في الآونة الأخيرة، أصدر مكتب الإدارة والميزانية الأمريكي (OMB) المذكرة M-22-09 والذي يتطلب من الوكالات تحقيق أهداف أمنية محددة لانعدام الثقة بحلول نهاية السنة المالية 2024. إن التقدم نحو انعدام الثقة هو أحد أهداف التحديث الرئيسية للأمن السيبراني الحكومي على النحو المبين في الأمر التنفيذي لعام 2021 بشأن تحسين الأمن السيبراني في البلاد.
كما هو موضح في البنية المرجعية للثقة الصفرية لوزارة الدفاع، "إن المبدأ الأساسي لنموذج الثقة الصفرية هو أنه لا يمكن الوثوق بأي جهة فاعلة أو نظام أو شبكة أو خدمة تعمل خارج أو داخل المحيط الأمني." بدلاً من ذلك، يجب التحقق من أي شيء وكل شيء يحاول إنشاء وصول.
يشدد الانتقال إلى انعدام الثقة على "ضوابط أقوى للهوية والوصول إلى المؤسسة، بما في ذلك المصادقة متعددة العوامل (MFA)" لأنه بدون "أنظمة هوية آمنة ومدارة من قبل المؤسسة، يمكن للخصوم الاستيلاء على حسابات المستخدمين والحصول على موطئ قدم في الوكالة لسرقة البيانات أو شن هجمات." يجب أن تكون عمليات المصادقة قادرة على "كشف ومنع الكشف عن أسرار المصادقة والمخرجات لموقع أو تطبيق يتنكر كنظام شرعي." تنص المذكرة أيضًا على أنه يجب دمج المصادقة المصادقة الآلية في طبقة التطبيق، مثلًا من خلال خدمة هوية المؤسسة، وليس من خلال مصادقة الشبكة، مثل الشبكة الافتراضية الخاصة (VPN).
تدعم RSA الانتقال إلى نموذج انعدام الثقة. نحن نساعد المؤسسات والوكالات في جميع أنحاء العالم على مواجهة هذا التحدي الجديد من خلال نهج كامل وحديث لإدارة الهوية والوصول (IAM). تقدم RSA مجموعة من أساليب المصادقة متعددة العوامل (MFA) لتلبية احتياجات المستخدمين وحالات الاستخدام المختلفة. تعمل RSA على إعادة إنشاء هويات المستخدمين الموثوق بها مع استخدام التعلم الآلي والتحليلات القائمة على المخاطر في نفس الوقت للكشف عن الأنشطة الشاذة بما في ذلك هجمات التصيد الاحتيالي المحتملة. كما أننا نقدم أيضًا إمكانات الحوكمة الذكية ودورة الحياة المصممة لتقليل سطح الهجوم في المؤسسة. ولحماية المؤسسة من التهديدات الخارجية والداخلية على حد سواء، تعمل منتجاتنا على التخلص من الاستحقاقات الزائدة التي قد تستغلها الجهات الفاعلة في مجال التهديدات.
بينما كنا نساعد وكالاتنا الحكومية على التحرك نحو انعدام الثقة والاستعداد للأمر التنفيذي M-22-09 والأمر التنفيذي، ساعدنا عملاءنا في الإجابة عن مجموعة متنوعة من الأسئلة حول كيفية الاستجابة لهذه المتطلبات الجديدة:
توفر RSA مجموعة واسعة من خيارات MFA القوية لمساعدة الوكالات الفيدرالية على المصادقة الآمنة للمستخدمين من أي مكان إلى أي شيء، بما في ذلك أنظمة الجيل التالي وأنظمة الوكالات القديمة. لقد أدى الانتقال إلى السحابة والعمل عن بُعد والمبادرات الرقمية إلى تغيير الشبكات، ولا يزال المحيط الذي كان يحمي الموارد تاريخياً في حالة انحلال. الآن يحتاج الأشخاص من كل وكالة إلى الاتصال من عدة مواقع مختلفة؛ حتى أن البعض يحتاج إلى تسجيل الدخول دون الوصول إلى الإنترنت. يمثل هذا التنوع في البيئات والمستخدمين مجموعة من تحديات المصادقة، ومع ذلك تحتاج الوكالات الحكومية إلى أن تكون قادرة على تقديم مصادقة آمنة وملائمة بشكل موثوق بغض النظر عن مكان وجود الأشخاص أو الأجهزة.
تربط حلول RSA أي مستخدم، من أي مكان، بأي شيء. نحن نقدم خيارات مصادقة متعددة لتلبية متطلبات الوكالات المختلفة وتفضيلات المستخدمين، بما في ذلك دعم FIDO. وبصفتنا عضوًا في مجلس إدارة تحالف FIDO ورئيسًا مشاركًا لمجموعة عمل المؤسسات، فقد كنا ندفع باتجاه إزالة كلمات المرور قبل أن تكون عصرية بوقت طويل، ونحن سعداء لأن بعض المنصات تتخذ الآن خطوات مماثلة. تدعم منصتنا للهوية مصادقة بدون كلمة مرور مع توافر 99.95%، بما في ذلك إمكانية عدم الفشل التي تتيح المصادقة دون اتصال بالشبكة، بحيث يمكن للمستخدمين المصادقة بأمان حتى في حالة انقطاع الاتصال, أو إذا كانوا بدون خدمة الإنترنت.
تقدم RSA مجموعة متنوعة من إمكانات إدارة عمليات الوصول الآمن (IAM) لدعم المتطلبات الفيدرالية المتعلقة بانعدام الثقة والأمن السحابي والمصادقة، ونحن معتمدون من FedRAMP وموثوقون من قبل أكثر الوكالات الحكومية حساسية. في هذه المرحلة، قد يكون لدى بعض الوكالات تطبيقات لا تدعم FIDO، ونحن نعمل على مساعدة العملاء كحلول وشركات على نقل بنيتها التحتية وتطبيقاتها لدعم FIDO. في هذه الأثناء، قد تستمر الوكالات في الحاجة إلى حلول كلمة المرور لمرة واحدة (OTP)، ولكن من المهم أن ندرك أنه ليست كل حلول كلمات المرور لمرة واحدة متساوية.
يستخدم SecurID OTP المطبق بأمان عناصر تحكم متعددة لمنع المهاجم من الوصول إلى كلمة مرور لمرة واحدة (TOTP). كما أنه يمنع استخدام TOTP في الحالات النادرة التي يتمكن فيها المهاجم من الوصول. على عكس TOTP عبر الرسائل النصية القصيرة، والتي عادةً ما تكون نافذة زمنية تتراوح بين 10 و15 دقيقة، فإن النافذة الزمنية لدينا هي 60 ثانية فقط. بالإضافة إلى ذلك، يتم إرسال الرسائل النصية القصيرة لمرة واحدة عبر قناة غير آمنة تكون هدفًا لإساءة استخدام الاحتيال بشكل منتظم - على عكس TOTP.
من خلال تحديد عمر كلمة مرور لمرة واحدة لمرة واحدة لمرة واحدة فقط لدقيقة واحدة، تمنع RSA الجهات الفاعلة السيئة من تخزين عوامل المصادقة لاستخدامها لاحقاً. وحتى عندما يحاول أحد الفاعلين السيئين إعادة استخدام كلمة مرور لمرة واحدة خلال فترة ال 60 ثانية تلك، لن يقبل خادم المصادقة لدينا كلمة مرور لمرة واحدة سبق أن رآها. يخلق هذا الرفض حدثاً قابلاً للتدقيق لأنه يجب على المستخدم الحقيقي بعد ذلك المصادقة مرة ثانية للحصول على حق الوصول، أو ببساطة يتم رفض وصول المستخدم. إن القدرة على استخدام كلمة مرور لمرة واحدة فقط للمصادقة تمنع المخادع من نسخ أو تخزين محاولة مصادقة مستخدم شرعي. يمكن استخدام كلمات مرور OTPs SecurID مرة واحدة فقط، وعمرها الافتراضي قصير للغاية.
كما يكتشف محرك المخاطر القائم على التعلّم الآلي الخاص بنا أيضاً الحالات السلوكية الشاذة. تستخدم المصادقة المستندة إلى المخاطر في RSA تقنيات وتقنيات لتقييم المخاطر التي يشكلها طلب الوصول إلى المؤسسة. باستخدام التعلم الآلي، تتعلم المصادقة القائمة على المخاطر من تقييماتها وتطبق هذه المعرفة على الطلبات المستقبلية.
لا تقوم RSA بتأمين المصادقة فحسب، بل تقوم بتأمين دورة حياة الهوية بأكملها من خلال إدارة كلمات مرور الخدمة الذاتية، وإصدار شهادات الوصول السهلة، وعمليات الانضمام والانتقال والمغادرة (JML) الآلية، والتي تضمن الوصول المناسب والمتوافق طوال دورة حياة المستخدم. تدير RSA عملية توفير المصادقات وإلغاء توفيرها وتوفر أدوات مكتب المساعدة للمساعدة في التعامل مع حالات مثل الرموز المفقودة والوصول في حالات الطوارئ.
تستخدم RSA أيضاً أساليب تشفير قائمة على المعايير لحماية جميع الاتصالات المطلوبة لمعالجة محاولة المصادقة. نحن نستخدم التشفير من طرف إلى طرف لكل من رقم التعريف الشخصي ومرة مرور OTP، وهو ما يتجاوز تشفير طبقة النقل، بحيث لا يمكن فك تشفير كلمة المرور لمرة واحدة من قبل وكيل. لا تقتصر هذه الأساليب على حماية كلمة المرور لمرة واحدة ورقم التعريف الشخصي أثناء نقلهما داخل الشبكات وخارجها وعبرها فحسب، بل تضمن أيضاً قدرة مكونات البرنامج المختلفة على المصادقة بنفسها.
التصيّد الاحتيالي مشكلة لن تنتهي, ولكن من المهم أن نتذكر أن التكنولوجيا لا تعمل بمعزل عن التكنولوجيا. فنجاح هجوم التصيد الاحتيالي يمكن أن يتعلق بعلم النفس البشري بقدر ما يتعلق بالتكنولوجيا. يجب أن تكون القوى العاملة المتعلمة هي خط الدفاع الأول. الموظفون الذين يبحثون عن رسائل التصيد الاحتيالي لن ينقروا على الروابط المشبوهة التي تمنح المهاجمين موطئ قدم.
من خلال توفير مجموعة من خيارات المصادقة وبناء نماذج سلوكية، يمكن للوكالات الحكومية تحقيق حل مصادقة مقاوم للتصيد الاحتيالي يوفر دفاعًا متعمقًا يتجاوز أي عامل مصادقة معين.
من المهم أيضاً أن تتذكر أن أي تقنية تكون جيدة بقدر جودة تطبيقها. يجب أن يقوم حل المصادقة الجيد بأكثر من مجرد التعامل مع تهديدات التصيد الاحتيالي المحتملة. التزويد السليم و إدارة دورة حياة بيانات الاعتماد يجب أن تكون أجزاء شاملة من حل المصادقة. لقد كانت RSA رائدة ووضعت ممارسات قياسية في هذا المجال من أجل تحقيق هذه الأهداف للمصادقة المستندة إلى OTP.
تقدم RSA ابتكارات وحلول مصادقة عملية منذ عقود. تحظى تقنيتنا التي أثبتت جدارتها بثقة العملاء الحكوميين والتجاريين الأكثر حساسية من الناحية الأمنية حول العالم. توفر حلولنا الخاصة بالمصادقة والمصادقة IAM القدرات التي تحتاجها مؤسستك لتحقيق أهداف الأمن السيبراني الوطنية الهامة. لقد تم اختبار حلول المصادقة لدينا على مدار الوقت، ونحن نواصل الابتكار وتحسين تطبيقاتنا مع تطور مشهد التهديدات.
