项目背景及目标

“云计算、大数据、物联网”的发展，推动着产业变革，金融业包括银行、证券、保险等行业都不断朝着电子化、移动化、互联网化方向快速发展，加之经济新常态下企业内外部业务的关联度提高，资产规模扩张，信息资产的管理风险不断上升。同时，随着信息化在不同时期的持续建设与应用，易造成各业务系统冗杂和用户体系混乱；移动化的发展，也在账户安全和用户体验之间衍生新的挑战。

目前江西省农信业务系统众多、网点分布众多、用户种类众多，随着网络技术的发展，在面临弱密码、拖库撞库、账号共用、输入法监听、短信验证码劫持、图形验证码破解等问题时，通过本方案的规划和建设，为江西省农信众多应用系统、众多账号、众多权限建立统一身份认证平台，整合银行内部应用、云应用、网络设备等IT资源，解决账号管理、认证管理、授权管理、应用管理和安全审计等相关问题。确保合法用户安全便捷的使用特定资源，减轻IT管理员的日常管理工作，有效保障企业内部信息安全。

主要目标是确保正确的人或“物”出于正确的原因，能够在正确的时间正确的地点从正确的设备中获取到正确的资源（应用、数据等）

项目方案

内部零信任身份认证体系在总体设计上按照部署方式分为客户端软件集合和服务端软件集合。

客户端软件集合分为移动端SDK、WEB端SDK以及内部零信任身份认证体系独立客户端。所有的客户端SDK都负责用户行为及设备环境数据的上报，以及认证策略的反馈，并承担部分认证及发起推送的功能。内部零信任身份认证体系客户端主要承担用户身份认证工作，包括：推送，滑动识别，二维码，软令牌，指纹，声纹，人脸，手势等方式的认证。

服务端软件集合分为数据采集平台，智能规则引擎，风险评估引擎，认证决策引擎，风险监控平台和综合管理平台。数据采集平台提供数据上报接口，与提供的SDK形成功能闭环。

数据采集平台

数据采集平台既可以采集移动端数据也可以采集PC终端WEB数据，采集到的大量数据经过数据清洗等预处理后转入智能规则引擎。同时提供给风险评估引擎。

智能规则引擎

智能规则引擎提供的风险评估规则由静态定制规则和动态智能规则两部分组成。其中，静态规则为初始规则，根据其它平台的样本数据通过科学的统计方法进行定制；动态规则的基础数据来源于当前平台应用的用户数据积累，利用决策树，随机森林，逻辑回归及更为复杂的聚类算法和社交网络分析算法创建新的规则，并不断优化现有规则。终形成的风险规则集合输送到风险评估引擎，为风险评估引擎提供决策基础。

风险评估引擎

风险评估引擎根据智能规则引擎提供的规则对用户客户端当前状况进行风险评估，风险评估以分值的形式体现，并根据不同用户的历史行为参照规则给出动态加权值，同时对于风险划分，基本分为低、中、高、高危四个风险档，每个风险等级的阈值会随着数据的不断累积而不断调优，内部智能模型在大量数据的训练下逐步趋于稳定，并随着社会发展，随着用户行为习惯的不断变化而自动在后台算法中演进。风险评估引擎将当前用户环境及行为风险等级标识输出给认证决策引擎，并将用户当次行为及当前环境的风险分数输出给风控监测平台。

认证及决策引擎

认证及决策引擎的主要功能是根据用户风险档的标识确定用户可以使用的认证方式及认证功能。对于认证方式，认证决策引擎可以灵活接入多种身份认证方式，目前已经接入的有：用户名+口令，软令牌，推送，滑动检测，短信，语音，授权码，手势，指纹，声纹，人脸，二维码和微信等，对于每个用户的身份认证，都根据其风险等级结合上报的环境情况向用户提供匹配风险的并满足用户认证条件的认证方式。

风险监测平台

风险监控平台通过信息汇总提供各个维度的各式统计报表，直观的展现当前的风险情况和身份认证情况，对于发生的高风险场景及用户行为进行各种形式的报警，并针对不同危险场景采取不同的阻断措施，确保及时发现，及时处理，智能阻断，人工干预，力求将业务带来的损失降到低。

综合管理平台

为了方便管理，统一配置，将服务端多个引擎及平台全部集成到一个平台进行统一管理。在对管理员进行管理时，采用三员分立（业务管理员，系统管理员，审计管理员）的方式，确保管理安全。

创新点

一、科技创新

1.零信任身份认证体系

针对互联网安全而设计研发的内部零信任身份认证体系系统和解决方案，在设备识别，身份认证，规则制定等方面均有技术性突破和创新，身份认证方面体现的是一种零信任前提下的，持续安全风险评估理念，与一次登录内部始终通行的传统理念不同，持续安全风险评估理念是对用户在登录前，登录中以及登录后行为及环境的持续风险评估，并能根据风险等级对隐患的行为做必要的身份再认证，并随着时间推移，在风险每次超过阈值后均对用户身份进行验证。

2.设备信息映射设备指纹

在设备识别方面，模糊匹配的设备指纹技术替代了目前主流的静态设备ID技术使得设备识别更精准可靠，并能够在系统升级，甚至部分硬件更换后仍能准确识别，稳定性好。

3.阈值自动调整

对于很多风险规则均以阈值作为规则边界，超过边界便意味着触发规则，传统产品一般都是人工根据经验调整阈值，缺点是繁琐，不易控制，并且针对不同领域，不同系统，阈值的调节经验不能通用，并且当发现用户恶意绕过规则策略时，往往太晚，已经产生较大损失。阈值自动调节就可以很及时的解决该问题，通过机器学习，数据搜集分析，重新确定每条规则在当前系统中的合适阈值，这个阈值会在数据积累到一定成都后，周期性调整，确保改阈值为合理有效。

4.规则自动生成

规则制定方面不仅支持传统的静态规则制定，而且还可以通过大数据及机器学习技术，找出过滤特征，动态生成新规则，并为规则拟定合理阈值。

二、业务创新

1.网上银行PC端

网上银行与内部零信任身份认证体系平台结合后，用户在PC端登录时，首先采用原有方式登录，然后通过根据当前登录使用的设备，登录的地理位置，登录时间，确定用户接下来使用什么认证方式做二次认证，一般情况下，需要在手机APP端滑动确认。确认通过后，用户登录到系统中，在查看账户敏感信息时，如果测定环境风险较高，则仍需要二次认证，如果用户在网上银行做转账等敏感操作时，根据金额大小进行不同等级的二次认证。

2.手机银行APP

手机银行通过SDK和内部零信任身份认证体系平台结合，用户在登录时可以看到根据设备及环境风险需要完成指定的认证方式，认证通过后，进入手机银行APP，在APP中用户如果进行敏感信息查看，或者进行转账，借款等敏感操作时，还会进行身份的二次校验。

技术实现特点

1.进度控制

系统在顶层设计上，整体上分为六个子系统和平台，涉及八十余个功能子模块，百余个技术攻关难点，研发人员数十人，分为三个研发团队，在人员管理和项目进度管理方面就是一个很大的挑战，可以通过现代化的工程管理工具禅道、redmine等，推动所有成员在项目中按照既定的时间计划开发推进。出现技术难点逾期时，通过内部精英团队联合攻关达成逾期目标。

2.系统集成

在系统集成阶段，需要各个功能模块对接联调，总体设计采用微服务思路是正确的，这在系统集成的阶段体现出了优势，尽管如此，在移动端自身设备指纹模块，可信安全沙箱与APP对接，身份认证系统集成持续自适应技术和信息采集平台，以及信息采集对接规则引擎等各个环节逐步投入到正式的环境中时，一般会遇到接口及参数产生的联动问题。系统性的测试用例届时必不可少。

3.高可用性

建设整体平台让用户金融业务更加安全的同时，设备的负载也相应的加大，采用双机热备和负载均衡策略，确保7*24高可用性，高效稳定的维护整体的运作，在长期的运维过程中，仍然需要软件和硬件的不断升级换代，届时也需要在建设中逐步完善和不断进步。

项目过程管理

1.统筹管理组

在项目研发初期首先成立统筹管理组，负责业务团队、研发设计团队的组建，负责各团队人员的遴选和召集，负责日常工作的管理，包括资源调度、考勤管理、人员协调、任务发布、会议组织等。统筹管理组同时负责产品的总体架构设计及项目中文档的评审工作。

2.业务组

业务组主要由直销银行和手机银行的具备丰富从业经验的业务人员组成。主要职责是整理业务需求，提供案例及场景，在研发过程中提供业务咨询，参与中后期的部分业务场景测试工作及需求和测试文档的评审工作。

3.研发团队

研发团队由测试组、客户端组、内部零信任身份认证体系组、用户行为跟踪追溯组四个二级团队组成。测试组的主要职责是编写测试用例，完成项目的全周期测试。客户端组的主要职责是开发采集数据的客户端，包括移动客户端和SDK。内部零信任身份认证体系组负责开发数据采集平台、认证及决策引擎。

运营情况

引入内部零信任身份认证体系整体安全解决方案后，整套系统在私有云环境部署，数据库以集群方式部署，根据当前阶段的业务需求，灵活配置云资源

内部零信任身份认证体系整体解决方案的部署不影响现有业务系统的运行，仅作为现有系统的安全辅助系统运行，同时，在部署时采用负载均衡+双机热备的方式保证7*24小时，不间断服务，为用户金融安全保驾护航。对于合法用户，在日常使用中不会感到新系统上线带来的不便，甚至不会感到现有业务系统的改变。

项目成效

1.1 提升企业工作效率

采用异常点检测和聚类分析等技术对海量用户数据进行分析 ，将异常点或者离群点筛选出来，再结合业务专家的经验及策略，对异常点或者离群点进行标注，方案满足高安全性的同时，通过便捷的生物识别手段进行多因子认证，通过单点登录减少员工记录密码和输入密码的烦恼，通过统一的应用门户消除员工记录各业务入口的繁琐，通过各种技术手段和一体化方案，极大的提高员工工作效率。

1.2 提高系统安全级别

综合产品运营情况数据，实现系统自适应、自组织、自更新，以适应业态发展。目前通过设备、账号、IP、位置、时间、操作等多个因素随机关联群举，通过FPGrowth、孤立点发现、PCA分析等算法进行新欺诈规则发现。

1.3 改善用户使用体验

通过关联挖掘技术，建立设备、账号、IP等因素之间的关联关系，，并通过无监督学习、孤立点发现等机器学习算法的建模分析，通过单点登录方式，用户无需记录复杂的密码、也无需记录应用的地址，极大的提高用户使用提样。另外，针对移动终端，统一身份认证平台提供自动获取动态口令的能力和一键登录解决方案，保证安全的同时满足用户对易用性的诉求。

1.4 降低采购部署成本及运维管理难度

传统的多因子认证解决方案包括硬件口令牌、UKEY证书、短信验证码、邮件多因子等，这些方案都依赖一个需要随时携带的硬件设备和网关服务器，其价格不菲；统一身份认证平台作为纯软件解决方案，和硬件设备相比，以忽略不计的成本获取更高的安全性；提供完善系统管理功能，杜绝系统操作风险。统一身份认证平台除了提供多因子认证、单点登录门户、免密登录等核心方案，还提供基础的身份平台绝大多数必备功能，客户只需部署、运维一套软件即可解决大多数棘手的身份相关问题，极大的节约运维成本。同时，免去了硬件Token、UKEY等硬件的分发、管理、维护代价，IT管理更便捷。

经验总结

随着新的认证模式和安全理念的推出，将被越来越多的业内外企业及用户关注，并逐步体会到新的认证理念及产品带来的安全及便捷体验，更重要的是金融风险更加可控，并容易提前预防，从此大幅降低用户的金融安全风险，增强用户对金融APP产品的信心。当持续性自适应信任与风险分析理念的进一步深入人心，并为用户所普遍接受，将必然在不久的未来，迎来新的金融安全市场的大变革。

在经历了调研、设计、开发、测试和实际检验完善后，拿出的成果也希望尽快得到推广，在推广中得到更多用户的反馈，同时在实践中对比观察新成果带来的经济效益和社会效益，相信，经过了实践检验后的成果会更凸显其内在价值。