融合AI的身份威胁

　　1.身份威胁发展概述

　　1.1 以身份为中心的安全架构

　　随着数字化、 智能化的推进， 云计算、 大数据、 物联网、 人工智能等技术的发展与应用， 传统的基于边界的网络安全防护方法面临着难以应对的安全挑战。零信任（ Zero Trust） 理念的提出， 使得网络安全不再依赖于传统的边界防护，转而以身份为中心， 强调“ 永不信任， 始终验证” 的核心原则， 并要求对任何资源进行访问时实施严格的验证和授权。 以身份为中心的安全架构， 将身份作为网络安全的基础， 通过对身份的验证、 鉴权、 授权和权限吊销等操作， 来保护网络安全。 以身份为中心的理念带来了网络安全的新范式， 成为业界研究和发展的新趋势。

　　身份是安全基础架构的根本要素。 随着企业和各类组织（ 以下统称组织） 信息化、 数字化、 智能化的水平快速提升， 组织的信息环境越来越复杂， 业务场景也更加丰富。 人员、 设备、 应用、 API 等实体都需要建立对应的身份， 以支持设备与设备、 人员与设备、 组件与组件、 服务与服务以及人员与人员等各种实体间的安全交互。

　　1.2 身份的安全威胁与挑战

　　身份的安全威胁指与身份相关的网络安全风险： 攻击者通过身份盗用、 身份伪造、 身份滥用等手段， 获取合法用户的身份， 进而获取合法用户的权限， 最终实施对系统和数据的窃取、 篡改、 破坏等行为。 Verizon 数据泄露调查报告（DBIR）强调， 80%的网络攻击事件与身份和访问有关[1]。 利用窃取的身份， 攻击者可以在网络中横向移动， 并在其攻击活动中提升权限。

　　首先是身份的种类众多， 除了人们日常使用于己相关的账号（ 人类身份） 外，还有大量的非人类身份（ Non-Human Identity, NHI） 存在。 NHI 包括但不限于：服务账户身份、 系统账户身份、 应用账户身份和机器身份等。 随着云原生应用与服务的发展， 微服务、 各类计算与存储等类型的服务也会产生大量的非人类身份。