作者：甲骨文公司中国区企业身份管理及内容管理产品线销售总监刘安峰

　　想象以下情形：

　　一个黑客建立了一个网站，这个网站看似某著名银行的网站。他向客户发送电子邮件，声称该银行的网站正在修改或重建，要求客户提供机密信息。这个黑客寻求的信息是极其重要和机密的客户数据。这封电子邮件内嵌入了一个链接，这个链接按照默认设置将客户导向黑客建立的假网站。认为电子邮件真是来自银行的客户提供了详细信息，黑客将这些信息保存起来，并在以后用来进行欺骗性交易，如转钱或获取极其重要的口令。

　　我们将处于一种不安全的境况中！

　　在线商务迅速增长，随之而来的是日益复杂的互联网欺诈行为。欺诈正在通过多种访问渠道进行。来自网钓（试图获取用户名、口令、详细的信用卡信息等敏感信息的犯罪欺诈行为）、域欺骗（一种黑客攻击，目的是将某个网站的信息流重新导向到另一个假网站）、特洛伊木马（一种恶意软件）、按键记录（用来获取在线输入的口令）和代理攻击的安全威胁，加之管理在线数据隐私的法规和法令（HIPAA、PCI等），都使得十分需要实现在线安全。

　　如果再仔细看一下我在本文开头所举的例子，你就会意识到，一个简单的登录程序就能让黑客非常容易地访问在线账户和交易。为了阻止黑客，银行正在采用极其严格的登录程序，这些程序更加个人化，也更加安全。其中某些程序引入了附加的口令层、有关个人背景情况的图像以及虚拟键盘甚至虚拟鼠标，等等。

　　无论你在键盘上敲入了什么，黑客都可以通过按键记录软件加以拦截和利用。按键记录软件提供了一条绕过安全措施获取口令或密钥的途径。为了防止这种情况出现，金融交易网站正在安装虚拟键盘和虚拟鼠标。作为登录过程的一部分，当银行指定它的标准登录口令输入方式，而不是在键盘上键入口令时，用户将能够用光标在虚拟键盘上输入他/她的口令。这样就能避开黑客强加的键锁定设置。

　　用户访问建立以后，防止欺诈并进行实时风险评估也同样重要。今天可用的工具将历史行为记入用户的“虚拟指纹”中，然后通过自动执行的规则，就可以确定与用户交易有关的风险和安全威胁了。这种自动化技术就是我们所说的“欺诈检测和风险评估技术”。

　　这种技术能积极实时地防止欺诈，并加强企业和客户网络应用的交易安全性。它使任何企业与合作伙伴以及客户的互动都更加安全，让企业职能部门更加安全地与远程工作的员工或合作伙伴直接联系，并保护这些员工和合作伙伴免受安全威胁的影响。

　　在线欺诈检测需要使用多种IT安全工具。它需要能够通过分析多种来源的数据来评估风险，这些来源包括情况简介、设备指纹、IP和其他适合于法庭的网络数据、地理位置信息以及交易数据。通过将各种不同的风险因素汇总体现到单一策略中，可以设计出一个很好的解决方案，用这个解决方案可以评价交易的相关风险、积极防止欺诈并即时提醒企业有安全威胁。这样的技术可提供实时和离线风险分析，在抓取和分析实时交易数据、比较当前交易风险情况与过往情况时，能最大限度地提高效率。

　　为了制订和重新制订防止欺诈的策略，还需要调查研究以及适合于法庭的工具来简化天生困难的管理工作，如策略编制、风险监控、事故调查和审计数据分析。安全策略必须能够无需让生产系统停机就可以调整以应对新的安全威胁。一些专门的欺诈检测技术使安全管理员能够试验不同的安全策略、评估它们挡住欺诈的有用性、确定可能对绩效造成的影响或具体规则以及跟踪策略变更后系统的行为差别。

　　这样，各公司就能够最大限度地降低让任何人用偷来的信用卡进行多宗欺诈交易的可能性，如订机票或在线购物甚至金融或贸易请求。在各公司积极利用互联网进行销售、自助服务和信息共享的同时，在线安全成为在企业和用户之间建立信任的核心所在。