęp. Jeśli system zidentyfikuje nietypową aktywność, na przykład logowanie z innego kraju, może zostać zażądana weryfikacja Step-Up Authentication.

Ważne elementy dynamicznej weryfikacji tożsamości:

•   Ocena RyzykaPrzypisuje każdemu żądaniu dostępu wartość liczbową (ustaloną na podstawie obowiązujących polityk bezpieczeństwa).
•   Wyzwania eskalacyjneWykorzystuje biometrię lub tokeny sprzętowe tylko wtedy, gdy wzrasta poziom ryzyka.
•   Ciągłe monitorowaniePolega na obserwacji sesji, w tym aktywności po zalogowaniu, co może wykryć próby przejęcia sesji.
•   Silnik politykUmożliwia administratorom ustawienie niestandardowych norm w oparciu o czułość aplikacji.

1.   Dane lokalizacyjne: Czy połączenie sieciowe pochodzi z biura korporacyjnego, domowego adresu IP, czy z lokalizacji wskazującej na nietypową podróż?
2.   Kondycja urządzenia: Czy urządzenie jest zarządzane przez firmę, czy ma aktualne oprogramowanie antywirusowe, czy jest to “odblokowany” (jailbroken) telefon?
3.   Biometria behawioralna: Czy szybkość pisania, ruch myszy lub wzorzec nawigacji odpowiada historycznym danym użytkownika?
4.   Wrażliwość zasobów: Rozważ, czy użytkownik uzyskuje dostęp do publicznie dostępnych informacji, takich jak menu obiadowe, czy wrażliwych danych, takich jak finansowa baza danych zawierająca numery ubezpieczenia społecznego.

Bezpieczeństwo adaptacyjne może być odpowiednie dla środowisk, w których powszechna jest elastyczność ludzka i techniczna.

•   Praca zdalna: Dostęp VPN z kawiarni będzie dokładnie sprawdzany, podczas gdy osoby pracujące w biurze będą poddawane mniejszej kontroli.
•   Operacje wysokiego ryzyka: Wykorzystując weryfikację biometryczną, tylko użytkownicy próbujący przesyłać duże sumy pieniędzy lub zmieniać ustawienia administratora otrzymują powiadomienia.
•   Aplikacje chmurowe: Chroń zewnętrzne aplikacje SaaS, które tradycyjnie nie znajdują się pod korporacyjnym firewallem.

Wdrożenie modelu adaptacyjnego nie może nastąpić z dnia na dzień, jeśli chcesz mieć pewność, że polityki bezpieczeństwa przypadkowo nie uniemożliwią produktywnym użytkownikom dostępu do systemu.

•   Sklasyfikuj swoje dane i programy (w zależności od ich poufności).
•   Pozwól użytkownikom działać w „trybie odkrywania”, gdzie przez pewien czas możesz monitorować ich zachowanie.
•   Skonfiguruj polityki ryzyka: zasada „jeżeli-to” wyznacza kierunek (jeśli adres IP jest nowy, to wymagaj YubiKey).
•   Powiadom użytkowników o zmniejszeniu liczby komunikatów, ale także zarządzaj oczekiwaniami, że monity nadal będą się pojawiać podczas podróży lub podczas początkowej konfiguracji urządzenia.

Możliwość ulepszenia Twojego stosu tożsamości zależy od Twojego aktualnego poziomu ryzyka oraz czy Twoi użytkownicy narzekają, że obecne zabezpieczenia są zbyt restrykcyjne.

Główne powody do podjęcia decyzji:

•   Typ Użytkowników: Duże, rozproszone zespoły mogą zaobserwować korelację między zmniejszonym tarciem a ich doświadczeniami.
•   Znaczenie/Wartość danych: Kluczowe cele dla atakujących (takie jak finanse lub opieka zdrowotna) wymagają połączenia adaptacyjnego uwierzytelniania i większej liczby punktów wyzwalania.
•   Środki: Upewnij się, że nowoczesne Zarządzanie Tożsamością i Dostępem (IAM) rozwiązanie jest przystępne cenowo.