近日，Authing 发布国内首个「持续自适应多因素认证」产品，也是国内首个持续自适应信任体系解决方案，为国产化零信任落地实施提供了一套行之有效地最佳实践。持续自适应多因素认证通过多种身份验证因素（如令牌、生物特征识别、验证码等），在用户访问全生命周期中，通过行为风险评估技术对用户的关键行为进行持续动态地实时评估。「持续自适应多因素认证」旨在帮助企业更高效、更精准、更全面的保护业务系统内的数据和资源的安全，延展企业信息安全管控纵深，同时解决用户体验与安全管理间的摩擦问题。

【资料图】

Authing 持续自适应多因素认证业务架构图

基础概念

如果你希望更详细了解三者区别，请查看卡片介绍。

根据 Verzion 数据泄露报告显示，约 81% 的数据泄露事故由凭证被盗而引起。而据微软数据显示，多因素认证（MFA）可以阻止超过 99.9% 的账号密码泄漏及相关黑客攻击。虽然传统的多因素认证在用户登录访问场景中已经非常普及，然而随着网络安全环境和用户需求变得愈发多元，企业符合信息安全合规性也越发重要，仅依靠一次性的身份认证来控制对敏感系统的访问已经不再足够，用户的安全状况可能在系统会话期间动态变化。此时企业需要有持续评估安全风险技术来对用户进行持续的安全系数评估，并基于该风险评估结果来自动决定是否需要增加额外的认证因素保护企业数据安全。

使用 Authing 持续自适应多因素认证将帮助企业快速构建面向未来的持续自适应信任体系，保障企业数据安全，同时还具备以下优势：

持续自适应多因素认证，延展企业安全防控纵深

随着业务上云、移动办公、生态协作、多云混合等业务场景的涌现，以及大量设备接入让企业的安全防控边界持续外延。传统的点状安全布控方式和传统的安全门式（允许/阻止）管理办法已经无法应对复杂多变的安全环境。

Authing 提供行业领先的「持续自适应多因素认证」解决方案。它将企业传统的“应急响应”静态防御提升至“持续响应”的动态安全管控。从形态维度，「持续自适应多因素认证」将安全管控从点状布控延展至企业全身行程一整套自适应安全免疫系统；从时间维度，「持续自适应多因素认证」在全用户会话旅程中根据实体行为的变化持续不断的对其进行风险评估，通过风险评估信号决定是否需要对该用户增加额外的认证流程。

几行代码即可接入，快速部署行业前瞻技术

Authing 提供非常便捷的自适应多因素认证集成方式，企业可以选择几行代码接入 Authing Guard 认证组件（Authing Guard 使用行业最佳实践安全性设计，仅需要几行 Java 代码就可以集成到你开发的项目中。它可以直接从 CDN 或 NPM 加载，也可以从源代码构建。Authing Guard 同时提供 Java 原生、React、Vue 和 Angular 的多种集成模式，在你的任何项目中都可以无缝集成并享有高度自定义灵活性。）即可快速接入 Authing 自适应多因素认证功能。通过在企业业务系统后端接入 Authing SDK，将相关用户行为数据上报到 Authing 系统。最后通过 Authing MFA 编排引擎配置「持续自适应多因素认证安全策略流」，并通过对 MFA 事件进行持续监听，当接受到相关安全事件，即拉起 MFA 认证流程。

Authing 同时提供完善的改造已有 IAM/IDaaS/系统升级 Authing 自适应 MFA 的解决方案，企业无需额外花费巨额费用重新改造 IAM 系统，即可在多种终端场景下独立接入 Authing 的「持续自适应 MFA」。

MFA 编排引擎，覆盖全场景安全管理需求

Authing 提供灵活的自适应 MFA 策略编排引擎，企业不仅可以依据自身业务情况，灵活配置 MFA 安全策略。Authing 还提供数十种开箱即用的预置策略函数模版与 MFA 安全策略模版，同时还提供：

1.提供完整且灵活的策略函数编排能力

● 支持灵活配置入参，接收任意类型数据进行计算

● 支持基于配置参数的复合条件数据过滤

● 支持基于配置参数与多种统计类型的数据指标统计

● 支持基于配置参数与统计结果灵活设置策略判定条件

● 支持灵活配置策略返回值

2.支持基于用户行为的策略编排

● 时间、地理位置、设备特征、网络环境、行为特征

3.支持基于主体属性的策略编排

● 例如用户在职状态

● 例如用户的组织、部门关系

4.提供自适应 MFA 安全策略流配置能力

● API 模式：通过 HTTP 请求触发安全编排工作流，根据配置策略计算用户风险，并根据计算结果返回触发 MFA 认证策略。

● 事件流模式：通过持续订阅 UEBA 事件，每当有新的 UEBA 事件产生时，根据配置策略计算用户风险，并根据计算结果发布特定 MFA 事件。

减少用户体验摩擦，平衡安全性与生产力

传统的多因素认证最被诟病的问题之一则是用户体验，在微软的一项调查中，虽然绝大多数企业了解多因素认证的重要性，并且有能力部署，然而只有 22% 的企业选择使用多因素认证。其主要原因是传统的多因素认证为客户和组织内部员工提供了糟糕的用户体验。在用户流失和生产力阻碍前，企业通常选择关闭多因素认证来承担额外的安全风险。

从企业安全的角度来看，身份认证是实体证明其可信的过程，只有持续获得信任的身份才被允许进行下一步操作。而从用户体验的角度来看，无体感/弱体感的身份认证过程能保障用户的留存率和员工的工作效率。Authing 持续自适应多因素认证基于 Authing UEBA 引擎持续动态地根据用户的行为和画像进行分析和判断，例如用户的登录历史、设备信息、IP 地址、地理位置、活动模式等，从而确定当前用户的身份和风险级别，并选择与之相匹配的 MFA 认证策略。这将最大程度提升用户体验，并平衡安全性与生产力。

构建持续自适应信任体系，满足企业安全合规要求

零信任理念已经从“不信任任何人”转变为“持续获得信任”，只有持续获得信任的身份才被允许进行下一步操作。某个实体身份需要持续获得信任的条件是系统对其进行持续的风险评估。

通过 Authing 持续自适应多因素认证，帮助企业构建持续自适应信任安全体系。持续自适应多因素认证在用户整个使用旅程中持续不断地对其进行信任评估，以决定是否需要增加额外的认证流程，企业的安全得到了实时监控和防御，同时还提供完善的用户和管理员行为审计日志。Authing 遵从不同国家和行业的合规性要求，积极参与行业安全标准的制定和推广，为企业提供安全合规的身份认证访问服务。

Authing 是国内唯一以开发者为中心的全场景身份云产品，为企业和开发者提供高安全、高性能、高生产力的用户认证和访问管理服务。

Authing 目前已经服务包括招商银行、三星集团、复星集团、长鑫存储、可口可乐在内的 40000+ 企业和开发者。