A kockázatalapú hitelesítés jelene

Ha biztonságról van szó, akkor mindig nehéz megtalálni az egyensúlyt a kellően erős védelem és a felhasználók munkavégzését nem akadályozó biztonsági intézkedések között.
 

Nincs olyan iparág, amelyet ne fenyegetnének az adatszivárgási incidensek. Naponta érkeznek hírek a különféle területeken bekövetkező esetekről. Így aztán a szervezeteknek muszáj erősíteniük a biztonságukon, és ennek során nagy hangsúlyt kell fektetniük a felhasználóik azonosítására, mivel sok esetben itt bukik el a védelem.
 
A jelszó a gyökere mindennek
 
A legutóbbi Verizon Data Breach Investigation Report című jelentés szerint - a korábbi évekhez hasonlóan - az adatlopási esetekben jelentős szerepet játszanak a felhasználók hozzáféréseit érintő kockázatok. Az incidensek 81 százalékánál okozott kárt valamilyen jelszóhoz kapcsolódó hiba, visszaélés, gyenge kód vagy éppen ugyanazon jelszavak használata több rendszer esetében. Az esetek 29 százalékában pedig lopott hozzáférési információkkal léptek be a céges rendszerekbe a kiberbűnözők.
 
Bizonyos mértékben segítheti a kockázatok csökkentését, ha a szervezetek felelősebb jelszóhasználatot követelnek meg a felhasználóiktól: kötelezik őket az erősebb jelszavak használatára, és megtiltják azok "újrahasznosítását". Az ellopott hozzáférési adatokkal járó veszélyeket - és számos más kockázatot - azonban ez sem küszöböli ki.
 
Szigorítás/nehezítés?
 
Egyre több vállalat érzi úgy, hogy a jelszavas azonosítás önmagában már kevés, és kétlépcsős hitelesítéssel erősíti meg a védelmet. Tehát a jelszó mellett pluszban olyan "igazolást" kér a felhasználóktól, amellyel a potenciális támadók nem rendelkezhetnek még akkor sem, ha ellopják a belépési információkat. Ez lehet valamilyen biometrikus adat, például ujjlenyomat, hiszen napjainkban már egyre több eszközben, notebookban és okostelefonban megtalálható az ehhez szükséges olvasó. De igénybe vehető hardveres vagy szoftveres token, esetleg mobiltelefonra küldött kódot is.
 
Az alkalmazottak számára egy idő után azonban túlságosan fárasztó és zavaró, ha mindig körülményes hitelesítéssel kell kezdeniük a napot, és ezt akár napközben is többször meg kell ismételniük. Ezért a Micro Focus a kockázatalapú hitelesítés bevezetését javasolja. Ennek köszönhetően ugyanis csak akkor terhelik az alkalmazottakat plusz biztonsági körökkel az azonosítás során, amikor az valóban indokolt.
 
Rizikófaktorok

A kockázatalapú hitelesítés attól teszi függővé a megkövetelt hitelesítés erősségét, hogy mennyire tűnik kockázatosnak az adott felhasználó tevékenysége. Ha például egy alkalmazott reggel akar bejelentkezni a céges rendszerbe a központi irodában arról a gépről, amelyen minden nap dolgozik, az alacsony kockázatúnak számít, és ez esetben a belépéshez elég lehet pusztán a felhasználónév és a jelszó kombinációja. Ha azonban ugyanez a munkatárs kiküldetésre vagy konferenciára utazik, és távolról, például egy hotel WiFi-hálózatára kapcsolódva szeretne belépni a vállalati hálózatba, akkor indokolt lehet a további hitelesítési módszerek használata.
 
A kockázatalapú hitelesítést végző eszközök, szoftverek ellenőrzik egyebek mellett az IP-címet és a földrajzi helyet, a felhasználói profil információit, a belépéshez használt eszköz és böngésző adatait, a felhasználó korábbi tevékenységeit, köztük a legutóbbi belépésének idejét és a korábbi IP-címeit, illetve a korábbi sikertelen belépési kísérleteit. Majd értékelik az információkat, és ez alapján döntenek arról, hogy milyen szintű hitelesítést követelnek meg a bejelentkezéshez. A szervezetek maguk is finomhangolhatják ezt az elemzési folyamatot, és beállíthatják, hogy az egyes tényezőket milyen súlyozással vegye figyelembe a védelmi megoldás.