Risk-Based Authentication: Was Sie beachten müssen

Die risikobasierte Authentifizierung bewertet bei jeder Anmeldung die Wahrscheinlichkeit, dass das Konto kompromittieren wird.

Wenn die Anforderung ungewöhnlich oder verdächtig erscheint, muss der Benutzer etwas anderes tun, um Zugriff zu erhalten. Zusätzliche Faktoren (wie Biometrie) stellen sicher, dass die Anfrage von einem gültigen Benutzer stammt.

Warum sollte das helfen? Stellen Sie sich dieses Szenario vor.

Jemand möchte auf Ihren Server zugreifen. Diese Person hat den richtigen Benutzernamen und das richtige Passwort, aber etwas an der Anfrage scheint ungewöhnlich zu sein. Die Person meldet sich beispielsweise aus einem Land an, in dem Sie keine Geschäfte tätigen. Oder die Person fordert Zugriff auf eine Datei an, die nur Sie sehen sollen.

Die risikobasierte Authentifizierung hilft Ihnen, die mit der Anforderung verbundenen Gefahren zu bewerten und zu verwalten.

Was ist Risk-Based Authentication?

Die risikobasierte Authentifizierung nutzt Echtzeit-Intelligenz, um einen ganzheitlichen Überblick über den Kontext hinter jeder Anmeldung zu erhalten.

Wenn ein Benutzer versucht, sich anzumelden, analysiert eine risikobasierte Authentifizierungslösung Faktoren wie:

• Gerät. Befindet sich der Benutzer auf einem bekannten Computer? Oder befindet sich der Benutzer auf einem Handy, das sich noch nie angemeldet hat?
• Ort. Befindet sich der Benutzer im selben Gebäude, in dem sich der Server befindet? Oder befindet sich die Person in einer anderen Zeitzone?
• Netz. Meldet sich die Person von einer vertrauten IP-Adresse aus an? Oder sind diese Daten fremd?
• Empfindlichkeit. Ist die angeforderte Datei für das Unternehmen entscheidend? Oder ist die IT eine relativ unwichtige Information?

Auf Grundlage all dieser Faktoren trifft das System eine Entscheidung. Der Benutzer kann entweder:

• Geben Sie normal ein. Die Person verwendet ein vertrautes System, z. B. ein Passwort, um Zugriff zu erhalten.
• Bieten Sie Beweise an. Die Person muss ein anderes Nachweisformular vorlegen, um Zutritt zu erhalten.

Ausgeklügelte Systeme verwenden dieselben Prozesse, wenn Dateien angefordert werden. Einem Benutzer kann ein einfacher Zugriff auf das System als Ganzes gestattet werden, aber wenn die Person darum bittet, eine wichtige Datei zu lesen/schreiben, durchläuft das System erneut Überprüfungsprozesse. 

Vorteile und Überlegungen

Ändern Sie Authentifizierungsprozesse nicht nach Lust und Laune. Wägen Sie die Vorteile (wie etwa verbesserte Sicherheit) sorgfältig gegen die Nachteile (wie etwa zusätzliche Belastung für den Benutzer) ab und treffen Sie eine kluge Entscheidung für Ihr Unternehmen.

Zu den bekannten Vorteilen der risikobasierten Authentifizierung gehören:

• Weit verbreitete Verwendung. Zahlreiche Regierungsbehörden nutzen und fördern die risikobasierte Authentifizierung. Die Verbraucher haben wahrscheinlich entweder schon von dieser Technik gehört oder sie bereits in der Vergangenheit verwendet, daher sollte sie davon nicht überrascht sein.
• Wenige Bereitstellungen. Wenn Sie Ihr System richtig einrichten, wird die IT nicht immer in Aktion treten. MasterCard sagt beispielsweise, dass 80 Prozent der Transaktionen als risikoarm eingestuft werden sollten, ohne dass zusätzliche Schritte von den Verbrauchern erforderlich sind.
• Jede Menge Gefahr. Hacks sind teuer. In einem veröffentlichten Vorfall verschafften sich Hacker Zugriff auf 12 Millionen unverschlüsselte Kreditkartendaten. Die Verbraucher werden Ihnen die Schuld dafür geben, dass Sie diese Art von Sicherheitsverletzung zugelassen haben.
• Nachgewiesene Compliance. Einige Unternehmen, auch im Bankensektor, müssen nachweisen, dass sie strenge Sicherheitsvorschriften erfüllen. Die Einführung von Prinzipien der risikobasierten Authentifizierung kann Ihnen dabei helfen, zu beweisen, dass Sicherheit an erster Stelle steht.

Zu den potenziellen Nachteilen, die bei der Bereitstellung einer risikobasierten Authentifizierungslösung zu berücksichtigen sind, gehören:

• Planung der Bereitstellung. Sie müssen diese Systeme sorgfältig entwickeln, testen und bereitstellen, um sicherzustellen, dass Ihr Projekt über ein vorhersehbares Budget verfügt.
• Sorgfältige Überlegungen. Wenn Sie Ihre Systeme falsch einrichten, könnten Sie den Benutzer von der App ausschließen, auf die er zugreifen muss. Wenden Sie Methoden an, die zu lasch sind, und Sie könnten alle hereinlassen.
• Endbenutzer-Schulung. Einige Benutzer könnten Ihre Sicherheitsmaßnahmen ablehnen. Möglicherweise hören Sie Beschwerden von vielbeschäftigten Leuten, die nicht auf ihre App zugreifen können, insbesondere wenn Ihr System neu ist. Stellen Sie sicher, dass Sie Änderungen beim Anmeldungserlebnis im Voraus mitteilen.

Besprechen Sie diese Vor- und Nachteile sorgfältig mit Ihrem Team, bevor Sie Ihr Programm starten. 

Hohes oder geringes Risiko? Systemreaktionen erklärt

Wie stellt Ihr System fest, ob eine Anmeldung mit einem hohen oder einem geringen Risiko verbunden ist? Ein Beispiel aus dem wirklichen Leben kann den Prozess verdeutlichen.

Stell dir vor, du hörst spät in der Nacht ein Klopfen an deiner Tür. Vielleicht zögerst du zunächst, die IT zu öffnen, aber dann ruft dich dein Freund von draußen an. Wenn du ihre Stimme erkennst, bist du eher geneigt, die Tür zu öffnen und sie hereinzulassen.

Ähnlich funktioniert eine Risk-Based Authentication Lösung. Wenn ein Benutzer versucht, sich mit einem Gerät anzumelden, das dem System nicht bekannt ist, wird die IT den Zugriff erst dann zulassen, wenn der Benutzer seine Identität mit einem zusätzlichen Faktor weiter verifiziert hat.

Dieser zusätzliche Faktor könnte Folgendes beinhalten:

• Eine dauerhafte oder temporäre PIN.
• Beantwortung einer Sicherheitsfrage.
• Biometrische Daten, wie z. B. ein Fingerabdruck. 
• Codes werden per Smartphone geliefert. 

Wichtige Funktionen, auf die Sie achten sollten

Viele Unternehmen bieten risikobasierte Authentifizierungsfunktionen an. Sie sind nicht alle gleich.

Stellen Sie beim Einkaufen sicher, dass Ihre Lösungen über Folgendes verfügen:

• Zugriff auf Echtzeit-Bedrohungsdaten, um potenzielle Sicherheitsrisiken zu identifizieren.
• Analyse des Kontexts des Benutzers, einschließlich Gerät, Standort und Netzwerkverbindung.
• Die Möglichkeit, dass Benutzer zusätzliche Authentifizierungsfaktoren eingeben, um ihre Identität in riskanten Szenarien nachzuweisen.
• Konfigurationsrichtlinie, die es dem Administrator ermöglicht, Authentifizierungsverfahren einzurichten, die sicherer sind als die Eingabe von Passwörtern.

Implementieren Sie Risk-Based Authentication mit Okta

Okta adaptiv Multi-Faktor-Authentifizierung (Adaptive MFA) analysiert den Kontext des Benutzers zum Zeitpunkt der Anmeldung. Nachdem der Benutzer versucht hat, sich anzumelden, weist die risikobasierte Authentifizierung, eine Funktion von Adaptive MFA, dem Versuch einen Risiko-Score zu, der auf kontextabhängigen Hinweisen wie Standort, Gerät und IP-Adresse basiert. Basierend auf der Risikostufe können die Lösungen den Zugriff verweigern oder den Benutzer auffordern, einen zusätzlichen Authentifizierungsfaktor zu übermitteln, um sich vor möglichen Sicherheitsverletzungen zu schützen.

Durch die Kombination der IT mit Okta ThreatInsight erhalten Sie ein noch stärkeres Risiko-Bewertung-Tool, da ThreatInsight Daten aus einer Vielzahl von Quellen analysiert, um Risiken aufzudecken, die sonst Probleme hätten verursachen können.

Die IT kann beispielsweise IP-Adressen, die nicht verdächtig erscheinen, aber im Netzwerk von Oktaals solche gekennzeichnet wurden, eine höhere Risikobewertung zuweisen. ThreatInsight ermöglicht es der IT außerdem, Passwörter in nur drei einfachen Schritten vollständig abzuschaffen:

     1. Bei der Anmeldung wird ein Benutzername eingegeben.

     arabische Ziffer. ThreatInsight analysiert den Kontext dieser speziellen Anmeldung und bewertet das Risiko.

     3. Urheberrecht Wenn der Benutzer versucht hat, sich in einer Umgebung mit geringem Risiko Zugriff zu verschaffen, kann er einfach auf eine Okta Verify-Push-Benachrichtigung tippen, um dies zu tun.

Im Gegensatz zu Passwörtern erfahren Sie bei der risikobasierten Authentifizierung alles, was Sie über den Benutzer wissen müssen. IT erleichtert es der IT-Abteilung, die richtigen Zugriffsebenen zu erhalten.

Referenzen

Globaler Risk-Based Authentication Markt, 2019 bis 2014: Analysiert nach Angebot, Bereitstellung, Endbenutzer-Branche und Geografie. (Juli 2019). Globe Newswire.

Vorteile einer Risk-Based Authentication Strategie für MasterCard SecureCode. (2011). MasterCard.

Schutz von Daten mit fortschrittlichen Risk-Based Authentication Techniken. (November 2013). Das Wall Street Journal.

Online- Risk-Based Authentication mit Verhaltensbiometrie. (Juli 2013). ResearchGate.