[发明专利]一种量化风险和收益自适应的动态多因子认证方法

摘要

本发明属于系统安全和访问控制技术领域，具体为一种基于量化风险和收益自适应的动态多因子认证方法。本发明方法使得信息系统在不同的访问场景中动态地绑定多种认证因子，从而对进入系统的用户进行安全身份鉴别。信息系统主要通过对访问产生的量化风险和收益的评估，以及多因子绑定策略的实施，决定针对何种访问实施哪些认证因子组合以实现用户身份认证。信息系统对评估的来源历史数据进行更新，从而动态更新量化风险和收益的评估结果，实现动态绑定的自适应特性。应用本方法，可以平衡信息系统安全性和易用性的需求，提高信息系统对异常事件的响应速度。

主权项

一种量化风险和收益自适应的动态多因子认证方法，其特征在于包括对信息系统的访问进行量化风险和收益的评估，以及自适应地选取认证因子实现用户身份认证过程；所述的方法实现框架包括评估引擎、策略决策引擎、认证因子库、选取的认证因子组合、认证因子选取策略库和历史数据库；具体步骤如下：（1）系统管理员通过分析设定该信息系统中需要衡量的风险和收益因素，确定量化风险和收益的评估方法，并定义在评估引擎中；（2）系统管理员结合用户群体接受程度，确定该信息系统所采用的多种认证方法作为认证因子，并放置在认证因子库中；（3）系统管理员设定策略，规定在特定量化风险和收益评估结果之上采用何种强度的认证过程，并对应到认证因子组合实现用户身份认证过程，将上述策略定义在认证因子选取策略库中；（4）当用户对信息系统发起访问请求时，评估引擎首先结合请求的类型和由系统历史数据库中调取的历史数据，计算出该访问请求的量化风险和收益；（5）根据步骤(4)中计算结果，信息系统将请求发往策略决策引擎，由策略决策引擎在认证因子选取策略库中寻找匹配的策略；然后策略决策引擎将依据所选策略对该访问请求进行模糊推断，确定所采用的认证因子组合；（6）信息系统从认证因子库中选取步骤(5)中所得认证因子组合实现用户身份认证过程；（7）信息系统将访问历史记录在历史数据库中，为之后的量化风险和收益评估和策略制定提供数据来源；（8）信息系统历史数据发生变化时，将影响步骤(4)、步骤(5)所述评估和决策结果，实现动态自适应地调整认证因子组合。