多因素认证（MFA）是最有效的防御措施
发布时间 2022-10-25Verizon《2022年数据泄露调查报告》显示，2022年数据泄露事件中82%的违规行为涉及人为因素，勒索软件泄露事件增加了13%，超过去五年的总和。目前有四个主要途径会威胁到数据资产：凭证窃取、网络钓鱼、漏洞利用和僵尸网络，其中凭证窃取排第一，是最大的攻击向量。
图1:凭证窃取成为威胁数据资产的首要途径
攻击者常常使用密码喷射、凭证填充、中间机器等攻击向量窃取凭证，以直接获取的姿态盗取数据。为何凭证窃取会成为数据泄露的首要途径？归根结底，是因为单因素认证。它是一种单一验证自己身份的方法，严重依赖于将一个因素（例如密码）与用户名匹配以获取对系统的访问权限，安全性无疑是最低的，加之单因素认证还常常伴生弱口令这种高风险漏洞，更极大的增加网络犯罪分子接管帐号权限的可能性。
尽管每年都会出现数据泄露的事件，但组织可以寻求创新方法来防止数据泄露并减轻潜在损害。例如，在2014年iCloud被攻击之后，Apple开始积极鼓励用户采用双因素身份验证，以加强数据安全性。
《Delinea 2022全球研究报告》指出：根据来自全球2100名安全专家的数据，50%的公司使用安全密钥保护特权访问。此外，这些公司中已有48%使用多因素认证（MFA）或双因素认证（2FA），只有41%使用密码轮换。
图2：48%公司已使用MFA或2FA
因此，单一的静态口令认证已不能适应当前复杂多变的网络对抗形势！面对攻击行为，我们需要启用额外的认证安全层保护敏感的关键资源，多因素认证（MFA）是最有效的防御措施。如果您还没有考虑过这种技术，那么是时候开始了！
1、国内：多个政策严密规范安全合规建设
等保2.0《信息安全技术—网络安全等级保护基本要求》身份鉴别要求章节，针对第三级系统的身份鉴别提出：应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别。
《网络安全等级保护测评高风险判定指引（T/ISEAA 001-2020）》针对第三级及以上系统明确：关键网络设备、安全设备、操作系统如果不满足双因素鉴别要求，则可判定为高风险项。
FYB/T 59007—2020《运维服务过程安全管理规范》7.2.2 身份鉴别管理章节要求应具备管理帐号多因素强认证功能，不限于通过Radius、Tacacs等认证协议接管网络设备、安全设备、主机、数据库的认证。
2、国外：单因素身份验证被CISA添加到不良做法列表
CISA 2021年8月在“高风险”网络安全实践的不良做法列表中添加了“使用单因素身份验证对系统进行远程或管理访问”这一项。文中指出使用单因素身份验证对支持关键基础设施运行的系统进行远程或管理访问是危险的，并显着增加了对国家安全、国家经济安全以及国家公共卫生和安全的风险。
UIAM--有效防御数据泄露的更优选择
启明星辰集团于2020年发布了多因素认证的安全产品，即统一身份认证系统（简称UIAM）。UIAM为针对性满足等保2.0认证测评相关要求而设计的一款产品，支持通过标准认证协议（Radius、Tacacs+、Ldap）接管目标资源认证，进行统一认证管理和统一帐号管理，实现用户登录资源时进行双因素认证，满足等保合规要求。任意类型的目标资源，无论是主机设备、网络设备、安全设备、数据库还是其他，只要支持标准认证协议，都可以快速配置从而接入UIAM认证，实现认证加固。
图3：启明星辰多因素认证产品UIAM
1、网络运维安全威胁难题解析
攻击者获取了凭证，则以“合法身份”登录运维网关，畅通无阻；
资源外部网络可达，外部攻击者可对其直接实施网络攻击；
网络配置失误，远程管理资源时可绕过运维网关，导致其面临内部恶意人员网络攻击；
资源自身存在重大安全漏洞，导致同网段或路由可达的资源面临网络攻击。
图4：与运维网关相关联的攻击方式
同时，从历次攻防演练来看，凭证的泄露只是运维网关遭受攻击的其中一面，其最大的问题在于资源自身认证安全性太低，大多数资源仅为单一静态认证方式，由于没有双因素等强鉴别措施保障，导致攻击者可利用获取的凭据或管理用户的简单方式假冒用户身份。
2、UIAM：多重机制有效保障企业数据安全
在原本静态帐号密码认证的基础上增加认证因子，有效防止决静态密码被窃取后导致的非授权访问和数据泄密问题，保护所有资源免受基于凭据的攻击向量。
通过标准协议直接在目标资源实现双因素认证加固，满足等保2.0身份鉴别合规性要求。
消灭传统运维管控盲点，解决绕开运维网关直接登录设备的安全问题。
实现网络设备AAA管理，解决网络中心多种类型设备统一认证管理难题，通过简单的配置和集中的访问管理节省管理资源。
启明星辰集团二十余年来一直深耕安全领域，拥有深厚的核心技术沉淀及全面的数据安全产品，并且立足于行业和社会需求，将自身技术手段与实际应用场景相结合，为企业数字化转型提供强有力的技术能力支撑，切实保障网络安全建设与发展。
京公网安备11010802024551号