Die Verhaltensanalyse ist eine der besten Authentifizierungsmethoden auf dem Markt, insbesondere wenn sie Teil der kontinuierlichen Authentifizierung ist. Eine „One-and-Done“-Authentifizierung sollte einfach nicht mehr vorkommen. Andererseits habe ich das gleiche Argument für die Verwendung unverschlüsselter SMS als Form der Multi-Faktor-Authentifizierung vorgebracht, und leider sehe ich immer noch viele Fortune-1000-Unternehmen, die sie verwenden.
Oh gut.
Während die meisten Unternehmens-CISOs mit Verhaltensanalysen auf Papier (auf einem Whiteboard? Als Nachricht in Microsoft Teams/GoogleMeet/Zoom?) zufrieden sind, sträuben sie sich gegen eine schnelle, umfassende Implementierung, da dafür für jeden Benutzer, einschließlich Partner, ein Profil erstellt werden muss. Händler, Lieferanten, Großkunden und alle anderen, die Zugriff auf das System benötigen. Die Erstellung dieser Profile kann über einen Monat dauern, um ein genaues und konsistentes Bild jeder Person zu erhalten.
Ich hasse es, das noch schlimmer zu machen, aber es gibt mittlerweile Argumente, die Sicherheitsadministratoren nicht brauchen eins Profil für jeden Benutzer, möglicherweise aber Dutzende oder mehr.
Weil? Nehmen wir an, Sie führen einen Benutzer (natürlich transparent für den Benutzer) durch verschiedene Tracking-Sitzungen und bestimmen alles, was Sie können, z. B. die Tippgeschwindigkeit, den Winkel, in dem der Benutzer ein Mobilgerät hält, den Druck, mit dem er drückt Tasten, Tippfehler pro 100 Wörter, die Anzahl der pro Minute getippten Wörter usw.
Sie haben jetzt ein Verhaltensprofil dieses Benutzers. Dieses Profil basiert jedoch wahrscheinlich auf dem typischen Verhalten des Benutzers an normalen Geschäftstagen. Was passiert, wenn dieser Benutzer erschöpft ist, beispielsweise nachdem er von einem Flug mit roten Augen im Büro angekommen ist? Oder ekstatisch glücklich oder furchtbar deprimiert? Verhalten sie sich in einem fremden Hotelzimmer anders als im komfortablen Homeoffice? Verhalten sie sich anders, nachdem ihr Chef sie 10 Minuten lang angeschrien hat?
Damit ein maschinelles Lernsystem den Benutzer wirklich erkennt und nur wenige falsch-negative Ergebnisse liefert, muss es den Benutzer unter einer Vielzahl unterschiedlicher Umstände genau erkennen. Das bedeutet, den Benutzer länger und in möglichst vielen verschiedenen Umgebungen/Situationen zu studieren. Für ein Unternehmen mit einer großen sechsstelligen Belegschaft ist das eine wirklich gewaltige Aufgabe.
Scott Edington, CEO von Deep Labs (einem Unternehmen, das sich mit Verhaltensanalysen beschäftigt), lieferte ein interessantes Beispiel: „Eine Person, die aus Südkalifornien nach New York City kommt, verlässt mitten im Winter ein Restaurant, um A Car zu rufen.“ Sie ist schockiert. wegen des kalten Wetters und fängt plötzlich an, schneller und bewusster auf dem Handy zu tippen, weil dir kalt ist und deine Finger taub sind. Diese Art von Person, mit der Sie sich identifizieren, kann sich von der „warmen“ Version derselben Person unterscheiden. Auf diese Weise liefert es Kontext. Er ist kein schlechter Schauspieler oder Hacker, obwohl sein Verhalten anders ist. „Er ist derselbe Mensch, aber er verhält sich nur anders und vernünftig.“
Das Edington-Beispiel ist interessant, aber es ist schwierig, eine praktische Möglichkeit zu finden, es während eines normalen Analysezeitraums zu reproduzieren. Diese Tests sollten mit minimaler oder keiner Beeinträchtigung oder sogar Interaktion mit den Benutzern durchgeführt werden, um den Prozess reibungslos zu halten. (Natürlich ist es unwahrscheinlich, dass ein Benutzer diese Art von Outdoor-Aktivität bei kaltem Wetter ohne Aufforderung durchführt, zumindest nicht während eines Routinetestzeitraums.
Es ist ein interessantes Rätsel für Unternehmen, die sich auf Verhaltensanalysen verlassen, um sicher zu bleiben. Es kann einfach sein, dass CISOs während einer ersten Testphase eine überhöhte Anzahl an Fehlalarmen hinnehmen müssen. Dies könnte bedeuten, dass Profile über einen längeren Zeitraum (z. B. ein oder zwei Jahre) reibungslos genauer werden, wenn diese atypischen Verhaltensweisen auftreten.
Das bringt uns zum typischen Henne-Ei-Problem. Die ersten Tage/Wochen einer Verhaltensanalyse-Implementierung sind: A, wenn das System weniger genau ist und viele Fehlalarme generiert. YB, wenn Benutzer und LOB-Leiter entscheiden, ob sie diesen Authentifizierungsansatz akzeptieren oder sich ihm widersetzen.
Niemand hat jemals behauptet, dass Cybersicherheit einfach sein würde.
