隨著移動應用、互聯網的發展，通過技術實施犯罪案件逐年遞增，傳統安全防御方式無法有效抵御來自黑灰產的新型風險。趨利本能驅動著黑灰產，使其迅速擴大，預計業務安全市場潛在需求規模將超千億。如何從根本上解決業務安全給企業帶來的威脅，通過什么手段提升企業系統的自身免疫能力？安全牛記者采訪到了芯盾時代創始人郭曉鵬，針對業務安全領域的發展展開了討論。

一、業務安全核心風險

隨著 O2O 的興起，用戶線上交易行為增加，網站已經從原本的單純內容展示，轉而承載更多業務上的邏輯和流程。根據 2019 年埃森哲網絡犯罪成本研究報告中數據顯示，網絡犯罪帶來的平均成本在 2018 年達到了 1300 萬美元，比上一年增長了 12%。其中銀行和公共事業的損失最大，而內部惡意軟件和勒索軟件造成的損失增長最快。組織機構主動運用新技術應對時代帶來的新挑戰，其中尤為值得關注的就是業務安全問題。

業務安全的核心風險可以劃分為：

（1）虛假賬號帶來的問題，比如虛假流量、“薅羊毛” 等

（2）非法爬蟲獲取信息

（3）組織內部員工惡意信息泄露

（4）未安裝補丁或不可修復的設備

（5）存在安全風險的第三方服務供應商

為最大限度的縮小安全事故的影響，企業應該更多在事故發生前阻斷、控制威脅的發展。企業應選擇怎樣的解決方案能夠從事中阻斷事件的發生呢？

二、以人為核心解決業務安全問題

業務安全顧名思義，業務一定在安全前面，對于業務的理解直接影響業務安全的規劃和實施。國內企業業務線的放量、黑灰產的威脅形勢同比快速增長，業務安全問題愈加嚴峻。業務安全本身是抵御攻擊，隨著業務安全需求的變化，也逐漸走進下一個時代，感知風險在事件發生前及時阻斷、遏制。

郭曉鵬解釋道：不論是由于終端、身份認證、在線交互等產生的風險，首先要解決人的問題，再考慮訪問者進入系統后的統一身份管理、智能行為認證 （IPA），形成整個業務安全流程的解決方案。我們從最早的身份認證向外延伸，業務安全是以人為核心，只有解決了人的問題，其他問題才能迎刃而解。

企業的業務流程貫穿企業外部客戶和內部員工，業務安全問題會同時面臨來自于外部（C端）和內部（E端）的兩部分風險。

評

互聯網對生活的滲透已經進入前所未有的階段，黑灰產的流量獲取方式和變現模型隨之發生巨大的變化。以人為核心的業務安全，確保合適的人員具備合理的訪問權限，從而為業務保駕護航。在業務過程中悄無聲息驗證用戶身份，并借助獨特的分析功能，快速發現異常情況，及時做出用戶訪問權限修改決策。

三、AI賦能業務安全

芯盾時代與其他友商最大的不同點在哪？郭曉鵬解答道，身份管理未來發展一定是連續自適應方向，比如大數據反欺詐產品等。現在已經有很多友商在做該內容的產品，客戶選擇芯盾時代是因為產品基于AI和機器學習，在使用過程中動態調整規則，效率高且節省人工成本。

芯盾時代聯合創始人孫悅也介紹道，反欺詐產品包含兩部分：規則引擎和機器學習引擎，前者目的是實時反饋結果，處理已經發生過的安全事件，將已形成經驗總結成規則，然后進一步過濾，優勢在于實時反饋信息，弱點在于多次運行之后準確率會隨時間推移下降，原因是黑灰產的攻擊手段在不斷進化，僅依靠規則防御，必然不是永久性的。所以要有人工智能反欺詐引擎作為補充，非實時但能有效發現潛在危機，清楚明了的判斷和分析攻擊方的邏輯和要點。

AI 產品是否優秀主要考慮以下兩點：

（1）能否帶來用戶效率的大幅度提升

（2）參與業務的位置在事中而非事后

因此，人工智能 / 大數據產品給用戶的辦公效率帶來極大提升。銀行業傳統風控部門人工判定一個操作為攻擊行為平均時間為 1 周，需要設立 30~100 人的風控團隊對疑似欺詐行為進行分析，部署芯盾時代反欺詐系統后，確認時間從 1 周提升到了 1 小時，風控人員數量也相應減少，極大的提升了確認交易風險的效率;人工智能反欺詐產品是在金融交易的過程中評估安全風險，百萬用戶量級響應時間小于 100ms，反欺詐系統會將當前操作的風險分值反饋給業務系統，并提出相應的處置手段，大幅減少人員參與交易流程的比例，如今人工智能反欺詐產品已經成為金融交易系統的必備模塊之一。

評

業務安全在業務上線前進行縝密的邏輯設計和梳理，將最大的風險提前規避。在充分了解黑灰產的分工和運作流程后，科學合理的設計可以幫助運營活動規避半數以上的安全隱患，結合 AI 可以幫助理清繁雜的業務邏輯并隔離內部可疑用戶。

四、踐行零信任理念

零信任理念是什么？其本質是以身份為中心的動態訪問控制?；谄髽I邊界的瓦解，傳統邊界安全防護體系正在失效，企業要重新評估和審視安全規劃，而持續自適應認證 （CARTA） 實現了認證能力里程碑式的突破，通過增強核心實力，實現了多種能力的提升，極大的保障了場景復雜、組織結構龐大、業務高并發等極端應用場景下的安全認證和服務。

芯盾時代從零信任安全出發，保持上線方式兼容，不破壞原本邊界防護的前提下，由端點安全、智能安全大腦和連續自適應認證多維技術驅動，提供場景化的業務安全解決方案。在中等風險使用環境下，密碼和令牌的使用率逐漸減少，越來越多的系統根據實際場景劃分風險等級，這與識別技術不斷迭代發展緊密相連。近幾年數據泄露事件頻發，組織機構難以根除弱口令等不安全的密碼使用習慣，隨著生物識別技術的發展，在高風險的組織機構中逐漸廣泛推廣開來。郭曉鵬在采訪中回應道：我們開發了基于零信任框架包括 ECP、UEBA 在內的產品，根據市場需求未來還會陸續上線其他產品。

評

身份認證是實現零信任安全架構的前提和基石，基于身份的認證為零信任網絡的人、設備、應用、系統等物理實體建立統一的數字身份標識和治理流程，并進一步的構筑動態訪問控制體系，將安全邊界延伸至身份實體，實現安全架構的關口前移。

來源：安全牛