بازنگری در معماری هویت برای بستن شکاف امنیتی میز کمک

برای سال‌ها، سازمان‌ها بر تقویت و تقویت نقاط پایانی، شبکه‌ها و احراز هویت در هنگام ورود تمرکز کرده‌اند. در همین حال، یکی از مهم‌ترین نقاط کنترل در چرخه حیات هویت، میز کمک، به‌طور شگفت‌انگیزی در معرض دید قرار گرفته است، زیرا اکثر سیستم‌های هویت برای گسترش تأیید قوی در جریان‌های بازیابی و پشتیبانی طراحی نشده‌اند و شکاف مهمی را ایجاد می‌کنند که مهاجمان به طور فزاینده‌ای از آن بهره‌برداری می‌کنند.

بدون این تغییر، سازمان‌ها همچنان به قضاوت انسان در جریان‌های کاری پرخطر تکیه می‌کنند و شکاف مهمی ایجاد می‌کنند که مهاجمان به طور فزاینده‌ای از آن بهره‌برداری می‌کنند.

با ظهور هوش مصنوعی مولد، ویدیوهای دیپ فیک، شبیه سازی صدای مصنوعی و عوامل هوش مصنوعی، میزهای کمک به هدف اصلی مهندسی اجتماعی تبدیل شده اند. مهاجمان اکنون می‌توانند صدای یک مدیر مالی را از ضبط‌های در دسترس عموم ترکیب کنند، ویدیوی جعلی عمیق برای تماس‌های زنده ایجاد کنند، یا عوامل هوش مصنوعی را برای جعل هویت دائمی و چند کاناله مستقر کنند.

این بازیگران بد می‌توانند رسانه‌های اجتماعی را استخراج کنند و داده‌ها و وب‌سایت‌های شرکتی را برای جمع‌آوری اطلاعات شخصی که داستان آنها را معتبر می‌کند، نقض کنند. آن‌ها همچنین می‌توانند پاسخ‌های خود را تنظیم کنند و در زمان واقعی بر اساس آنچه یک نماینده پشتیبانی می‌گوید و می‌پرسد، سازگار شوند.

هدف آنها اغلب ساده است، یعنی متقاعد کردن میز کمک برای بازنشانی رمز عبور، ثبت نام یک دستگاه جدید یا نادیده گرفتن احراز هویت چند عاملی (MFA). در صورت موفقیت آمیز بودن، تهدید می تواند به سرعت به استقرار باج افزار، سرقت داده، تصرف حساب در مقیاس کامل یا موارد دیگر افزایش یابد.

یک معماری هویت مدرن برای پرداختن به این شکاف راستی‌آزمایی مهم ضروری است، معماری که بازیابی و تعاملات میز کمک را به‌عنوان گردش کار هویت درجه یک تلقی می‌کند، نه استثناهای خارج از سیستم.

ضعف پنهان در تأیید دستی

امروزه بیشتر گردش‌های کاری میز راهنمایی برای تأیید هویت کاربر یا مشتری به سؤالات مبتنی بر دانش، داده‌های ثابت کارمندان یا تأییدیه‌های مدیر موقت متکی هستند. در منظره‌ای که داده‌های شخصی به‌طور گسترده در دسترس است و هوش مصنوعی می‌تواند به طور متقاعدکننده‌ای جعل هویت افراد را جعل کند، این کنترل‌ها شکننده هستند.

تأیید مبتنی بر دانش فرض می‌کند که اطلاعات شخصی خصوصی است، اما به ندرت اینطور است. در تماس‌های مدیر، تشخیص صدا قابل اعتماد است، اما دیگر اینطور نیست. بررسی دستی فرض می کند که انسان ها می توانند فریب هوش مصنوعی را تشخیص دهند، اما همیشه اینطور نیست. بسیاری از کسب‌وکارها از کارکنان پشتیبانی می‌خواهند که هویت مشتری را با استفاده از ابزارهای ساخته‌شده برای دوره‌های مختلف تأیید کنند.

در بسیاری از محیط‌ها، گردش‌های کاری میز کمک خارج از سیستم‌های هویت اصلی قرار می‌گیرند و به‌عنوان فرآیندهای غیرمرتبط عمل می‌کنند نه اینکه توسط سیاست‌ها و کنترل‌های یکسانی که در ورود به سیستم اعمال می‌شوند، اداره شوند.

در همان زمان، انتظارات در مورد حفاظت از هویت در حال افزایش است. همانطور که هوش مصنوعی بیشتر در تعاملات دیجیتال جاسازی می شود، مصرف کنندگان انتظار دارند سازمان ها سیستم هایی برای محافظت موثر از هویت خود داشته باشند. این امر بسیار مهم است زیرا 75 درصد از مصرف کنندگان بیشتر از پنج سال پیش نگران امنیت داده های شخصی خود هستند.

وقتی حفاظت ها خراب می شوند، اعتماد و اعتبار برند به سرعت از بین می رود و بازسازی آن دشوار است. واضح است که اعتماد دیگر نمی تواند به شهود یا چک های دستی بستگی داشته باشد. این باید در سیستم های هویتی طراحی شده و از طریق هویت قابل تأیید اجرا شود.

مدرن کردن امنیت میز کمک با هویت قابل تأیید، در مقیاس

حل این امر مستلزم بازنگری در نحوه طراحی سیستم‌های هویت است، به‌ویژه اینکه چگونه تأیید، بازیابی و اقدامات پرخطر به‌عنوان بخشی از یک معماری یکپارچه به جای فرآیندهای تکه تکه انجام می‌شوند. معماری‌های هویت مدرن، مسیری رو به جلو از طریق هویت غیرمتمرکز و احراز هویت با پشتوانه بیومتریک و مقاوم در برابر فیشینگ فراهم می‌کنند.

این چیزی است که در عمل به نظر می رسد:

1. احراز هویت با پشتوانه بیومتریک و مقاوم در برابر فیشینگ

احراز هویت مبتنی بر FIDO که به اعتبارنامه‌های متصل به دستگاه و بیومتریک مرتبط است، اتکا به رمزهای عبور و داده‌های مشترک را کاهش می‌دهد. از آنجایی که اعتبارنامه ها از نظر رمزنگاری به یک دستگاه متصل می شوند و با استفاده از رمزگذاری پیشرفته اعتبارسنجی می شوند، در برابر پخش مجدد و فیشینگ مقاوم هستند.

اجرا از تصمیم‌گیری انسانی به خط‌مشی مبتنی بر سیستم حرکت می‌کند و از یکنواختی در جریان‌های کاری ورود و بازیابی اطمینان حاصل می‌کند. گسترش این مدل به گردش‌های کاری بازیابی و احراز هویت مجدد حساب تضمین می‌کند که اقدامات پرخطر، مانند بازنشانی رمز عبور یا ثبت نام دستگاه، توسط همان کنترل‌های قوی که هنگام ورود کاربر برای اولین بار به سیستم استفاده می‌شوند محافظت می‌شوند.

2. اعتبار غیرمتمرکز و قابل تأیید

چارچوب‌های هویت غیرمتمرکز، سازمان‌ها را قادر می‌سازد اعتبارنامه‌های مقاوم در برابر دستکاری و قابل تأیید را صادر کنند که کاربران در کیف پول‌های دیجیتال امن ذخیره می‌کنند. این اعتبارنامه ها می توانند وضعیت استخدام، نقش یا سایر ویژگی های مورد نیاز برای تأیید را بدون متمرکز کردن داده های حساس نشان دهند.

از دیدگاه معماری، هویت غیرمتمرکز اتکا به ذخیره‌های متمرکز داده را کاهش می‌دهد و تأیید را از طریق اثبات رمزنگاری به جای سوابق ثابت امکان‌پذیر می‌سازد.

این امر تأیید هویت را از یک مدل مبتنی بر دانش به یک مدل مبتنی بر اثبات تغییر می دهد. هنگامی که یک کاربر به کمک یک عامل کمک نیاز دارد، می‌تواند اعتبار قابل تأییدی را ارائه کند که سازمان می‌تواند بدون تکیه بر سؤالات مبتنی بر دانش، اعتبار رمزنگاری آن را تأیید کند. بنابراین، میز کمک دیگر در موقعیت «تصمیم گیری» نیست که آیا کسی همان چیزی است که ادعا می کند. سیستم آن را برای آنها تأیید می کند.

3. سلف سرویس، بازیابی با اطمینان بالا

بازیابی حساب سلف سرویس، با پشتیبانی از احراز هویت قوی و اعتبارنامه دیجیتال ایمن، به کاربران این امکان را می دهد تا بدون نیاز به تماس با میز کمک، دوباره دسترسی پیدا کنند. این کار حجم کار پشتیبانی را کاهش می دهد، در حالی که هدف مشترک حملات مهندسی اجتماعی را نیز حذف می کند. بازیابی سلف سرویس اتکا به مداخله دستی را کاهش می دهد و به سیستم های هویت اجازه می دهد تا بدون افزایش ریسک عملیاتی مقیاس شوند.

در این مدل، میز کمک دیگر مسئول قضاوت در مورد اینکه آیا هویت فردی بررسی می شود یا خیر، در نهایت خطر را کاهش نمی دهد.

بازتعریف سطح کنترل هویت

محیط امنیتی همانطور که می شناسیم اکنون به هر گردش کاری که هویت تأیید، واگذار یا بازیابی می شود، می رسد. میزهای کمک مستقیما در آن جریان هستند. یک مدل انعطاف‌پذیرتر هویت را به یک لایه کنترلی که خط‌مشی را تعریف می‌کند و یک لایه زمان اجرا که تصمیمات را به طور مداوم در هر تعامل اعمال می‌کند، جدا می‌کند.

مدرن‌سازی سیستم‌های تأیید هویت با اعتبارنامه‌های غیرمتمرکز، احراز هویت مبتنی بر بیومتریک، و خط‌مشی‌های تضمینی منسجم، یکی از شکاف‌های مورد سوء استفاده در زنجیره امنیتی را می‌بندد. این نیاز به عوامل میز کمک برای تکیه بر قضاوت شخصی با اثبات هویت قابل تأیید را جایگزین می‌کند و تضمین می‌کند که اقدامات پرخطر توسط کنترل‌هایی که برای چشم‌انداز تهدید امروزی طراحی شده‌اند کنترل می‌شوند.

فریب مبتنی بر هوش مصنوعی در سرعت، واقع‌گرایی و اتوماسیون به رشد خود ادامه خواهد داد. پرداختن به آن نیاز به معماری هویت بادوام دارد که تأییدیه ثابتی را در بین کاربران، دستگاه‌ها و جریان‌های کاری اعمال می‌کند.

هنگامی که سیستم‌های هویتی برای اعمال اعتماد به‌طور خودکار و یکنواخت طراحی می‌شوند، سازمان‌ها انعطاف‌پذیری را به دست می‌آورند که با نوآوری مقیاس می‌شود و پایه‌ای برای حفظ اعتماد در یک محیط دیجیتالی به شکل هوش مصنوعی برای سال‌های آینده به دست می‌آورد. در این مدل، هویت به جای بررسی لحظه‌ای، به یک قابلیت سیستم توزیع‌شده تبدیل می‌شود که در جریان‌های کاری، سیستم‌ها و تعاملات کاربر تعبیه شده است.

این تغییر هویت را از یک کنترل نقطه در زمان به یک لایه اجرایی در سطح سیستم تبدیل می‌کند و یکی از شکاف‌هایی که به طور مداوم مورد سوء استفاده قرار می‌گیرد را در امنیت سازمانی می‌بندد.

ما بهترین نرم افزار فایروال را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit