连续自适应多因素身份验证 下一代零信任多因素身份验证的最佳实践

零信任安全治理的概念已经不再陌生。随着社会面临的信息安全风险越来越复杂，网络环境的不断变化使得基于边界的安全架构不再具备抵御内外部安全威胁的能力。传统的以网络为中心的安全架构也逐渐过渡到以身份为中心的网络访问控制理念。

由零信任理念衍生出来的安全管理框架也在逐渐满足更多的安全管理需求，比如如何平衡用户、员工与安全管理之间的摩擦。过渡性的补偿性安全控制会导致用户体验变差，增加用户流失率，降低员工敏捷性，增加运营成本。直接影响是减少企业收入。

根据Verizon 数据泄露调查报告，81% 的黑客相关泄露是由于凭据被盗造成的。以往传统的安全管理方式是增加更多的身份认证流程，比如在账号密码单因素认证下增加二次认证因素、短信/邮件等验证流程。这种方式称为2FA，即双因素认证。但是，这种方法不能有效解决此类问题。不法分子会利用钓鱼网站/邮件/短信获取相应的OTP指令或搭建假基站劫持验证信息。

在此基础上，2FA又迭代为MFA，即多因素认证，在OTP指令的基础上加入指纹、人脸等生物特征识别技术。该方法可以有效解决上述问题，但也产生了新的问题，受限于设备（例如设备需要支持指纹和人脸识别）、技术等客观因素，无法有效覆盖认证的所有场景.同时，在认证过程中加入不必要的因素，也会增加用户体验的负担。

“自适应多因素认证（AMFA）”是在传统多因素认证（MFA）的基础上根据上下文判断当前的安全状况，以确认是否需要增加多因素认证。通过判断用户属性、上下文行为、IP地址、设备信息、地理位置等各种“要素”，动态评估风险。例如，在用户异地登录或异常ip登录时增加多因素认证，用户常用设备或公司ip登录时无需二次验证，有效解决摩擦问题在用户体验和安全管理之间。

然而，虽然“自适应多因素认证AMFA”有效解决了上述问题，但对于安全环境更加复杂、安全审计有特殊要求的组织而言，仅在安全敏感节点上设置点状一次性自适应MFA，并不能全面覆盖企业的所有安全隐患。此时，“持续自适应信任（CAT）”作为下一代安全管理模型被提出，而基于自适应信任框架的“连续自适应多因素认证（CAMFA）”是解决上述问题的最佳实践问题。本文介绍什么是连续自适应信任以及如何实现连续自适应多因素身份验证。

Gartner：将重点从MFA 转移到持续自适应信任(CAT)

Continuous Adaptive Trust（CAT）是一种基于动态信任评估的安全模型，旨在实现数字生态评估中实体（如人、设备、应用程序和服务）的持续监控和自适应信任，以有效识别和响应威胁. CAT模型的核心思想是基于对实体行为和可观察数据的实时分析。借助机器学习、人工智能等技术，对实体的行为进行动态评估，并根据评估结果调整实体的信任等级。 CAT模型具有很强的自适应性和灵活性，可以根据实体行为的变化实时调整信任评估策略，从而更好地适应不断变化的威胁环境。 CAT模型通过实现持续的自适应信任评估，可以有效提高数字生态系统的安全性和可信性，保护企业和用户的数字资产和隐私。

从“应急响应”到“持续响应”，持续自适应信任构建企业安全免疫系统

让我们举一个更容易理解的例子。 “持续自适应信任”在微观层面类似于生物免疫系统，在宏观层面类似于一个完整的生态系统。生物体的免疫系统能够对新的安全威胁做出快速反应和自主调整，而生态系统是孵化生物体的基本条件。丰富多样的生态系统可以帮助生物体适应更复杂的环境并产生更强的免疫力。系统能力。

也就是说，依托丰富多样的IT基础设施，可以帮助自适应信任构建更强大更完善的自适应信任体系，所以持续的自适应信任不是一个单一的产品或解决方案，它需要一套完整的全场景用户接入认证权限管理等功能和能力，更全面地保护企业信息安全。

过去，传统组织依靠预防性和基于策略的安全控制，并部署杀毒软件、防火墙、入侵防御系统（IDS/DPS）等产品，这种方式已不能适应当今和未来的安全环境。 Gartner提倡将安全思维从“紧急响应”转变为“持续响应”，以预防和控制更复杂的威胁。下一代安全保护流程的核心是持续、无处不在的监控和可见性。企业安全监控应该无处不在，并包括尽可能多的IT 堆栈层，包括网络活动、端点、系统交互、应用程序事务和用户活动监控。

从零信任扩展到持续自适应信任(CAT)

零信任的三个主要原则“默认不信任任何实体（人、设备、软件等）”、“始终持续验证”和“执行最小权限”，这是零信任架构中最重要的两点：

身份验证：收集和分析信息以建立对实体的信任级别

访问控制：根据身份信息和信任级别控制实体对资源的访问

什么是连续自适应多因素身份验证(CAMFA)

“Continuous Adaptive Multi-Factor Authentication (CAMFA)”是一种基于自适应多因素认证（根据上下文属性判断当前安全状态，增加因素认证）的安全认证方法。采用实时风险评估技术，动态评估全系用户的安全。在时间维度上，持续自适应的多因素认证贯穿于用户的整个旅程。

信任评估，以决定是否需要增加额外的认证流程。这样做的好处就是企业的安全得到实时监控，而用户只会在进行风险操作时被提示需要进行额外的认证。

持续自适应多因素认证（CAMFA）对企业的价值

身份认证是企业安全的基础，在安全监管要求下，从传统的账密登录转向多因素认证（MFA）是必然的趋势。然而根据微软的网络信号报告显示，只有 22% 的 AD 身份使用了 MFA，其最主要的原因是，传统 MFA 为客户和组织内部员工提供了糟糕的用户体验。在用户流失和生产力阻碍面前，企业通常选择关闭 MFA 来承担额外的安全风险。

而自适应多因素认证（AMFA）是平衡安全和用户体验有效方案，然而和传统多因素认证（MFA）一样，对于面临更复杂的安全环境和有特殊安全监管需求的企业来说，仅用一次性的身份认证来控制对敏感系统的访问已经不再足够，用户的安全状况可能在系统会话期间动态变化。此时企业需要有持续评估安全风险技术来对用户进行动态安全系数评估，并基于该评估来决定是否需要增加额外的因素认证。

通过持续自适应多因素认证（CAMFA）为企业实施零信任安全环境

持续自适应信任体系能确保企业实现真正意义上的零信任安全环境，而实现持续自适应信任体系的最佳实践则是实施「持续自适应多因素认证」。通过持续自适应多因素认证提供持续风险评估能力来判断外部风险信号和内部数据，同时基于「持续自适应多因素认证」的策略引擎来根据组织设定的安全策略对这些风险信号和访问请求进行评估。

零信任安全模型通常包含一个策略引擎，该策略引擎用以接受风险信号和相关数据，以及配置安全策略和执行安全策略。通过结果判断是否需要触发多因素认证。

如何快速为你的企业构建持续自适应多因素认证？

值得注意的是，企业实现持续自适应认证，策略引擎必须能够连接上下文数据与用户和设备等实体关联起来，而保障其决策准确性的前提就是能够拓展到更细粒度的身份上获取更多数据作为依据。同时为了提高拓展性、灵活性以及持续性，该流程必须是自动化执行的。而需要实现上述能力的关键是企业的身份访问与管理系统具有可编排的自动化能力，同时也需要具备元数据能力来统一不同来源上报的行为数据的标准，通过自动化编排能力将整个身份验证流程串联，以实现持续响应的自适应多因素认证。

Authing 提供基于身份自动化编排引擎的「持续自适应多因素认证」。自适应 MFA 认证策略底层基于 Authing UEBA（用户或实体行为分析技术），可以针对用户行为和用户画像进行深度梳理分析，从而自动选择与当前行为相匹配的 MFA 策略。

在自适应 MFA 认证策略中，Authing UEBA 引擎会根据用户的行为和画像进行分析和判断，例如用户的登录历史、设备信息、IP 地址、地理位置、活动模式等等，从而确定当前用户的身份和风险级别，并选择与之相匹配的 MFA 策略。而持续自适应多因素认证（CAMFA）是在自适应多因素认证 (AMFA) 的基础上加上 Authing 身份自动化编排引擎。

Authing是国内唯一以开发者为中心的全场景身份云产品，为企业和开发者提供高安全、高性能、高生产力的用户认证和访问管理服务。

Authing目前已经服务包括可口可乐、招商银行、三星集团、复星集团、长鑫存储海底捞、知乎在内的 40000+ 企业和开发者。