什么是基于风险的身份验证（RBA）？

计算用户请求访问的风险，并相应调整身份验证功能

任何组织，包括您的组织，都无法幸免于网络犯罪的影响。从医疗保健、金融服务到消费品等，当今没有一个行业不受网络犯罪分子的影响。未经授权访问敏感数据会对企业的品牌价值、竞争态势和声誉造成普遍威胁。鉴于当今不断变化的威胁形势，传统的身份和访问管理技术已不再适用。企业领导者有理由担心安全事件的影响，不仅要检测威胁，更重要的是要预防威胁，压力与日俱增。无论威胁的目的是破坏、使人难堪还是利用私人信息牟利，日益频繁的泄密事件都说明有必要提高整个环境的安全级别。幸运的是，下一代身份和访问管理解决方案采用了先进的基于风险的身份验证技术，能够适应当前的风险。

外泄事件表明缺乏身份验证

每周不断宣布的违规事件表明，需要更高级别的身份验证。索尼（Sony）、塔吉特（Target）、家得宝（Home Depot）、NP 摩根大通（NP Morgan Chase）、安泰（Anthem）等知名品牌提醒我们，我们距离客户信任和经济损失的风险有多近。

与传统的凭证使用相比，基于风险的身份验证（也称自适应身份验证）是一种动态的身份验证。它的智能之处在于利用用户的行为和其他独特属性来决定是否需要采取额外步骤来验证用户的身份。这些特征包括位置、访问时间、设备是否已知以及访问资产类型等属性。并非所有的内部信息都是敏感的，也并非所有的内部信息都会带来相同程度的风险。OpenText™ NetIQ™ Access Manager基于风险的身份验证引擎可以处理所有这些上下文和更多信息，以确定是否需要另一个级别的身份验证。

有哪些好的身份指标？

它归结为确定已知特征以及个人常规行为的要素：

出入口的位置会影响出入口的风险得分：

• 用户是在办公室还是远程？
• 如果是偏远地区，是否在预期地点？
• 访问时间是典型还是超出范围？

登录参数会影响访问风险评分：

• 该设备以前是否被用于访问受保护信息？
• 该设备的验证级别是什么？

信息或服务风险：

• 信息或服务的风险有多大？
• 该用户以前是否访问过该信息？

动态认证

一旦您从更高层次上了解了如何衡量风险，就可以创建相应的保护策略了。NetIQ Access Manager 的一个主要优势是，与市场上许多更强大的解决方案不同，您不需要一个开发人员或专家团队来配置和部署基于风险的身份验证。

• 创建要保护的应用程序、服务、内部信息和其他资源的列表。
• 确定您希望在访问时评估的参数（指标），或者，如果您要求初始登录，您希望测量哪些参数。注意：您还可以在验证前与NetIQ Access Manager 初次接触时评估设备的潜在风险，例如是否知道该设备。
• 为每个参数设定一个权重，以确定该变量对风险的影响程度。你必须做一些规划，以确保涵盖各种情况。例如，您可能会决定，如果在国外甚至远程访问某些信息，则需要双因素身份验证。
• 您可以定义任意多的风险等级，这些等级都会附带相应的操作。对于通用的企业信息，可以允许内联网用户直接访问，而要求远程用户进行身份验证。您可以定义所有财务和工程文件的远程访问都需要双因素身份验证；只要与您的业务相匹配即可。
• 对于无法识别或未经批准的设备，您可以选择完全阻止从某些地理位置对特定类型资产进行远程访问。
• 您可以记录每个应用程序或服务访问的风险评估详情，以便日后进行分析。

这种将身份验证提升到适当级别的动态方法，是提升企业数字环境安全性的重要组成部分，但也可用于提高客户便利性和员工工作效率。如果能缩小需要进行用户验证的情况范围，就能灵活地限制调用单次、二次或强身份验证的时间。这意味着，通过NetIQ Access Manager，您可以衡量数据和用户带来的风险，并尽可能提供不受限制的访问，同时您的企业可以在最重要的地方管理风险。

基于风险的身份验证的回报

对于需要优化客户体验并鼓励更多参与的企业来说，基于风险的身份验证的回报尤其高。NetIQ 访问管理器的基于风险的身份验证还可用于让用户尽可能多地使用社交凭证，只有在执行金融交易或访问受监管信息等敏感操作时，才升级为经过验证的账户。对于需要访问产品和库存信息的合作伙伴也是如此。如果设备已知或身份验证发生在一天中的较早时间，则可以提供风险较低的信息，但一旦要求提供更敏感的信息，则需要额外的身份验证步骤，从而使合作伙伴更容易与您开展业务。

关于NetIQ

NetIQ 提供安全解决方案，帮助企业进行企业级的员工和消费者身份与访问管理。通过提供安全访问、有效治理、可扩展的自动化和可操作的洞察力，NetIQ 客户可以对其跨云、移动和数据平台的 IT 安全态势更有信心。

请访问NetIQ 主页了解更多信息。

NetIQ 是OpenText 业务线 CyberRes 的一部分。