當黑客最常用的攻擊手段，從用盡十八般武藝、不可告人的“侵入”，變成憑借有效賬戶、大搖大擺的“登入”，你會不會覺得不可思議？

在2023年，這種情況已經(jīng)成為常態(tài)。IBM監(jiān)測了130多個國家/地區(qū)的超1500億個安全事件形成的《2024年X-Force威脅情報指數(shù)報告》（以下簡稱《報告》）顯示，一場圍繞身份信息的安全危機正蔓延全球。2023年，利用身份信息形成的網(wǎng)絡攻擊激增71%，黑客使用的信息竊取惡意軟件增長了266%，在暗網(wǎng)上被泄露的身份信息多達數(shù)十億個。更可怕的是，利用有效賬戶直接"登入"關鍵基礎設施網(wǎng)絡發(fā)起網(wǎng)絡攻擊已經(jīng)越來越普遍。

面對這場前所未有的身份安全危機，企業(yè)有些難以招架?！秷蟾妗凤@示，對于攻擊者使用有效賬戶引起的重大安全事件，企業(yè)的應對措施的復雜度比普通事件平均高出近200%，主要是因為企業(yè)難以區(qū)分哪些是合法用戶活動，哪些是惡意用戶活動。

更大的雷還在后面。2023年，IBM在暗網(wǎng)論壇上觀察到了超過80萬篇關于人工智能和GPT相關的帖子，這表明了黑客們正準備用AI搞個大新聞，網(wǎng)絡釣魚的爆發(fā)式增長不過是他們利用AI竊取身份信息的前奏。

危機當前，如何構筑身份安全防線，避免被黑客“登入”企業(yè)網(wǎng)絡，已經(jīng)成為了企業(yè)迫在眉睫的問題。

身份信息，為何成了黑客的“香餑餑”？

企業(yè)的身份信息管不好，有內、外兩方面的原因。在內部，企業(yè)普遍存在三大問題：

1.部分企業(yè)對身份安全的重視程度不高。在網(wǎng)絡安全建設上，企業(yè)往往重點關注網(wǎng)絡防御和外部威脅，對身份安全不夠重視，沒有意識到身份安全是網(wǎng)絡安全的基礎，一旦攻擊者獲取合法用戶的身份憑證，他們可以繞過外部防御，“登入”內部網(wǎng)絡。

2.對身份的管理難以滿足安全需求。即使企業(yè)重視身份安全的防護，但是隨著信息化建設的不斷加強，信息系統(tǒng)數(shù)量不斷增加，身份信息分散各個信息系統(tǒng)中，管理費時費力，且容易發(fā)生紕漏。由于沒有相應的安全管控和認證手段，協(xié)同不同系統(tǒng)之間身份安全策略和控制需要，極易導致安全事件發(fā)生。

3.企業(yè)IT環(huán)境越發(fā)復雜。現(xiàn)在企業(yè)往往擁有復雜多樣的IT環(huán)境，包括云端和本地的系統(tǒng)、移動設備、第三方應用等，這些多樣性給身份安全管理帶來了挑戰(zhàn)。

在企業(yè)外部，日益嚴重的個人信息泄露也給企業(yè)身份安全帶來了挑戰(zhàn)：

1.員工身份憑證可能被泄露。近年來，大規(guī)模個人信息泄露事件頻頻發(fā)生，其中不乏身份憑證被直接泄露的情況。即使員工的個人賬戶信息被泄露，企業(yè)也可能因此遭受撞庫攻擊。

2.個人信息泄露為釣魚攻擊提供了便利。借助員工的個人信息，攻擊者更容易獲取企業(yè)員工的信任，降低實施釣魚攻擊的難度。

IAM，企業(yè)構筑身份安全防線的必由之路

想要防范愈演愈烈的身份安全危機，能夠一站式為企業(yè)提供身份信息統(tǒng)一管理、多因素認證、最小化授權、單點登錄等功能，更適應復雜IT環(huán)境的用戶身份和訪問管理平臺（IAM），成為了企業(yè)的最佳選擇。

芯盾時代用戶身份和訪問管理平臺（IAM），基于零信任理念打造，采用自主研發(fā)的統(tǒng)一終端全技術、增強型身份認證技術、連續(xù)自適應風險信任評估技術，結合芯盾時代豐富的身份安全項目經(jīng)驗，幫助企業(yè)構建智能、動態(tài)、高效的身份安全防護體系，實現(xiàn)對身份信息、身份認證、訪問權限、安全審計的統(tǒng)一管理，全面提升身份安全水平。



1.創(chuàng)建唯一身份，權限、審計統(tǒng)一管理

整合企業(yè)零散的組織用戶數(shù)據(jù)，創(chuàng)建唯一用戶身份標記，形成權威的組織用戶體系，建立自動化流轉的用戶全生命周期管理機制，讓員工使用一個賬號登錄多個業(yè)務應用，減少需要記錄、使用的密碼數(shù)量，實現(xiàn)“一個身份，訪問全網(wǎng)”。

統(tǒng)一員工身份后，運維人員能夠統(tǒng)一設置多個應用的訪問權限，統(tǒng)一審計多個應用的訪問日志，大幅減少運維量，提升工作效率。

2.統(tǒng)一認證管理，實施全局多因素認證

為企業(yè)建設應用門戶，統(tǒng)一業(yè)務應用的登錄入口，并借助單點登錄功能，讓員工只需認證一次，就能登錄所有權限內的業(yè)務應用，實現(xiàn)“一次認證，全網(wǎng)通行”。

為企業(yè)建立移動認證App，結合員工所知、所持、所有進行多因素身份認證，提供密碼、App掃碼、短信驗證碼、動態(tài)口令、指紋識別、人臉識別等多種認證方式，讓員工在進行身份認證時少輸密碼、甚至不輸密碼，兼顧企業(yè)網(wǎng)絡安全與員工操作便利。



3.提升權限管理能力，實施動態(tài)訪問控制

芯盾時代IAM支持多種權限管理模型，訪問權限粒度細至頁面級。運維人員能夠根據(jù)應用和數(shù)據(jù)重要等級，選擇RCBC、ACBC等權限管理模型，靈活配置訪問控制策略，實現(xiàn)基于風險行為的動態(tài)授權。

借助芯盾時代用戶身份和訪問管理平臺（IAM），企業(yè)能夠有效提升身份安全水平，避免因身份信息泄露造成的安全風險，還能夠識別合法用戶活動和惡意用戶活動，降低身份信息泄露給企業(yè)帶來的威脅。

審核編輯：劉清