行为分析是最好的身份验证方法之一——尤其是当它是持续身份验证的一部分时。 作为“一劳永逸”的身份验证是不应该再发生的事情。 再说一次，我曾就使用未加密的 SMS 作为一种多因素身份验证形式争论过同样的事情，遗憾的是，我仍然看到许多财富 1000 强公司都在使用它。
那好吧。
尽管大多数企业 CISO 都可以接受纸上行为分析（在白板上？作为 Microsoft Teams/GoogleMeet/Zoom 中的消息？），但他们拒绝快速广泛部署，因为它需要为每个用户（包括合作伙伴）创建配置文件， 分销商、供应商、大客户和任何其他需要系统访问权限的人。 创建这些个人资料可能需要一个多月的时间，才能准确、一致地了解每个人。
[通过 Computerworld 的时事通讯了解最新的 IT 思想领导力、见解、操作方法和分析。 ]
我不想让事情变得更糟，但现在有人争论说安全管理员不需要为每个用户提供一个配置文件，但可能需要几十个或更多。
为什么？ 假设您通过各种跟踪会话运行用户（当然对用户是透明的）并确定您可以确定的一切，例如打字速度、用户握住移动设备的角度、敲击按键的压力、每个人的错别字 100字，每分钟输入的字数等。
您现在拥有该用户的行为档案。 然而，该配置文件可能基于用户在正常工作日的常规行为。 当用户筋疲力尽时怎么办，比如可能是从红眼航班到达办公室后？ 还是欣喜若狂或极度沮丧？ 与舒适的家庭办公室相比，他们在陌生的酒店房间里的行为是否有所不同？ 在他们的老板对他们尖叫 10 分钟后，他们的行为是否有所不同？
任何机器学习系统要想真正识别用户并减少漏报，就需要在各种不同的情况下准确识别用户。 这意味着要在尽可能多的不同环境/情况下更长时间地研究用户。 对于拥有庞大六位数员工队伍的企业来说，这确实是一项艰巨的任务。
Deep Labs（一家从事行为分析的公司）的首席执行官斯科特·爱丁顿 (Scott Edington) 举了一个有趣的例子：“一个从南加州来纽约的人在隆冬走出一家餐馆去叫车。她受到了影响 受寒冷天气影响，突然开始以更快和更谨慎的方式在她的手机上打字，因为她很冷，她的手指麻木。被识别的这种类型的角色可能不同于同一个人的“温暖”版本。理解角色 “以这种方式提供上下文。这不是坏演员或黑客，即使他们的行为不同。这是同一个人，但只是以不同的 – 合理的 – 方式行事。”
爱丁顿的例子很有趣，但很难找到在正常分析期间复制它的实用方法。 这种测试需要在与用户的干扰最小甚至没有干扰的情况下完成，甚至与用户进行交互，以保持过程顺畅。 （当然，您不太可能看到用户在没有提示的情况下进行这种寒冷天气的户外活动——至少在例行测试期间不会。
对于依赖行为分析来保持安全的公司来说，这是一个有趣的难题。 这可能只是 CISO 将不得不在初始测试期间接受高于理想数量的错误警报。 这可能意味着随着这些非典型行为的发生，配置文件会在很长一段时间内（比如一两年）无缝地变得更加准确。
这让我们陷入了典型的先有鸡还是先有蛋的问题。 行为分析推出的最早几天/几周将是：A，当系统最不准确时，会发出许多错误警报。 而B，用户和LOB负责人将决定他们是接受还是抵制这种认证方式。
没有人说过网络安全会很容易。
