无胁科技：以三维身份验证构建万千应用的身份安全基础设施

近年来，疫情的不断反复倒逼经济社会的数字化转型加速。一方面，线上经济与线下经济的结构性转变日趋加速，社交、长短视频、电商等线上流量迎来爆发式的增长；另一方面，网络安全形势也日趋严峻，为企业数字化转型和线上业务发展带来了巨大挑战，虚假用户、薅羊毛、电信诈骗、网络攻击、数据窃取等各类业务安全威胁正在不断升级，团伙化、专业化的黑产侵入业务环节，动辄给企业造成数百万甚至千万的损失。

如何帮助企业有效应对不断加剧的业务安全风险？从用户身份管理入手或许不失为一条可行之道。日前，安全419接触到一家聚焦在身份威胁检测与响应（ITDR）和CIAM技术领域的身份安全厂商——无胁科技，这家公司结合身份图谱的身份行为数据关联能力，创新打造了三维身份验证方案，能够为企业提供在用户身份交互场景下的身份识别、防御和溯源能力。围绕当前数字化企业在身份安全和业务安全方面的真实诉求和痛点，安全419邀请到了无胁科技创始人陈祥分享了自身对于行业的观察和实践。

据介绍，无胁科技成立于2019年，其团队核心成员主要来自业内知名威胁情报厂商天际友盟、身份云Authing、圆通快递，团队深度参与了威胁情报平台、风控平台、身份安全、AI及等平台的建设运营和商业化过程，积累了十分深厚的威胁情报能力、身份安全和相关经验。

陈祥告诉我们，无胁科技在成立之初，主要业务方向是向企业输送包括黑灰产、黑卡、恶意IP、秒拨平台等在内的威胁情报以解决相关业务安全风险。但在具体的用户场景中却发现，由于威胁情报的使用门槛较高，用户即便拿到了威胁情报也很难直接将其消化掉。

“一方面是安全团队只能做到将相关信息同步到业务侧，却不能直接插手业务，并不能看到业务侧是否已经对风险信息做了处置。安全团队与业务团队之间存在较高的沟通成本，让威胁情报无法实时的串到业务流程中，威胁情报数据的价值也难以发挥出来。另一方面，黑灰产的攻击手段越来越偏向自动化，能够轻易绕过简单的安全限制和风控限制，给企业业务带来损害。建立一支成熟的安全团队和风控团队的成本往往会让企业难以承受，企业迫切需要一种新的身份安全技术来进行发现和响应。”

因此，无胁科技逐渐聚焦到了身份安全方向，希望将自身强大的威胁情报能力和攻防能力进行有机地结合，打造了三维身份验证系统，以帮助企业界解决在身份安全方面的痛点，更从容地应对利用虚拟身份技术发起的黑客攻击和黑灰产攻击。

简单来说，所谓三维身份验证是指，基于身份图谱技术，对用户的账号、设备、网络三个维度的身份进行深度识别、防御和溯源。在身份交互的场景下，将用户的三维身份信息与威胁情报数据库中的威胁数据进行实时匹配和验证，帮助用户高效的识别仿冒身份信息以及欺诈行为，确保用户身份的真实可靠。同时，针对当前自动化攻击泛滥的现状，这套三维身份验证平台对业内常见的自动化脚本进行了监控，能够实时阻断自动化地撞库和扫描攻击行为。

具体到溯源层面，无胁三维身份验证平台能够在攻击者尝试登录时记录其身份信息，将之与自身的威胁情报数据库进行高精度的关联匹配，帮助用户通过相关联的黑灰产IP情报对攻击者所在位置进行精确溯源，挖掘出每一次攻击事件背后的威胁行为参与者。 

陈祥解释道：“无胁科技是将传统的字符验证行为和自身掌握的海量黑灰产威胁情报打通，以轻量化SDK的形式对用户登录界面进行简单的改造，在对恶意登录请求进行实时拦截的同时，进一步对黑灰产和网络犯罪分子形成足够的威慑力，让中小型的金融、社交、电商类提供SaaS服务的企业也能够轻松且迅速地拥有综合性的网络安全能力。”

Gartner在2021年发布的数字商务技术成熟度曲线中曾提到， CIAM（Customer IAM）客户身份和访问管理技术将在未来两年内对数字商务行业产生重大影响，帮助数字化企业有效解决客户身份的统一管理问题。

据陈祥介绍，CIAM是无胁科技“两步走计划”中的另一重要技术方向。他谈到，身份与访问管理（IAM）市场按照具体应用场景可以划分为面向企业内部员工的EIAM （Enterprise IAM）和针对企业客户的 CIAM。当前业内提及身份管理，更多都是针对企业内部员工、合作伙伴或供应链视角的内部身份管理，更落地向重建企业的安全边界，以替代VPN更有效地保护无边界的混合办公安全，当前IAM技术和零信任都是这一视角下的主流解决方案。

但CIAM则更聚焦在身份验证场景、业务活动场景、爬虫场景等用户身份交互场景下，致力于帮助企业在面向消费者的SaaS化业务系统中管理好消费者身份。“随着各种Web、App、小程序的流行，数以亿计的C端消费者通过不同的软件载体涌入企业的业务场景中，构成了C端市场的生命力。但在这个过程中，黑灰产从业者也大量掺杂其中，以虚拟的账号和身份进行恶意欺诈，造成了企业营销成本的额外增长，信息泄露事件也因此层出不穷。而CIAM的价值就在于解决企业用户复杂的顾客身份管理难题。”

在他看来，虽然当前业内已经有数家安全厂商推出了IDaaS产品，但这些产品背后的逻辑大多是将IAM转到云端，让企业面向多用户和多业务系统做统一的登录认证，但这一做法事实上并不能解决企业的业务系统的安全问题，尤其是在C端安全方面，企业往往会面临更强更复杂的攻防对抗以及黑灰产对抗形势，业务安全与用户身份安全同样是重中之重。在CIAM方面，无胁的做法是利用好自身在威胁情报和漏洞攻防方面的优势，将风险管控与业务场景深度融合，让企业在提高消费者身份管理效率的同时，也能够快速识别异常登录行为，提前化解业务安全风险，真正站在用户场景的视角下解决客户需求。

谈及对未来的发展规划，陈祥表示，随着数字化、智能化的发展，未来将有更多的企业转向线上，将更多的业务系统开放到互联网上，而企业也必然会在数字化建设过程中重视自身的安全属性，不断加强业务抗风险能力。在这个过程中，无胁科技也会迎来自己的发展机遇，陪伴数字化企业做好数字身份安全建设，以身份验证（三维身份验证）和身份认证（更安全的CIAM）为切入点，目前三维身份验证已经为政企互联网业务、SaaS类社交、电商、娱乐等多行业进行了落地，为用户业务转型和拓展数字身份安全落地保驾护航。

THE END