作者：甲骨文公司中國區(qū)企業(yè)身份管理及內容管理產品線銷售總監(jiān)劉安峰
想象以下情形：
一個黑客建立了一個網站，這個網站看似某著名銀行的網站。他向客戶發(fā)送電子郵件，聲稱該銀行的網站正在修改或重建，要求客戶提供機密信息。這個黑客尋求的信息是極其重要和機密的客戶數(shù)據(jù)。這封電子郵件內嵌入了一個鏈接，這個鏈接按照默認設置將客戶導向黑客建立的假網站。認為電子郵件真是來自銀行的客戶提供了詳細信息，黑客將這些信息保存起來，并在以后用來進行欺騙性交易，如轉錢或獲取極其重要的口令。
我們將處于一種不安全的境況中！
在線商務迅速增長，隨之而來的是日益復雜的互聯(lián)網欺詐行為。欺詐正在通過多種訪問渠道進行。來自網釣（試圖獲取用戶名、口令、詳細的信用卡信息等敏感信息的犯罪欺詐行為）、域欺騙（一種黑客攻擊，目的是將某個網站的信息流重新導向到另一個假網站）、特洛伊木馬（一種惡意軟件）、按鍵記錄（用來獲取在線輸入的口令）和代理攻擊的安全威脅，加之管理在線數(shù)據(jù)隱私的法規(guī)和法令（HIPAA、PCI等），都使得十分需要實現(xiàn)在線安全。
如果再仔細看一下我在本文開頭所舉的例子，你就會意識到，一個簡單的登錄程序就能讓黑客非常容易地訪問在線賬戶和交易。為了阻止黑客，銀行正在采用極其嚴格的登錄程序，這些程序更加個人化，也更加安全。其中某些程序引入了附加的口令層、有關個人背景情況的圖像以及虛擬鍵盤甚至虛擬鼠標，等等。
無論你在鍵盤上敲入了什么，黑客都可以通過按鍵記錄軟件加以攔截和利用。按鍵記錄軟件提供了一條繞過安全措施獲取口令或密鑰的途徑。為了防止這種情況出現(xiàn)，金融交易網站正在安裝虛擬鍵盤和虛擬鼠標。作為登錄過程的一部分，當銀行指定它的標準登錄口令輸入方式，而不是在鍵盤上鍵入口令時，用戶將能夠用光標在虛擬鍵盤上輸入他/她的口令。這樣就能避開黑客強加的鍵鎖定設置。
用戶訪問建立以后，防止欺詐并進行實時風險評估也同樣重要。今天可用的工具將歷史行為記入用戶的“虛擬指紋”中，然后通過自動執(zhí)行的規(guī)則，就可以確定與用戶交易有關的風險和安全威脅了。這種自動化技術就是我們所說的“欺詐檢測和風險評估技術”。
這種技術能積極實時地防止欺詐，并加強企業(yè)和客戶網絡應用的交易安全性。它使任何企業(yè)與合作伙伴以及客戶的互動都更加安全，讓企業(yè)職能部門更加安全地與遠程工作的員工或合作伙伴直接聯(lián)系，并保護這些員工和合作伙伴免受安全威脅的影響。
在線欺詐檢測需要使用多種IT安全工具。它需要能夠通過分析多種來源的數(shù)據(jù)來評估風險，這些來源包括情況簡介、設備指紋、IP和其他適合于法庭的網絡數(shù)據(jù)、地理位置信息以及交易數(shù)據(jù)。通過將各種不同的風險因素匯總體現(xiàn)到單一策略中，可以設計出一個很好的解決方案，用這個解決方案可以評價交易的相關風險、積極防止欺詐并即時提醒企業(yè)有安全威脅。這樣的技術可提供實時和離線風險分析，在抓取和分析實時交易數(shù)據(jù)、比較當前交易風險情況與過往情況時，能最大限度地提高效率。
為了制訂和重新制訂防止欺詐的策略，還需要調查研究以及適合于法庭的工具來簡化天生困難的管理工作，如策略編制、風險監(jiān)控、事故調查和審計數(shù)據(jù)分析。安全策略必須能夠無需讓生產系統(tǒng)停機就可以調整以應對新的安全威脅。一些專門的欺詐檢測技術使安全管理員能夠試驗不同的安全策略、評估它們擋住欺詐的有用性、確定可能對績效造成的影響或具體規(guī)則以及跟蹤策略變更后系統(tǒng)的行為差別。
這樣，各公司就能夠最大限度地降低讓任何人用偷來的信用卡進行多宗欺詐交易的可能性，如訂機票或在線購物甚至金融或貿易請求。在各公司積極利用互聯(lián)網進行銷售、自助服務和信息共享的同時，在線安全成為在企業(yè)和用戶之間建立信任的核心所在。
