לקראת אירוע | הזדהות חזקה – האתגרים והמענה
מאת עודד צור, Senior Solution Strategist, CISSP ב-CA Technologies
הגידול בהונאות המקוונות והאיומים הקיימים מהאינטרנט כמו Phishing ,Skimming,Malware ועוד מינוחים מסובכים האורבים ללקוחות שאינם חושדים במזיקים, מעמיד את הצורך במציאת דרכים חדשות, לצמצום הסיכונים בפעילויות הלקוחות, תוך זיהוי מקוון ומיידי של ההונאה שלעיתים מתבצעת ע"י קבוצות פשע מאורגנות. הגידול באיומים נובע מהתיחכום בו משתמשות קבוצות הפשע המאורגנות, לאיסוף מידע על הקורבנות דרך טכניקות של הנדסה חברתית (Social Engineering), בהן משפיעים על הקורבן לספק מידע אישי הכולל גם פרטי כרטיס אשראי וחשבון בנק.
אחת הגישות להיאבק באיומים על פעילויות בחשבונות משתמשים מכוונת למערכות המאחדות זיהוי וודאי של המשתמשים, זיהוי מקוון ומיידי של ההונאות ווידוא פעולות המשתמשים. זיהוי משתמשים נע בין הזיהוי הפשוט והזול של שם משתמש וסיסמה החשוף להונאות וניחוש סיסמה בכוח (Brute Force), לבין הזדהות חזקה ויקרה, המבוססת על אמצעי זיהוי פיזי כגון כרטיס חכם או אמצעי זיהוי ביומטרי. אמצעים אלו טובים מול מספר מוגבל של משתמשים אך אינם ישימים מול מיליוני לקוחות הארגונים, כיוון שאלו דורשים הקמת תשתיות יקרה, הנפקת אמצעי החומרה מסורבלת ויקרה וכמו כן התפעול שוטף ותחזוקה ההתקנים יקרים.
ישנן מספר גישות ליישום מנגנוני אבטחה ואיתור הונאות בה בוחרים ארגונים: הגישה הראשונה הינה השקעה רבה של כסף בהקמת אמצעי אבטחה בתוך הארגון, הקמה זו יקרה ודורשת משאבים ומאמצי תפעול ותחזוקה. גישה נוספת של ארגונים היא שימוש ב- SaaS מהענן, מה שמאפשר שימוש בפתרונות החזקים ביותר תוך צמצום בעלויות הקמה, תפעול ותחזוקה. הגישה המשולבת בה נוקטים רוב הארגונים מחלקת השירותים לשירותים על תשתיות פנימיות ושירותים מהענן.
פתרונות CA identity and Access Management מכוונים לספק פתרונות ללקוחות בין אם השירותים בתוך הארגון או בענן, אחד הפתרונות האלו הוא CA Auth Minder.
CA Auth Minder הוא פתרון לזיהוי חזק של משתמשים, המאפשר לבנקים, חברות אשראי, טלקום וארגוני ענק, להיאבק בניסיונות הונאה מקוונים ולהגן על כ-150 מיליון המשתמשים וכמיליון טרנזקציות כרטיסי חיוב ואשראי מדי יום מפני ניצול לרעה, ללא צורך בהתקני זיהוי יקרים. Auth Minder מאפשר לארגונים "להעביר את ההגה" לידיים שלהם ולהשתמש בשירות מהענן. פתרון זה מאפשר לארגונים שאינם רוצים להסתמך על פתרון מהענן להקים את תשתית הזיהוי ואיתור ההונאות המקוונות בתשתית פנימית.
Auth Minder מאפשר ללקוחות CA, בינהם גוגל וסיילספורס, שדרוג מערך זיהוי לקוחותיהם, עובדיהם ושותפיהם, לשירותי ה-Web, VPN, גישה לחשבונות הבנק המקוונים ויישומי ה-Saas תוך הגנה על הארגון והמשתמשים ע"י שימוש במנגנון זיהוי חזק של המשתמשים, מנגנון זה מבוסס תוכנה על המחשב (עם פטנטים ייחודיים ל CA) או על גבי מכשיר סלולרי, הפתרון מאפשר ביצוע Single Sign On כך שהמשתמש נדרש לספק את זהותו רק פעם אחת, כמו כן זיהוי הונאות מקוון ומיידי תוך מתן אפשרות לארגון להגדיר את מאפייני ההונאה בהתאם לנידרש לאותו ארגון, כל זאת כ- SaaS מהענן ללא צורך בהתקנת תשתית פנימית. כך מתאפשר איזון מתאים של עלויות, נוחות ואבטחה.
כשכבת הגנה נוספת מציע הפתרון רכיב נוסף מתחום ניהול הסיכון. הרכיב, הנקרא CA Risk Minder, משתמש במנוע חוקים, מודלים סטאטיסטיים, נתוני הקשר (קרי מיקום, פרטי בקשה) על מנת לתת ציון להזדהות ולבקשה של המשתמש. ציון זה מאפשר למערכות אליהן ביקש המשתמש להתחבר לקבל החלטה האם יש לדחות את בקשת ההתחברות או לחליפין לקבלה אך עם רמת הרשאות שונה מהרגיל.
